Entrazure
Ce qui est construit
Cette mission industrialise l’architecture décrite sur la page de service landing zone Azure. Même périmètre à chaque fois, ce qui fait des quatre semaines un engagement plutôt qu’une estimation.
Hiérarchie de groupes d’administration et provisionnement de souscriptions. Une structure qui correspond à la façon dont l’organisation répartit réellement les responsabilités, par unité d’affaires, par environnement ou par frontière réglementaire, plus une manière répétable de créer la prochaine souscription sans que personne ait à se souvenir d’une liste de contrôle.
Azure Policy. Restriction de région, services autorisés, étiquettes obligatoires, chiffrement, paramètres de diagnostic et limites de SKU. Assignées au niveau où le propriétaire d’une souscription pressé ne peut pas les contourner. Déployées d’abord en mode audit, pour que vous mesuriez la portée avant l’application.
Socle d’identité. Configuration d’Entra ID, accès conditionnel, Privileged Identity Management pour les rôles d’administration, comptes de secours avec procédure testée, et un modèle de rôles qui accorde ce que le poste exige plutôt que Propriétaire sur tout. Le travail d’identité approfondi relève de cybersécurité et Entra ID.
Réseau. Topologie hub-and-spoke, Azure Firewall ou équipement tiers si vous en détenez la licence, points de terminaison privés et zones DNS privées pour les services PaaS, et connectivité hybride vers ce qui reste sur site. L’exposition publique est l’exception, et elle est documentée comme telle.
Observabilité et coûts. Log Analytics centralisé, paramètres de diagnostic appliqués par politique plutôt qu’à la main, Defender for Cloud au plan qui convient au parc, budgets et alertes d’anomalie par souscription.
Pipelines. GitHub Actions ou Azure DevOps, qui planifient à la pull request et appliquent à la fusion, avec des identifiants fédérés OIDC plutôt qu’un secret longue durée posé dans un groupe de variables.
Comment se déroulent les quatre semaines
Semaine 1, les décisions. Les choix coûteux à défaire : forme de la hiérarchie, stratégie de régions, modèle d’identité, adressage réseau, nommage et étiquetage, Terraform ou Bicep. Le livrable est un registre de décisions avec la raison attachée à chaque choix, pour que la personne qui demandera pourquoi dans deux ans obtienne une réponse. Aucun déploiement cette semaine-là, et c’est délibéré.
Semaine 2, la plateforme. Groupes d’administration, politiques en mode audit, réseau hub, journalisation et socle d’identité déployés sur un ensemble de souscriptions hors production et revus avec votre équipe face au registre de décisions.
Semaine 3, production et pipelines. Le même code est promu en production. Les politiques passent d’audit à application à la date convenue. Protection de branche, règles de revue et pipeline entrent en service, et vos ingénieurs ouvrent leur première pull request contre l’infrastructure pendant que nous sommes encore là.
Semaine 4, la remise. Documentation, procédures d’exploitation, séance de passation avec les personnes qui vont l’exploiter, et un carnet écrit de ce que nous avons délibérément laissé de côté, avec une estimation en face de chaque élément.
Ce que vous gardez
- Un dépôt Terraform ou Bicep dans votre organisation Git, documenté, avec l’historique des plans et des applications.
- Les pipelines et les identifiants fédérés qui les portent, sans aucun secret détenu par nous.
- Le registre de décisions de la semaine 1.
- Un jeu de politiques aligné sur les contrôles qu’un auditeur examine, qui alimente l’architecture de conformité si un audit approche.
- Les procédures de création de souscription, d’accès de secours et d’exemption de politique.
- Le carnet des exclusions, priorisé et estimé honnêtement.
Ce que ça vous coûte, en effort et en accès
Accès : Propriétaire sur le groupe d’administration racine pour la durée, ou un équivalent délégué qui convient à votre équipe de sécurité, plus un dépôt dans votre organisation Git et la capacité de créer les principaux de service ou identifiants fédérés utilisés par les pipelines. Si votre processus de changement impose un comité d’approbation, dites-le en semaine 1 et nous construisons le calendrier autour.
Effort : environ quatre heures par semaine d’un interlocuteur technique, concentrées en semaine 1 où les séances de décision durent trois à quatre heures réparties sur deux ou trois jours et exigent quelqu’un qui peut réellement trancher. Un architecte obligé de faire valider chaque réponse transforme une construction de quatre semaines en construction de six.
