Gestion du cloud : comment piloter des environnements multicloud sans perdre le contrôle

La plupart des entreprises n'envisagent pas au départ de disposer d'environnements multicloud. Elles se retrouvent dans cette situation parce que différentes équipes ont pris des décisions divergentes à des moments différents. Le service marketing a adopté une plateforme SaaS sur AWS. L'équipe de développement a déployé ses applications sur Azure. Le fournisseur de l'ERP utilise Google Cloud. L'infrastructure de sauvegarde repose sur le cloud Datto. Il en résulte un environnement multicloud dépourvu de modèle de gouvernance unifié et dont aucune équipe n'assume la responsabilité.

Selon le rapport « State of the MSP » 2026 de Kaseya, les services cloud et d’hébergement représentent 34 % du chiffre d’affaires des MSP, ce qui montre à quel point la gestion du cloud est désormais au cœur de leur portefeuille de services. Le rapport « State of the Cloud » de Flexera révèle que plus de 87 % des entreprises ont désormais adopté une stratégie multicloud, la plupart d’entre elles gérant des charges de travail réparties entre plusieurs fournisseurs. Le défi ne réside pas dans l’adoption de plusieurs clouds, mais dans leur gouvernance cohérente une fois qu’ils sont en place. La plateforme de Kaseya accompagne plus de 50 000 MSP et équipes informatiques qui gèrent précisément ces environnements à travers le monde.

Pourquoi la gouvernance multi-cloud est plus complexe que la gestion d'un cloud unique

La gestion multi-cloud est plus complexe que la gestion mono-cloud, non pas parce que chaque cloud pris individuellement est difficile à gérer, mais parce que le problème global de visibilité et de gouvernance est considérable. Chaque fournisseur dispose de sa propre console, de son propre format de journalisation, de sa propre structure de facturation, de son propre modèle d’IAM et de ses propres contrôles de sécurité. Les gérer individuellement conduit à une visibilité fragmentée. Pour les gérer de manière cohérente, il faut une couche de gouvernance qui fasse abstraction de ces différences spécifiques à chaque fournisseur.

La distinction entre le « multi-cloud accidentel » et le « multi-cloud délibéré » revêt une importance opérationnelle. Gartner définit le multi-cloud accidentel comme le résultat d’une gouvernance inadéquate, de fusions et acquisitions, ou de décisions prises de manière indépendante par des équipes, plutôt que d’une stratégie coordonnée. Les environnements multi-cloud accidentels ont généralement pour caractéristiques l’absence de modèle d’identité unifié, des normes de sécurité incohérentes, des coûts invisibles et des dépendances entre charges de travail non documentées. Les environnements multi-cloud délibérés présentent la même complexité, mais disposent de structures de gouvernance conçues pour y faire face dès le départ.

La plupart des PME et des entreprises de taille intermédiaire gérées par des MSP se retrouvent dans une situation de « multi-cloud » par défaut. Le travail de gouvernance s'effectue a posteriori. Un MSP qui prend en charge un nouveau client doit s'attendre à trouver des charges de travail cloud réparties entre plusieurs fournisseurs, sans stratégie de balisage unifiée, de multiples comptes d'administrateur dotés de droits d'accès excessifs, aucune politique de sauvegarde inter-fournisseurs et une facturation que personne n'a vérifiée depuis des mois. C'est là le point de départ, et non l'exception.

Suivi unifié entre les différents prestataires

Les alertes provenant d'AWS CloudWatch, d'Azure Monitor et de Google Cloud Operations sont formatées différemment, transmises par des canaux distincts et ne disposent d'aucune couche de corrélation native entre elles. Un prestataire de services gérés (MSP) gérant des clients chez ces trois fournisseurs ne peut pas, dans la pratique, surveiller séparément la console de chaque fournisseur pour chaque client. D'un point de vue opérationnel, ce n'est tout simplement pas faisable.

Une couche de surveillance unifiée normalise les données télémétriques provenant de plusieurs fournisseurs de cloud, ainsi que de l'infrastructure sur site et des terminaux, pour les regrouper en un flux d'alertes unique et une console de gestion unique. Kaseya Intelligence collecte et met en corrélation ces données télémétriques, en appliquant une reconnaissance automatique des modèles afin d'identifier les anomalies et les dérives de configuration dans les environnements hybrides, sans qu'un technicien ait à examiner manuellement les événements de chaque fournisseur.

