Journal C'est quoi le "Cloud Computing" ? 2/2

Sommaire

• IaaS : Infrastructure as a Service
• SaaS : Software as a Service
• PaaS : Platform as a Service
• Cloud Souverain

Ce journal est la suite du premier morceau de journal qui a attiré quelques curieux, et des commentaires sympathiques.

Le document du NIST décrit donc 3 modèles de services (IaaS, PaaS, SaaS) qui sont l'objet de nombreux contresens, quiproquos ou autres tentatives de positionnement marketing fumeux. Le concept clé dans les modèles de services, c'est la logique même de "as a Service", qui reprend les caractéristiques détaillées précédemment. On achète l'accès à une ressource et non plus la ressource elle même.

IaaS : Infrastructure as a Service

Dans le cas de "l'infrastructure", le fournisseur de cloud va mettre à disposition des composants d'infrastructures (des serveurs, du stockage, du réseau, etc.) le plus souvent virtualisés, ce qui lui permet d'assurer les 5 caractéristiques essentielles pour que ce soit du vrai "cloud" (et non pas du "kloud" de Mr Presgurvic), mais attention ce n'est pas toujours le cas ! C'est pour cela qu'il faut bien lire les petites lignes des contrats, ou mieux, demander à vos acheteurs et vos juristes préférés d'éplucher les petites lignes des contrats pour vous. On comprend ainsi mieux la logique de "as a Service", qui amène à passer plus de temps sur les contrats et moins de temps sur les infrastructures. Les fournisseurs vendent donc maintenant de l'accès à des ressources, opérées suivant des standards, et non plus les ressources elles mêmes que vous devez opérer ou faire opérer chez vous. C'est la magie du "Cloud Computing". Les DRHs, les DAFs et les DSIs sont ravis, car votre boite a besoin de moins de personnels (barbus et pénibles) pour configurer, installer et surveiller les babasses, moins de CAPEX (matériels chers, compliqués à amortir et au cycle de vie assez courts), et la DSI réagit plus vite que son ombre pour mettre à disposition une infrastructure compliquée pour un projet VIP (toute ressemblance …).
Dans ce modèle de service, la fourniture de serveurs virtualisés s'accompagne en général du système d'exploitation et de l'accastillage nécessaire pour administrer (supervision, sauvegarde, etc.) le serveur, mais pas plus. On peut noter que notre OS préféré s'est taillé une confortable part de marché sur les différentes offres de IaaS, y compris chez Microsoft (d'ailleurs les Romuliens y ont pris gout !).

SaaS : Software as a Service

Le "Software as a Service" est un modèle de service ou l'application est accessible à l'aide d'un client standard (client léger, navigateur web) et provisionné à la demande. Ce modèle est largement proposé au grand public, parfois même "gratuitement", l'exemple emblématique étant la suite en ligne proposée par google (gmail, google docs, google drive, etc.). Un quiproquo classique consiste à confondre la suite proposée (les fonctionnalités) et le modèle de service SaaS de Google. Ce qui fait de l'offre de Google une offre de "Cloud Computing", c'est la façon dont vous pouvez vous enrôler et ensuite accéder aux solutions. Par suite, le fait de mettre en place un petit serveur chez vous pour stocker vos données et celle de votre moitié avec une solution dite de "Cloud Personnel" (c'est nulle part dans l'ISO !) ne fait pas de vous un fournisseur de "cloud" (la bise aux devs de CozyCloud, OwnCloud, NextCloud, et j'en oublie).
Pendant ce temps là, dans l'entreprise, de l'autre coté du datacenter, nos clients internes préférés (RH, Finance, Marketing, etc.) n'ont pas attendu la DSI et sont allés faire leur marché sur les internets, munis d'une expression de besoin sous powerpoint, d'une carte bleue en état de marche et des conseils avisés d'un consultant à chemise Desigual. La "magie du Cloud Computing", appliqué au SaaS, c'est que les métiers n'ont plus besoin de la DSI, ils peuvent acheter 300 comptes Salesforce en 10 minutes, ou externaliser la paie en 3 clics. La bonne nouvelle, c'est que nos nouveaux amis les acheteurs et les juristes sont sur le coup eux aussi. Sur ces sujets là, il est capital d'avoir des RSSIs qui soient vigilants, ainsi qu'un correspondant CNIL (en fonction de la taille de la boite). A chaque apéro de l'eurocloud, on me raconte des histoires qui glacent le sang à propos de données personnelles …
Attention, de nombreuses applications hébergées historiques, à la demande ("on demand"), ont été rhabillées sauce "SaaS" avec l'avènement du "Cloud Computing". Là aussi, la lecture minutieuses des petites lignes du contrat, l'audit de l'infrastructure, de ses performances ou des conditions d'hébergement peut s’avérer nécessaire avant de faire le pas. Il ne faut pas négliger non plus le coût d'intégration de la solution "SaaS" à l'existant.