Prérequis : l’accord sur la hiérarchie de souscriptions. Pas la conception technique, qui est notre travail, mais la question organisationnelle de savoir qui possède quoi. Si elle n’est pas tranchée, la construction cale en semaine 1.
Pour qui c’est
Des organisations de 50 à 5 000 personnes qui démarrent sérieusement sur Azure, ou dont le parc a grandi sans gouvernance et freine désormais chaque projet. La mission s’enchaîne bien avant une migration, un projet d’ingénierie IA ou un audit : les trois révèlent un parc non gouverné en quelques semaines. Quand la résidence est le déclencheur, le jeu de politiques est conçu dès la semaine 1 face aux questions de souveraineté Novarque et de Loi 25, plutôt que rattrapé ensuite.
Pour qui ce n’est pas
Si vous exploitez trois machines virtuelles et n’avez aucun projet de croissance, c’est du sur-dimensionnement, et nous vous le dirons avant de vous le facturer.
Si personne chez vous ne peut maintenir de l’infrastructure en code après la remise, dites-le au départ. Nous cadrerons une architecture plus simple que votre équipe peut réellement exploiter, ou un arrangement infogéré. Remettre un parc sophistiqué à une équipe qui ne peut pas l’exploiter est un échec de livraison qui a l’air d’une réussite pendant environ quatre mois.
Si la question de la hiérarchie est politique et non technique, réglez-la d’abord. Nous ne pouvons pas déployer autour d’un désaccord non tranché sur la propriété des budgets.
Par où commencer en cas de doute
L’audit de deux semaines vous dira si c’est la bonne prochaine étape ou si autre chose dans le carnet passe devant.
Questions fréquentes
Pourquoi quatre semaines, et qu’est-ce qui fait déraper ?
Quatre semaines parce que le périmètre est fixe et l’architecture déjà décidée. Ce qui fait déraper n’est jamais le code. C’est une décision d’identité qui attend un dirigeant en vacances, un plan d’adressage à récupérer auprès d’une autre équipe, ou un circuit d’approbation que personne n’avait cartographié. Ces trois éléments sont visibles en semaine 1, et c’est pour cela que la semaine 1 sert aux décisions et non au déploiement.
Et si nous avons déjà des souscriptions et des charges de travail ?
C’est le point de départ normal. Les souscriptions existantes sont déplacées sous la nouvelle hiérarchie de groupes d’administration sans redéployer les charges qu’elles contiennent. Les politiques sont d’abord assignées en mode audit, pour que vous voyiez ce qui échouerait avant toute application, puis appliquées à une date convenue. Rien n’est supprimé.
Terraform ou Bicep ?
Terraform par défaut, parce que la plupart des équipes qui en héritent peuvent recruter dessus et parce qu’il couvre les ressources non Azure qui finissent toujours par apparaître. Bicep si votre équipe fait déjà du Bicep et compte continuer : lui imposer Terraform crée un problème de maintenance au troisième mois. La décision est prise en semaine 1 et la raison est consignée.
Obtenons-nous le code, et à partir de quand ?
Dès le premier commit, dans votre organisation Git, pas la nôtre. Nous travaillons dans votre dépôt, sous vos règles de protection de branche. Si vous arrêtez le mandat en semaine 2, vous détenez quand même tout ce qui a été produit jusque-là, et c’est déployable.
Qu’est-ce qui n’est explicitement pas dans les quatre semaines ?
La migration des charges de travail, la refonte applicative, une consolidation complète de tenant Entra ID, l’approvisionnement d’un circuit ExpressRoute, et tout équipement tiers dont vous ne détenez pas déjà la licence. Ces exclusions sont nommées avant signature et figurent dans le carnet de remise avec une estimation, pour que la frontière soit écrite plutôt que découverte.
Que se passe-t-il après la semaine 4 ?
Vous l’exploitez. C’est le but. Certains clients prennent un accompagnement léger les premiers mois pendant que leur équipe prend confiance avec le pipeline, d’autres ne prennent rien. Nous ne faisons pas de l’accompagnement une condition, et la remise est conçue pour une équipe qui ne nous rappellera jamais.
Une question sur ce mandat ?
Trois champs. Un architecte le lit et répond en un jour ouvrable.