Quiz : Le cloud, les fondamentaux

c. La virtualisation ne fait pas le cloud. Les cinq caractéristiques essentielles du NIST sont le libre-service à la demande, l'accès par le réseau, la mutualisation, l'élasticité rapide et le service mesuré ; un ticket traité en trois jours exclut les deux premières à elles seules. Leçon 1.

Elles continuent de tourner et de servir le trafic : c'est le plan de données, conçu pour survivre aux pannes du plan de contrôle. En revanche, plus rien ne se crée, ne se modifie ni ne se supprime (console, CLI, Terraform), ce qui rend impossible toute mise à l'échelle ou reprise qui suppose de créer des ressources pendant l'incident. Leçon 1.

Les opérations du cloud sont asynchrones : l'API accepte la demande et répond tout de suite, alors que la ressource passe encore par des états transitoires (starting). --wait fait attendre un état stable. Et même alors, cloud-init peut ne pas avoir fini : cloud-init status --wait sur l'instance. Leçons 1 et 4.

b. Le fournisseur répond de la sécurité du cloud ; vous répondez de la sécurité dans le cloud. Les données, les identités, les accès et la configuration restent toujours de votre côté. Leçon 2.

Elle a un point d'accès public et une liste de contrôle d'accès qui autorise 0.0.0.0/0 : seuls le mot de passe et TLS la protègent. On restreint immédiatement l'ACL à son adresse (scw rdb acl set), puis on la rattache à un réseau privé et on supprime le point d'accès public. « Managé » ne veut pas dire « sûr ». Leçons 2 et 6.

L'application garde ses données en mémoire, et chaque exemplaire du conteneur a la sienne. La plateforme démarre et arrête des exemplaires selon le trafic, jusqu'à zéro : les données disparaissent avec eux. Le serverless est un contrat : application sans état, données dans une base ou un stockage objet. Leçon 2.

Une zone regroupe un ou plusieurs centres de données à l'énergie, au refroidissement et au réseau indépendants des autres zones : répartir sur deux zones protège de la perte d'un site. Les zones d'une région sont dans la même agglomération : elles ne protègent pas d'un sinistre régional, ni des erreurs de configuration, des pannes de plan de contrôle ou des services partagés, qui traversent les zones. Leçon 3.

Instance : zonale. Réseau privé : régional. Bucket : régional. Politique IAM : globale. Répartiteur de charge : zonal. L'argument zone= ou region= de la CLI, ou la forme du chemin d'API, le révèle. Leçons 1 et 3.

En parallèle : 1 − 0,005 × 0,005 = 99,9975 %. En série avec le répartiteur : 0,999 × 0,999975 ≈ 99,90 %. Le maillon unique (le répartiteur) fixe la limite. Le calcul suppose des pannes indépendantes, ce qui n'est vrai que si les instances sont dans des zones différentes et ne partagent pas de dépendance. Leçon 3.

Les données utilisateur restent lisibles pendant toute la vie de l'instance : par le service de métadonnées depuis la machine, et par quiconque peut consulter l'instance dans la console ou l'API. On les réserve à la configuration non secrète, et le secret arrive par un autre canal. Leçon 4.

Aucun serveur n'est irremplaçable : chacun est recréé à l'identique depuis une description versionnée (image et cloud-init). Pour un correctif, on crée une nouvelle instance depuis la description mise à jour, on la vérifie, on bascule le trafic, puis on supprime l'ancienne, plutôt que de modifier la machine en place (infrastructure immuable). Leçon 4.

Parce qu'une faille de type SSRF permet à un attaquant de faire envoyer par l'application des requêtes vers l'adresse de métadonnées, et d'y lire des informations sensibles (identifiants temporaires, données utilisateur). Exiger un jeton obtenu par une requête particulière, ou un port réservé à root, empêche une simple requête relayée d'aboutir. Leçon 4.

Base auto-hébergée : bloc (un disque, une instance, une zone). Photos : objet (API HTTP, régional, partage par URL présignée). Répertoire partagé : fichier. Leçon 5.

Oui. La durabilité protège contre la perte de matériel, pas contre une suppression par erreur, un script défectueux ou un rançongiciel muni de vos clés : la réplication copie aussi les erreurs. Versionnement, Object Lock et une copie ailleurs (règle 3-2-1) répondent à ces risques. Leçon 5.

Avec une URL présignée (aws s3 presign ... --expires-in 900) : la signature, calculée avec votre clé, est incluse dans l'URL et expire au bout du délai. Le bucket reste privé. Leçon 5.

Par la passerelle publique : elle annonce la route par défaut sur le réseau privé et fait du NAT sortant, et son bastion SSH (port 61000 par défaut, adresses autorisées à restreindre) sert de rebond (ssh -J bastion@<ip>:61000 ...). Leçon 6.

Non : le groupe de sécurité ne filtre que le trafic de l'interface publique. Le trafic privé se filtre sur l'hôte (nftables, en tenant compte du fait que les ports publiés par Docker contournent la chaîne INPUT) et, entre réseaux privés, par les Network ACL. Leçon 6.

Un test TCP réussit dès que le port écoute, même si l'application ne sait plus répondre ; / peut répondre sans toucher la base. /sante vérifie aussi la base : une instance qui l'a perdue sort du tourniquet, et le trafic va vers celle qui fonctionne. Leçon 6.

Une application IAM dédiée (sig-deploiement), sans accès à la console, avec une politique dont la règle est limitée au projet signalements et au seul jeu de permissions du registre nécessaire ; une clé d'API qui expire, rangée dans un secret d'environnement de la CI. Pas la clé du propriétaire, pas de règle à l'échelle de l'organisation. Scaleway n'ayant pas de refus explicite, on n'accorde que ce qui est nécessaire, puisque les politiques s'additionnent. Leçon 7.

Les IP flexibles (non supprimées sans with-ip=true), les instantanés, les sauvegardes de la base, les buckets et leurs versions, le répartiteur et la passerelle (et leurs IP), des ressources dans une autre zone ou région. On le vérifie par un inventaire de toutes les zones et régions du projet, puis dans la consommation du lendemain ; un budget avec alerte signale ce qui aurait échappé. Leçon 8.