Pour les MSP, la visibilité multi-locataires est une exigence opérationnelle : une console unique qui affiche simultanément l'état des alertes, l'intégrité des sauvegardes et la conformité des configurations pour l'ensemble des clients et de tous les environnements cloud. Un MSP qui doit se connecter à 30 consoles AWS distinctes pour vérifier l'intégrité des environnements cloud de 30 clients ne propose pas un service évolutif.

Gouvernance des identités dans les environnements multicloud

Dans les environnements cloud, l’identité constitue le périmètre de sécurité ; or, dans un environnement multicloud, la gouvernance des identités représente le défi de sécurité le plus complexe. Chaque fournisseur dispose de son propre modèle IAM. AWS utilise des rôles et des politiques. Azure utilise Entra ID et le RBAC. Google Cloud utilise son propre système IAM. Les utilisateurs et les comptes de service ont souvent besoin d’accéder à plusieurs de ces environnements, ce qui crée un paysage d’identités tentaculaire comportant de nombreux points où les autorisations peuvent être mal configurées.

Les risques concrets : des utilisateurs disposant de droits excessifs dans l’environnement d’un fournisseur parce que ces droits ont été copiés depuis un autre fournisseur sans avoir été vérifiés. Des comptes de service dont les identifiants n’ont pas été renouvelés. Des comptes administrateur créés pour un projet et dont l’accès n’a jamais été révoqué. Des configurations IAM qui semblent correctes dans la console de chaque fournisseur, mais qui, prises dans leur ensemble, accordent davantage d’accès que ce qu’une vérification individuelle aurait approuvé.

La gouvernance dans cet environnement nécessite de savoir précisément qui a accès à quoi, chez tous les fournisseurs, ainsi que l’application automatisée des politiques de « privilèges minimaux ». Kaseya 365 User fournit la couche de gestion des identités et des accès pour Microsoft 365 et les environnements cloud connectés, avec l’application de l’authentification multifactorielle et la surveillance des identifiants via Dark Web ID afin de détecter les identifiants exposés avant qu’ils ne soient exploités.

Des revues régulières des accès IAM doivent être programmées pour chaque environnement cloud géré : au moins une fois par trimestre, et une fois par mois pour les environnements traitant des données sensibles. Les revues d'accès ne sont pas le genre de tâches qui se font spontanément. Elles doivent être inscrites au calendrier et donner lieu à un rapport documenté.

Visibilité des coûts et FinOps

La facturation multi-cloud constitue le problème de gouvernance le plus immédiatement perceptible. La multiplicité des fournisseurs, des modèles de facturation et des formats de factures, associée à l’absence de couche d’agrégation native, implique que la visibilité des coûts nécessite un effort délibéré. Sans cela, les dépenses liées au cloud s’accumulent d’une manière que personne ne comprend pleinement, jusqu’à ce qu’une facture nettement plus élevée que prévu arrive dans la boîte aux lettres.

Le FinOps consiste à exploiter les données de facturation du cloud pour prendre des décisions en temps réel concernant les ressources, plutôt que de se contenter d'analyser les coûts de manière réactive à la fin du mois. Les principes fondamentaux du FinOps s'appliquent directement au défi que représente la gestion multicloud.

Marquage et attribution. Les ressources qui ne sont pas marquées ne peuvent pas être attribuées à une équipe, à un projet ou à un client. Une stratégie de marquage cohérente, mise en œuvre dès la mise à disposition des ressources et appliquée par le biais de règles, constitue le fondement de la visibilité des coûts entre les différents fournisseurs. Sans marquage, les données de coûts ne constituent qu’un chiffre global, sans ventilation exploitable.

Identification des gaspillages. Les volumes de stockage non affectés, les instances de calcul inactives, les équilibreurs de charge orphelins et les environnements de test oubliés sont présents dans presque tous les environnements multicloud en service depuis plus de six mois. Un examen mensuel des gaspillages chez tous les fournisseurs est une pratique courante dans les environnements bien gérés.

Capacité réservée. La tarification à la demande est le modèle d'exploitation le plus coûteux pour les charges de travail stables. Les instances réservées AWS (AWS Reserved Instances), les instances de machine virtuelle réservées Azure (Azure Reserved VM Instances) et les solutions équivalentes proposées par les différents fournisseurs offrent des remises qui nécessitent un engagement d'utilisation. Identifier les charges de travail suffisamment stables pour justifier un tel engagement et acheter la capacité réservée en conséquence constitue un service de conseil récurrent que les MSP peuvent proposer dans le cadre de la gestion du cloud.

