Azure Blob Storage : stockage objet, niveaux d'accès et redondance

Azure Blob Storage est le service de stockage objet d'Azure : il conserve n'importe quel fichier (un blob) dans des conteneurs, accessibles par une API HTTPS, avec un prix au gigaoctet qui dépend du niveau d'accès choisi (chaud, froid, archive) et de la redondance (nombre et emplacement des copies). C'est l'équivalent d'Amazon S3 chez Microsoft. Ce chapitre situe le stockage objet par rapport aux disques et aux partages de fichiers, explique les niveaux d'accès, la redondance et la sécurisation des accès, puis te fait stocker et archiver les bons de livraison de Sorbier.

Objet, bloc, fichier : trois façons de stocker

Le stockage objet tient des volumes énormes à bas coût, mais on n'y modifie pas un fichier en place comme sur un disque : on écrit, on lit, on remplace un objet entier. Le cours Stockage et NAS avec TrueNAS compare les trois types côté infrastructure locale.

Compte de stockage, conteneur et blob

Les données sont rangées sur trois niveaux :

• le compte de stockage, avec un nom unique dans tout Azure, une région, une redondance et des paramètres de sécurité ;
• des conteneurs, l'équivalent des compartiments (buckets) de S3, qui regroupent des blobs et portent leurs propres droits ;
• des blobs, les objets eux-mêmes. Le nom d'un blob peut contenir des barres obliques (2026/11/BL-2026-004512.pdf) : le portail les affiche comme des dossiers, mais ce ne sont que des préfixes.

Chaque blob a une adresse : https://<compte>.blob.core.windows.net/<conteneur>/<blob>. Les documents et fichiers ordinaires sont des blobs de blocs ; les blobs d'ajout servent aux journaux qu'on complète, les blobs de pages aux disques.

Les niveaux d'accès : chaud, froid, archive

Le prix de stockage baisse quand le niveau se refroidit, mais celui de la lecture monte, et une durée minimale de conservation s'applique. Prix relevés en novembre 2026, France Central, redondance LRS, hors taxes :

• La durée minimale est facturée même si tu supprimes avant : un blob archivé puis supprimé au bout de 45 jours est facturé comme s'il était resté 180 jours, soit 135 jours de plus.
• L'archive est hors ligne. Un blob archivé ne peut être ni lu ni modifié : on doit d'abord le réhydrater vers un niveau en ligne, ce qui prend jusqu'à 15 heures en priorité standard. On n'y met donc jamais une donnée dont on pourrait avoir besoin dans l'heure.
• Le niveau par défaut d'un compte est chaud, froid, très froid ou intelligent (smart tier) ; on peut fixer un autre niveau blob par blob. Le niveau intelligent, réservé aux comptes redondants entre zones (ZRS, GZRS ou RA-GZRS), déplace seul les données entre chaud, froid et très froid selon leur usage.

La redondance : LRS, ZRS, GRS, GZRS

Azure garde toujours au moins trois copies de chaque donnée. La redondance choisie dit où elles se trouvent.

Pour un compte en France Central, la région appairée est France South (Marseille) : avec GRS, les données restent en France. Le niveau archive n'est possible qu'avec LRS, GRS ou RA-GRS (la variante de GRS qui permet de lire la copie secondaire).

Sécuriser l'accès aux blobs

S'y ajoutent : le chiffrement au repos, toujours actif (AES 256 bits, avec des clés gérées par Microsoft ou par le client dans Azure Key Vault) ; le TLS 1.2 au minimum en transit ; le pare-feu du compte, qui limite les réseaux d'accès, ou un point de terminaison privé dans un réseau virtuel ; la suppression réversible (soft delete), qui garde les blobs supprimés pendant un nombre de jours fixé ; le versionnage ; et les stratégies d'immuabilité (WORM), qui interdisent toute modification ou suppression pendant une durée.

Lab : stocker et archiver les bons de livraison de Sorbier

Sorbier numérise chaque bon de livraison signé. Les bons du mois en cours sont consultés par le service client ; au bout d'un mois, presque plus personne ne les ouvre ; ils doivent être conservés dix ans, comme pièces justificatives (cours Sauvegarde et PRA).

