Gestion de l'infrastructure cloud : guide à l'intention des équipes informatiques et des prestataires de services gérés (MSP)

La gestion d'une infrastructure cloud est une discipline opérationnelle à part entière. Les avantages promis par le cloud (ressources à la demande, évolutivité élastique, absence de maintenance matérielle) sont bien réels, mais ils n'éliminent pas pour autant le travail de gestion. Ils modifient simplement la nature de ce travail, qui passe de la maintenance matérielle à la gestion des configurations, à la maîtrise des coûts, à la surveillance de la sécurité et à la planification des capacités, le tout dans des environnements dont l'évolution est bien plus rapide que celle des infrastructures sur site.

Selon le rapport « State of the MSP » 2026 de Kaseya, 83 % des MSP affirment que leurs outils de gestion informatique améliorent considérablement leur efficacité opérationnelle. Cette efficacité s'applique de plus en plus aux environnements cloud, à mesure que les infrastructures des clients s'éloignent des solutions sur site. La plateforme de Kaseya gère les terminaux et les charges de travail dans le cloud pour plus de 50 000 MSP et équipes informatiques à travers le monde, ce qui nous donne une vision claire des domaines dans lesquels la gestion des infrastructures cloud est une réussite et de ceux où les équipes rencontrent des difficultés.

Ce que recouvre réellement la gestion des infrastructures cloud

La gestion de l'infrastructure cloud désigne l'ensemble des activités opérationnelles continues visant à garantir la sécurité, la performance et la rentabilité des environnements cloud après la migration initiale. Il ne s'agit pas d'un projet ponctuel. Ce n'est pas non plus une tâche dont se charge le fournisseur de services cloud une fois que les charges de travail sont opérationnelles. Il s'agit d'une discipline opérationnelle continue qui nécessite des outils, des processus et une prise en charge bien définis.

Les six disciplines clés sont la gestion de la configuration, la gestion des correctifs, la gouvernance des coûts, la surveillance de la sécurité, la sauvegarde et la documentation. Aucune d'entre elles n'est transférée au fournisseur de services cloud. Elles relèvent toutes de la responsabilité du client ou de son MSP.

La principale différence opérationnelle par rapport à la gestion sur site réside dans le rythme. Dans les environnements cloud, de nouvelles ressources peuvent être provisionnées et déprovisionnées quotidiennement. Les configurations changent fréquemment, sans les frictions qu’imposerait la gestion des changements sur site. La facturation s’effectue en continu, que les ressources soient productives ou inactives. Les pratiques de gestion manuelle, qui fonctionnent correctement dans des environnements sur site stables, ne s’adaptent pas à ce dynamisme. Un MSP gérant 30 clients, chacun disposant d’une combinaison de charges de travail sur site et dans le cloud, ne peut pas suivre manuellement l’état des configurations et l’exposition aux coûts sur l’ensemble de ces environnements. À cette échelle, les outils et l’automatisation ne sont pas facultatifs.

Gestion de la configuration et dérive

La dérive de configuration correspond à l'accumulation de modifications manuelles qui s'écartent de l'état souhaité d'un environnement. Elle est à l'origine de la plupart des incidents de sécurité dans le cloud. Un ingénieur ouvre un groupe de sécurité pour résoudre un problème et oublie de le refermer. Une nouvelle machine virtuelle est déployée sans que le chiffrement soit activé. Un compartiment de stockage est mal configuré par un modèle IaC qui n'a pas été mis à jour. Aucun de ces incidents ne génère d'alerte par défaut. Ils s'accumulent en silence.

Les approches « Infrastructure-as-Code » (IaC) répondent à ce besoin au niveau de la couche de provisionnement. La définition des configurations d’infrastructure sous forme de code, à l’aide d’outils tels que Terraform ou les modèles Azure Resource Manager, permet de soumettre les modifications à un contrôle de version, à une révision par les pairs et de les appliquer de manière cohérente, plutôt que de les mettre en œuvre manuellement via une console. Tout écart par rapport à l’état défini peut ainsi être détecté.