Alertes d'anomalies. Les pics de coûts inattendus sont presque toujours détectables avant même qu'ils n'apparaissent sur la facture. Les alertes budgétaires et la détection des anomalies dans AWS Cost Explorer et Azure Cost Management permettent de prévenir à l'avance les erreurs de provisionnement ou les processus hors de contrôle, avant qu'ils ne se traduisent par des coûts importants.

Gestion de la posture de sécurité

Les normes de configuration de sécurité varient d'un fournisseur à l'autre, et garantir un niveau de sécurité homogène dans un environnement multicloud nécessite une gestion des politiques couvrant l'ensemble de la pile. Les failles de sécurité les plus courantes dans les environnements multicloud ne sont pas des défaillances propres à un fournisseur. Il s'agit de défaillances de gouvernance : des contrôles correctement configurés dans un environnement mais absents dans un autre, faute d'un mécanisme unifié d'application des politiques.

Les cinq critères de sécurité de base qui doivent être vérifiés dans chaque environnement cloud d'un portefeuille géré :

1. La journalisation des audits est activée dans toutes les régions. AWS CloudTrail et les journaux d'activité d'Azure Monitor constituent la source de référence pour les enquêtes sur les incidents. Sans eux, vous travaillez à l'aveuglette.

2. Chiffrement au repos sur toutes les ressources de stockage. Le chiffrement par défaut doit être activé au niveau du compte ou de l'abonnement afin que les nouvelles ressources soient chiffrées, sauf si cette option est explicitement désactivée.

3. Aucun blocage d'accès public n'est désactivé. Les blocages d'accès public S3 et les paramètres équivalents d'Azure doivent être activés au niveau du compte afin d'éviter toute exposition publique accidentelle.

4. Authentification à deux facteurs (MFA) pour tous les comptes privilégiés. L'authentification à deux facteurs doit être obligatoire pour tous les comptes administrateur, quel que soit le fournisseur. Aucune exception.

5. Pas de groupes de sécurité ni de règles de pare-feu trop permissifs. Un accès entrant sans restriction (0.0.0.0/0) sur les ports de gestion est systématiquement identifié lors des évaluations de sécurité dans le cloud et est systématiquement présent lorsque les environnements n’ont pas fait l’objet d’un examen formel.

La solution SIEM de Kaseya intègre les données télémétriques provenant des principales plateformes cloud, ainsi que les données relatives aux terminaux et aux e-mails, normalisant ainsi les événements de sécurité de tous les fournisseurs au sein d’une couche de détection unique. La solution « Kaseya Intelligence » applique une réponse automatisée aux anomalies détectées, bouclant ainsi la boucle entre la détection et la correction sans attendre qu’un technicien examine la situation et intervienne.

Gouvernance des sauvegardes dans les environnements cloud

La solution de sauvegarde native de chaque fournisseur de cloud couvre ses propres charges de travail au sein de son propre écosystème. La gouvernance de la sauvegarde inter-fournisseurs, qui garantit que l'ensemble des données réparties sur tous les clouds est sauvegardé, vérifié et peut être restauré vers un emplacement indépendant, nécessite une couche de gestion des sauvegardes qui s'étend à l'ensemble des fournisseurs.

Les outils de sauvegarde natifs présentent trois lacunes spécifiques dans les environnements multicloud. Premièrement, ils n’offrent pas de visibilité inter-fournisseurs : un MSP ne peut pas visualiser l’état des sauvegardes des charges de travail AWS et Azure à partir d’une seule console. Deuxièmement, ils stockent les sauvegardes au sein de l’écosystème du fournisseur, ce qui signifie qu’un compte compromis ou un incident du côté du fournisseur affecte à la fois les données primaires et les sauvegardes. Troisièmement, ils ne prennent pas en charge les données SaaS, qui nécessitent une protection distincte via une sauvegarde de cloud à cloud.

La gamme de solutions de sauvegarde de Datto couvre ces trois scénarios : Datto SIRIS et Datto Endpoint Backup avec reprise après sinistre pour les charges de travail sur site et les serveurs répliqués vers le cloud indépendant de Datto, Datto Backup for Microsoft Azure pour la protection des machines virtuelles Azure et des fichiers Azure en dehors de l’écosystème Azure, et Datto SaaS Protection pour les données Microsoft 365 et Google Workspace. Toutes ces solutions sont visibles depuis la page unifiée d’état des sauvegardes du portail des partenaires Datto, offrant ainsi aux MSP une vue d’ensemble de l’état des sauvegardes pour tous les types de charges de travail et tous les clients.