PaaS : Platform as a Service

Le "Platform as a Service" est un modèle ou le fournisseur met à disposition une "plateforme", qui se compose d'un ou plusieurs composants d'infrastructures et/ou des logiciels préparamétrés (en plus du système d'exploitation). Cette plateforme va permettre au client de développer son propre code. C'est le modèle le plus complexe à appréhender, et les solutions proposées par les fournisseurs sont extrêmement variées. Entre la définition du NIST (2011) et maintenant, de nombreuses solutions ont émergées chez les grands fournisseurs (e.g. Google App Engine, BlueMix chez IBM, OpenShift chez RedHat)

De nombreuses offres intermédiaires (MBaaS, DBaaS, iPaaS, aPaaS, FaaS) sont apparues et ont surfé sur la vague du "as a Service". La plupart peuvent se raccrocher à un des 3 grands modèles, évitez d'en rajouter ("PAAS++", ce n'est pas une bonne idée).

Cloud Souverain

L'état français a très tôt compris l'intérêt stratégique du "cloud computing" et a tout mis en oeuvre pour faire émerger des champions nationaux grâce à l'initiative Andromède qui consistait à dépenser intelligemment 150 millions d'euros issu du grand emprunt. Ayons une pensée pour les barbus qui ont participé dans les différents projets des différentes sociétés éligibles (Cloudwatt, Numergy) ou pas, pour les moustachus d'Ikoula qui proposent déjà le "cloud gaulois", les octavistes d'OVH et les gars de Outscale (y'a que chez eux que j'ai jamais joué mais ils sont sympas).
En 2015 ont été publiés par la DINSIC des référentiels très intéressants et des guides à destination des collectivités qui précisent notamment les définitions "en bon français" et un concept très intéressant, le "cloud souverain" :

"Dans un contexte d’externalisation des ressources informatiques, le concept de souveraineté
des données est essentiel.
Tout client, confiant ses données à un prestataire hébergeur, doit pouvoir disposer :
• d’une garantie technique, sur le niveau de sécurité offert par le prestataire et ses sous-traitants
pour garantir la protection et la confidentialité des informations (dispositifs anti-intrusion, dispositifs
de cryptage…) ;
• d’une garantie juridique, sur d’une part la non-utilisation des données par un tiers, d’autre
part le non-accès aux données par un tiers en vertu de réglementations n’assurant pas une
protection optimale.
Ces éléments doivent pouvoir être contractualisés et vérifiés auprès des différents fournisseurs,
d’où l’importance des projets de labels et de certifications portés au niveau de l’État."

puis

"Concernant la juridiction française, qui s’applique à certains types de données (données personnelles,
notamment données de santé), la souveraineté pourra être garantie si :
• d’une part, le Datacenter hébergeant les données est localisé en France ;
• d’autre part, l’entité juridique qui opère le Datacenter est de droit français.
Le « Cloud souverain » ne doit donc pas s’entendre exclusivement comme « un acteur dont l’État
est actionnaire », mais s’étend à « un acteur disposant d’un hébergement en France avec un
actionnaire majoritaire français (voir européen si les réglementations s’uniformisent au sein des
pays de l’Union) »."

Ils ont fini par comprendre que les données des boites françaises (et du public français) sont hébergées dans les datacenters de Google, Amazon, Facebook ou Microsoft situés en Irlande ou en Hollande. Choses étonnantes en 2017, Amazon, Microsoft et leurs amis vont ouvrir des datacenters dans l'hexagone.
On attend impatiemment la mise au point d'un OS souverain pour aller avec.

L'ANSSI de son coté a planché sur des certifications pour pouvoir estampiller les "clouds" avec deux niveaux : élémentaire ou standard (Diffusion Restreinte).

Si votre boite a un statut d'OIV (Opérateur d'Importance Vitale), je vous conseille de lire ces documents
avec attention pour éviter des migrations idiotes dans les mois qui viennent.

J'espère que cela vous a plu, la permanence sera assurée dans les commentaires par les méta-experts de la moulosphère.