1. Crée le compte de stockage. Choisis un nom unique : stsorbierlab suivi de tes initiales et de deux chiffres.

az group create --name rg-cloud-lab --location francecentral --tags cours=cloud

COMPTE=stsorbierlabjc42
az storage account create \
  --name "$COMPTE" \
  --resource-group rg-cloud-lab \
  --location francecentral \
  --sku Standard_LRS \
  --kind StorageV2 \
  --min-tls-version TLS1_2 \
  --allow-blob-public-access false

2. Donne-toi le droit d'écrire des blobs, avec ton compte Entra ID plutôt qu'une clé.

MOI=$(az ad signed-in-user show --query id --output tsv)
ID_COMPTE=$(az storage account show --name "$COMPTE" --resource-group rg-cloud-lab --query id --output tsv)

az role assignment create \
  --assignee-object-id "$MOI" \
  --assignee-principal-type User \
  --role "Storage Blob Data Contributor" \
  --scope "$ID_COMPTE"

Une attribution de rôle met parfois quelques minutes à s'appliquer : si l'étape suivante répond AuthorizationPermissionMismatch, patiente un peu.

3. Crée un conteneur et dépose un bon de livraison directement au niveau froid.

az storage container create --account-name "$COMPTE" --name bons-livraison --auth-mode login

echo "Bon de livraison BL-2026-004512, signé le 05/11/2026" > BL-2026-004512.txt

az storage blob upload \
  --account-name "$COMPTE" \
  --container-name bons-livraison \
  --name 2026/11/BL-2026-004512.txt \
  --file BL-2026-004512.txt \
  --tier Cool \
  --auth-mode login

az storage blob list \
  --account-name "$COMPTE" \
  --container-name bons-livraison \
  --query "[].{nom:name, niveau:properties.blobTier}" \
  --output table \
  --auth-mode login

Nom                         Niveau
--------------------------  --------
2026/11/BL-2026-004512.txt  Cool

4. Archive-le, puis essaie de le lire.

az storage blob set-tier --account-name "$COMPTE" --container-name bons-livraison \
  --name 2026/11/BL-2026-004512.txt --tier Archive --auth-mode login

az storage blob download --account-name "$COMPTE" --container-name bons-livraison \
  --name 2026/11/BL-2026-004512.txt --file copie.txt --auth-mode login

Le téléchargement échoue avec une erreur BlobArchived : le blob est hors ligne. Pour le relire, il faudrait le réhydrater (az storage blob set-tier ... --tier Cool --rehydrate-priority Standard) et attendre jusqu'à 15 heures. C'est pour cette raison qu'on n'archive que ce qu'on ne lira presque jamais.

5. Automatise le cycle de vie. Plutôt que de changer les niveaux à la main, une règle de cycle de vie le fait chaque jour : froid après 30 jours sans modification, archive après 180 jours, suppression après 10 ans (3 650 jours).

cat > cycle-de-vie.json <<'EOF'
{
  "rules": [
    {
      "enabled": true,
      "name": "bons-livraison-dix-ans",
      "type": "Lifecycle",
      "definition": {
        "filters": {
          "blobTypes": ["blockBlob"],
          "prefixMatch": ["bons-livraison/"]
        },
        "actions": {
          "baseBlob": {
            "tierToCool": { "daysAfterModificationGreaterThan": 30 },
            "tierToArchive": { "daysAfterModificationGreaterThan": 180 },
            "delete": { "daysAfterModificationGreaterThan": 3650 }
          }
        }
      }
    }
  ]
}
EOF

az storage account management-policy create \
  --account-name "$COMPTE" \
  --resource-group rg-cloud-lab \
  --policy @cycle-de-vie.json

Le filtre prefixMatch commence par le nom du conteneur : la règle ne touche que les bons de livraison.

6. Protège contre les suppressions accidentelles, puis termine le lab.

az storage account blob-service-properties update \
  --account-name "$COMPTE" \
  --resource-group rg-cloud-lab \
  --enable-delete-retention true \
  --delete-retention-days 14 \
  --enable-versioning true

az group delete --name rg-cloud-lab --yes --no-wait

Exercices