Pour les MSP qui gèrent les environnements cloud de leurs clients, l’infrastructure en tant que code (IaC) n’est pas toujours envisageable pour tous les clients. La solution pratique consiste à mettre en place une surveillance continue des modifications de configuration. La surveillance des dérives de configuration ( Kaseya Intelligence ) applique la reconnaissance de formes à l’ensemble des environnements gérés afin d’identifier les modifications de configuration s’écartant de la configuration de référence, et de détecter les dérives avant qu’elles ne se transforment en incident de sécurité ou en problème de disponibilité.

Gestion des correctifs pour les machines virtuelles dans le cloud

Les machines virtuelles hébergées dans le cloud et fonctionnant sous Windows ou Linux nécessitent exactement la même gestion des correctifs que les serveurs sur site. Le fournisseur de services cloud est responsable de l’hyperviseur et de l’infrastructure physique. Le système d’exploitation invité, les applications installées et tous les logiciels situés au-dessus de la couche de l’hyperviseur restent sous la responsabilité du client.

C'est l'un des aspects les plus souvent mal compris du modèle de responsabilité partagée dans le cloud. Une instance EC2 ou une machine virtuelle Azure exécutant un système d'exploitation non mis à jour est tout aussi vulnérable qu'un serveur sur site se trouvant dans le même état. Le fournisseur de services cloud ne l'actualisera pas.

VSA et Datto RMM étendent tous deux la gestion automatisée des correctifs aux terminaux hébergés dans le cloud, en utilisant le même déploiement basé sur des agents et la même automatisation pilotée par des règles que ceux utilisés pour les serveurs sur site. Les machines virtuelles dans le cloud sont enregistrées au même titre que les terminaux sur site, gérées depuis la même console et soumises aux mêmes règles de mise à jour. Un prestataire de services gérés (MSP) n'a donc pas besoin d'un workflow de gestion du cloud distinct pour la mise à jour des correctifs.

Exemple concret : un MSP chargé de la gestion des correctifs sur 500 terminaux sur site peut étendre ces mêmes politiques à 50 machines virtuelles Azure qu'un client a créées pour une nouvelle application, sans outil ni workflow supplémentaire, en déployant l'agent Datto RMM ou VSA lors du processus de provisionnement des machines virtuelles.

Gestion des coûts

La facturation du cloud est complexe, dynamique et difficile à prévoir sans une gestion active. Contrairement aux infrastructures sur site, où les coûts sont en grande partie fixes, les coûts du cloud sont, par nature, variables. Cette variabilité joue en votre faveur lorsque les charges de travail diminuent. Elle joue en votre défaveur lorsque des ressources inutilisées, des instances surdimensionnées et des environnements de test oubliés s’accumulent sans que vous vous en rendiez compte.

Les quatre pratiques de gestion des coûts qui empêchent la prolifération du cloud de réduire les avantages financiers qui ont motivé son adoption au départ :

Adaptation de la taille des instances. Les instances provisionnées pour faire face aux pics de charge et dont la taille n'est jamais réduite une fois ces pics passés constituent une source courante de gaspillage. Des analyses régulières visant à adapter la taille des instances, s'appuyant sur les métriques de CloudWatch ou d'Azure Monitor, permettent d'identifier les instances fonctionnant bien en deçà de leur capacité provisionnée et de recommander des types d'instances plus petits.

Capacité réservée. La tarification à la demande est la solution la plus coûteuse pour exécuter des charges de travail stables. Les instances réservées AWS (AWS Reserved Instances) et les instances virtuelles réservées Azure (Azure Reserved VM Instances) offrent des remises pouvant atteindre 72 % pour des engagements d’un ou trois ans. Les charges de travail présentant des schémas d’utilisation prévisibles et stables doivent être gérées en tarification réservée, et non à la demande.

Nettoyage des ressources inactives. Les volumes EBS non associés, les adresses IP élastiques inutilisées, les équilibreurs de charge orphelins et les compartiments de stockage oubliés génèrent des coûts sans apporter de valeur ajoutée. Un examen mensuel des ressources inactives fait partie intégrante de la gestion des coûts du cloud.

