Chapitre 311 minIntermédiaire
Cloud public, privé, hybride et multicloud
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- définir les quatre modèles de déploiement du NIST ;
- distinguer cloud hybride et multicloud ;
- décrire la liaison entre un site et un réseau virtuel Azure ;
- recommander un modèle de déploiement pour une organisation.
4 exercices corrigés1 schéma
Le cloud public est ouvert à tous les clients d'un fournisseur, le cloud privé est réservé à une seule organisation, et le cloud hybride combine les deux, reliés entre eux ; le multicloud consiste à utiliser plusieurs clouds publics. Ces modèles de déploiement répondent à une autre question que IaaS, PaaS et SaaS : non pas « qui gère quoi », mais « à qui est réservée l'infrastructure ». Ce chapitre donne les définitions du NIST, montre comment Sorbier relie son site à Azure, et propose des critères pour choisir.
Les quatre modèles de déploiement du NIST
| Modèle | Pour qui | Qui possède et exploite | Exemple |
|---|---|---|---|
| Cloud public | Tout client qui s'inscrit | Le fournisseur, dans ses centres de données | Azure, AWS, Google Cloud, OVHcloud Public Cloud, Scaleway |
| Cloud privé | Une seule organisation (et ses filiales) | L'organisation elle-même, ou un prestataire pour elle ; sur site ou hébergé | Un cluster OpenStack interne avec portail de libre-service ; une infrastructure dédiée chez un hébergeur |
| Cloud communautaire | Un groupe d'organisations qui partagent des besoins (sécurité, réglementation) | Une ou plusieurs d'entre elles, ou un prestataire | Un cloud mutualisé entre établissements de santé ou entre collectivités |
| Cloud hybride | Une organisation qui combine au moins deux des modèles précédents | Chacun pour sa partie, reliées par des technologies qui permettent de déplacer données et applications | Sorbier : annuaire et serveurs sur site, applications web dans Azure |
Public ne veut pas dire « visible par tous » non plus : les ressources de chaque client d'un cloud public sont isolées de celles des autres locataires. Le mot désigne l'ouverture de l'offre, pas l'accès aux données.
Le cloud hybride : relier le site et le cloud
Une PME passe rarement tout dans le cloud d'un coup. Chez Sorbier, la cible des deux prochaines années est hybride :
- Restent sur site : l'Active Directory (
srv-aden.177,srv-ad2en.181), les partages de fichiers, le NAS TrueNAS, le cluster Proxmox, la supervision et Wazuh, et les terminaux de l'entrepôt. - Passent dans Azure : l'application de suivi des livraisons (aujourd'hui sur
srv-weben DMZ), sa base de données et les bons de livraison numérisés. - Restent à décider : la messagerie tourne sur le serveur interne
smtp.sorbier.example; un passage à Microsoft 365, donc au SaaS, est à l'étude.
Pour que l'ensemble fonctionne comme un seul système, Sorbier relie trois choses.
Les identités. Les salariés gardent un seul compte. L'annuaire local reste la source d'autorité, et un agent de synchronisation recopie les comptes dans Microsoft Entra ID, l'annuaire cloud de Microsoft, qui sert pour Azure et servira pour Microsoft 365 si Sorbier l'adopte (chapitre 11).
Les réseaux. Les applications de Sorbier dans Azure tournent dans un réseau virtuel (VNet) privé. Pour que les serveurs du siège et ceux d'Azure se parlent sans passer en clair par Internet, on monte un VPN site à site IPsec entre le pare-feu pf1 (203.0.113.17) et une passerelle VPN Azure, comme le tunnel qui relie déjà le siège à l'entrepôt de Mâcon (cours pfSense). Les grandes organisations lui préfèrent une liaison privée louée à un opérateur, ExpressRoute chez Microsoft (Direct Connect chez AWS), qui ne passe pas par Internet.
La supervision et la sécurité. Les journaux d'Azure (connexions, modifications de ressources) rejoignent le SIEM Wazuh du siège, et les ressources cloud apparaissent dans la supervision au même titre que les serveurs locaux.