Pour une présentation complète de l'architecture de sauvegarde dans le cadre de ces trois cas d'utilisation du cloud, consultez le guide « Sauvegarde dans le cloud : guide pratique à l'intention des équipes informatiques et des MSP ».

Gestion de la documentation et de la configuration

Les environnements multicloud dépourvus de documentation sont fragiles sur le plan opérationnel. Le nombre de ressources, de fournisseurs, de configurations et de dépendances impliqués dans un environnement multicloud typique d’une PME est suffisamment important pour que le fait de se fier à la mémoire collective plutôt qu’à des documents écrits fasse peser un risque significatif. Lorsque la personne qui a mis en place l’environnement quitte l’entreprise, ou lorsqu’un incident nécessite une enquête rapide à 2 heures du matin, la documentation fait toute la différence entre une réponse structurée et une approche à l’aveuglette.

IT Glue fournit l'infrastructure de documentation nécessaire aux environnements multicloud : identifiants d'accès aux fournisseurs avec isolation par client, schémas d'architecture, documentation sur la structure IAM, guides d'intervention pour les scénarios de reprise courants, ainsi qu'une intégration avec Compliance Manager GRC pour la génération automatisée de preuves de conformité. Les mêmes règles de documentation qui s'appliquent à l'infrastructure sur site s'appliquent également aux environnements cloud, et le rythme des changements dans ces derniers rend leur mise à jour plus difficile, mais aussi plus importante.

La dérive de configuration, c'est-à-dire l'accumulation de modifications non validées qui s'écartent de l'état prévu de l'environnement, est la cause sous-jacente de la plupart des incidents de sécurité dans le cloud. Un compartiment de stockage correctement configuré lors du déploiement, puis rendu public par inadvertance trois mois plus tard à la suite d'une modification que personne n'a documentée, est un scénario bien réel et courant. La surveillance continue de la configuration via Kaseya Intelligence permet de détecter ces écarts avant qu'ils ne se transforment en incidents.

Comment Kaseya facilite la gestion multicloud pour les MSP

Kaseya 365 et Datto RMM étendent la surveillance par agent, la gestion des correctifs et l'automatisation aux machines virtuelles hébergées dans le cloud ainsi qu'aux terminaux sur site, le tout à partir d'une seule console multi-locataires.

Kaseya SIEM regroupe les données de télémétrie de sécurité provenant d'AWS, d'Azure et de Google Cloud, ainsi que les données relatives aux terminaux et aux e-mails, au sein d'une couche de détection unifiée.

Kaseya Intelligence met en œuvre une reconnaissance automatique des modèles et une réponse automatisée dans les environnements cloud gérés, permettant de détecter les écarts de configuration et les activités anormales sans intervention manuelle.

Kaseya 365 User assure la gestion des identités et des accès dans Microsoft 365 et les environnements cloud connectés, notamment l'application de l'authentification à plusieurs facteurs (MFA) et la surveillance des identifiants d'Dark Web ID .

IT Glue stocke la documentation relative à l'environnement cloud avec une isolation par client, un historique des versions et une intégration directe avec Compliance Manager GRC.

La gamme de solutions de sauvegarde de Datto offre des sauvegardes indépendantes et immuables pour les charges de travail sur site, l'infrastructure Azure et les applications SaaS, avec une visibilité unifiée sur l'état des sauvegardes depuis une seule console du portail des partenaires Datto.

Découvrez les solutions de Kaseya pour les opérations informatiques et la gestion du cloud

Points clés à retenir

• La plupart des environnements multicloud sont le fruit du hasard plutôt que d'une décision délibérée. Les cadres de gouvernance doivent prendre en compte la complexité globale entre les différents fournisseurs, et non se contenter de gérer chaque cloud individuellement.
• La surveillance unifiée, la gouvernance des identités, la visibilité des coûts, la gestion du niveau de sécurité, la gouvernance des sauvegardes et la documentation constituent les six disciplines opérationnelles requises par la gestion multicloud. Aucune d'entre elles n'est prise en charge par les fournisseurs de services cloud.
• Les pratiques FinOps, le balisage cohérent, l'identification des gaspillages, la capacité réservée et les alertes en cas d'anomalies transforment la facturation du cloud, qui n'est plus une surprise financière réactive, en un service géré en continu.
• Pour les MSP, les outils qui permettent de rendre la gestion multicloud évolutive sont ceux qui regroupent tous les fournisseurs au sein d'une seule console : un flux d'alertes unique, une vue d'ensemble de l'état des sauvegardes, un système de documentation unique.