Alertes budgétaires. Les hausses imprévues des coûts sont presque toujours détectables avant même qu'elles n'apparaissent sur la facture. La mise en place d'alertes budgétaires dans AWS Cost Explorer ou Azure Cost Management permet d'être averti à temps avant qu'une erreur de provisionnement ou un processus hors de contrôle ne se traduise par un coût important.

Pour les MSP, la maîtrise des coûts représente également une opportunité de chiffre d'affaires. En identifiant et en éliminant 400 dollars par mois de dépenses inutiles liées au cloud, vous devenez un conseiller de confiance. Si vous passez à côté, vous serez perçu comme celui qui a laissé le client gaspiller son argent.

Surveillance de la sécurité

Les environnements cloud génèrent un volume considérable de données de télémétrie de sécurité : journaux d’activité IAM, journaux de flux réseau, appels API, modifications de configuration, événements d’authentification. Le défi pour les MSP qui gèrent des environnements hybrides consiste à normaliser ces données de télémétrie, ainsi que celles relatives aux terminaux et aux e-mails, afin d’obtenir une vue d’ensemble cohérente de la sécurité. Se connecter séparément à AWS CloudTrail et à Azure Monitor pour chaque client afin d’examiner les événements de sécurité ne constitue pas un modèle opérationnel évolutif.

Kaseya SIEM collecte les données télémétriques provenant des principales plateformes cloud, ainsi que les données relatives aux terminaux, au réseau et aux e-mails, offrant ainsi une visibilité unifiée sur la sécurité dans les environnements hybrides à partir d’une console unique. La solution « Kaseya Intelligence » applique une reconnaissance automatisée des modèles à l’ensemble de ces données télémétriques afin d’identifier les anomalies qui échapperaient à une surveillance basée sur des règles, et exécute des actions de réponse sans attendre qu’un technicien les examine et intervienne.

Trois principes fondamentaux en matière de surveillance de la sécurité qui devraient être mis en place pour tout environnement cloud géré :

La journalisation des audits dans le cloud est activée dans toutes les régions. AWS CloudTrail et Azure Monitor Activity Logs constituent la source de référence permettant de savoir qui a effectué quelles actions dans l'environnement cloud. Sans eux, les enquêtes sur les incidents se font à l'aveuglette.
Alertes en cas d'actions privilégiées. Les modifications apportées aux politiques IAM, la création de nouveaux comptes d'administrateur et les modifications apportées aux groupes de sécurité doivent déclencher des alertes immédiates. Ce sont ces actions qui précèdent la plupart des compromissions d'environnements cloud.
Détection des modifications de configuration. Les modifications apportées aux ressources liées à la sécurité, aux paramètres de chiffrement, aux contrôles réseau et aux configurations d'accès public doivent être détectées et examinées, et non pas découvertes lors d'un audit trimestriel.

Sauvegarde pour infrastructure cloud

Les outils de sauvegarde « cloud-native », notamment AWS Backup et Azure Backup, offrent des capacités de reprise opérationnelle au sein de l’écosystème du fournisseur. Ce qu’ils n’offrent pas, en revanche, c’est l’indépendance vis-à-vis de cet écosystème. Un compte cloud compromis, une attaque par ransomware visant les identifiants d’accès au cloud ou un incident du côté du fournisseur peut affecter simultanément à la fois les charges de travail principales et les sauvegardes associées à ce même compte.

Une sauvegarde indépendante et immuable, stockée en dehors de l'infrastructure du fournisseur, constitue la couche de protection supplémentaire contre ces scénarios. La solution « Backup for Microsoft Azure » de Datto réplique les machines virtuelles Azure et les fichiers Azure vers le cloud Datto, en dehors de l'écosystème Azure, grâce à un stockage immuable, une réplication toutes les heures et une tarification forfaitaire qui élimine l'imprévisibilité des coûts de sortie de données.

Pour une vue d'ensemble complète de la sauvegarde dans le cloud, y compris la sauvegarde sur site vers le cloud via Datto SIRIS et la protection des données SaaS via Datto SaaS Protection, consultez notre guide sur la sauvegarde dans le cloud.

Documentation

Les environnements cloud dépourvus de documentation sont fragiles sur le plan opérationnel. Il est essentiel de savoir quelles ressources existent, pourquoi elles existent, comment elles sont configurées et comment elles sont interconnectées pour assurer la gestion des incidents, l'intégration des nouveaux collaborateurs, les audits de sécurité et la mise en évidence de la conformité.

Le rythme des changements dans les environnements cloud rend la documentation plus difficile qu’en milieu sur site, mais aussi plus importante. Une machine virtuelle provisionnée il y a six mois pour un projet désormais terminé, qui n’a jamais été étiquetée ni documentée, fonctionnant à ses propres frais et sans responsable, constitue un problème bien réel et courant. Une règle de groupe de sécurité non documentée, ajoutée par quelqu’un au cours d’un incident survenu tard dans la nuit, représente un risque de sécurité qui ne sera mis en évidence que lorsqu’un auditeur ou une violation de données la rendra visible.

IT Glue fournit l'infrastructure de documentation pour les environnements cloud : schémas d'architecture VPC, structure IAM, configurations des groupes de sécurité, guides d'intervention en cas de sinistre et identifiants d'accès, le tout stocké avec une isolation par client et un accès contrôlé. Compliance Manager GRC s'intègre à IT Glue pour extraire directement les preuves de conformité dans la documentation client, réduisant ainsi la charge de travail manuelle liée à la préparation des audits.

Comment « Kaseya 365 » facilite la gestion des infrastructures cloud

VSA et Datto RMM étendent la gestion des correctifs, la surveillance et l'automatisation basées sur des agents aux machines virtuelles Windows et Linux hébergées dans le cloud, ainsi qu'aux terminaux sur site, le tout à partir d'une seule console.

La solution SIEM de Kaseya intègre les données télémétriques des plateformes cloud ainsi que celles des terminaux et des e-mails, offrant ainsi une visibilité unifiée sur la sécurité dans les environnements hybrides.

Kaseya Intelligence met en œuvre une reconnaissance automatique des schémas et une réponse automatisée dans l'ensemble des environnements gérés, permettant de détecter les écarts de configuration et les activités anormales sans nécessiter un examen manuel de chaque événement.

Datto Backup for Microsoft Azure offre une solution de sauvegarde indépendante et immuable pour les charges de travail Azure en dehors de l'écosystème Azure, avec une réplication toutes les heures et une tarification forfaitaire.

IT Glue stocke la documentation relative aux environnements cloud avec isolation par client, historique des versions et intégration directe à Compliance Manager GRC pour la génération de preuves d'audit.

Découvrez « Kaseya 365 » pour la gestion des environnements cloud et hybrides

Points clés à retenir

La gestion de l'infrastructure cloud englobe la gestion des configurations, la gestion des correctifs, la maîtrise des coûts, la surveillance de la sécurité, la sauvegarde et la documentation. Aucune de ces tâches n'est transférée au fournisseur de services cloud. Elles relèvent toutes de la responsabilité du client ou du prestataire de services gérés (MSP).
Les dérives de configuration sont à l'origine de la plupart des incidents de sécurité dans le cloud. La surveillance continue assurée par Kaseya Intelligence permet de détecter ces dérives avant qu'elles ne se transforment en incident.
La gestion des correctifs pour les machines virtuelles dans le cloud est identique à celle des machines sur site. VSA et Datto RMM étendent ce même système de mise à jour basé sur des agents aux terminaux hébergés dans le cloud, sans nécessiter de workflow distinct.
La maîtrise des coûts est une discipline opérationnelle permanente. L'ajustement des capacités, la capacité réservée, le nettoyage des ressources inutilisées et les alertes budgétaires constituent les quatre pratiques qui permettent de maintenir l'équilibre entre les coûts du cloud et la valeur qu'il apporte.