Relier un site au cloud : trois liaisons
| Liaison | Principe | Qualité | Coût | Pour |
|---|---|---|---|---|
| VPN point à site | Chaque poste ouvre son propre tunnel chiffré vers le réseau virtuel | Celle de la connexion Internet du poste | Faible | Les administrateurs nomades, un labo |
| VPN site à site (IPsec) | Un tunnel permanent entre le pare-feu du site et la passerelle VPN d'Azure ; tous les postes du site en profitent | Celle de la liaison Internet du site, variable | La passerelle est facturée à l'heure, plus le trafic | Une PME comme Sorbier |
| Liaison privée (ExpressRoute) | Un circuit loué à un opérateur, qui relie le site au réseau de Microsoft sans passer par Internet | Débit réservé, latence stable | Élevé : circuit, opérateur, engagement | Les grandes organisations, les flux critiques ou volumineux |
Le chiffrement reste nécessaire sur une liaison privée si les données sont sensibles : « privé » veut dire « qui ne passe pas par Internet », pas « chiffré ».
Construire un cloud privé
Un cloud privé n'est pas un simple hyperviseur : il ajoute un portail de libre-service, une API, des quotas et une mesure de la consommation par équipe. Les logiciels libres OpenStack et Apache CloudStack servent à en construire un ; OpenStack fait d'ailleurs tourner le cloud public d'OVHcloud. Une PME de la taille de Sorbier n'a pas besoin d'un cloud privé : son cluster Proxmox, administré par l'équipe informatique, lui suffit (cours Virtualisation). Le cloud privé se justifie quand de nombreuses équipes doivent créer elles-mêmes leurs ressources, avec des contraintes qui interdisent le cloud public.
Le multicloud
Le multicloud consiste à utiliser plusieurs clouds publics à la fois. Sorbier le deviendra sans l'avoir vraiment décidé : ses applications iront dans Azure, alors que son NAS envoie déjà une copie chiffrée de ses archives vers un stockage objet compatible S3 hébergé en France, chez un autre fournisseur (cours TrueNAS). Ne pas mettre toutes ses copies chez le même fournisseur est d'ailleurs une bonne pratique de sauvegarde (cours Sauvegarde et PRA).
| Cloud hybride | Multicloud | |
|---|---|---|
| Ce qu'on combine | Du privé (ou du sur site) et du public | Plusieurs fournisseurs de cloud public |
| Pourquoi | Garder sur site ce qui doit y rester, profiter du cloud pour le reste | Prendre le meilleur service de chacun, réduire la dépendance, répondre à une contrainte réglementaire |
| Difficulté principale | Relier réseaux et identités | Maîtriser plusieurs consoles, plusieurs modèles de droits et plusieurs factures |
Les deux se combinent : une organisation peut être à la fois hybride et multicloud. Le multicloud a un coût caché : faire circuler des données d'un fournisseur à l'autre génère des frais de transfert sortant. La loi SREN de 2024 les plafonne aux coûts réels du fournisseur, et le règlement européen sur les données (Data Act) fait de même pour l'utilisation simultanée de plusieurs fournisseurs (article 34) ; seuls les frais de changement de fournisseur disparaissent, à partir du 12 janvier 2027 (chapitre 4).
Choisir un modèle de déploiement
| Critère | Penche vers le public | Penche vers le privé ou le sur site |
|---|---|---|
| Sensibilité des données | Données courantes, données personnelles bien encadrées | Données très sensibles, secrets industriels, obligations sectorielles |
| Variabilité de la charge | Pics saisonniers, projets temporaires | Charge stable et prévisible |
| Investissements existants | Matériel en fin de vie | Matériel récent, déjà amorti en partie |
| Compétences | Équipe réduite, envie de services managés | Équipe qui maîtrise l'exploitation de son infrastructure |
| Dépendance au réseau | Bon accès Internet, utilisateurs nomades | Sites isolés, liaison Internet fragile |
| Réglementation | Pas de contrainte d'hébergement particulière | Exigence d'une offre qualifiée ou d'un hébergeur certifié (chapitre 4) |
Le cloud hybride est souvent la réponse réaliste : chaque application va là où ses contraintes la placent.
Exercices
Exercice 1 sur 4 Reconnaître le modèle de déploiement Réussi À revoir
Dis à quel modèle (public, privé, communautaire, hybride) correspond chaque situation, et précise si elle est aussi multicloud.
- Une agglomération et ses douze communes partagent un cloud exploité par un syndicat informatique, réservé à leurs services.
- Une start-up héberge toute son application chez Scaleway.
- Une PME garde son Active Directory sur site et synchronise ses comptes avec Entra ID pour utiliser Microsoft 365.
- Une banque exploite dans ses propres centres de données un cloud OpenStack avec portail de libre-service, réservé à ses équipes.
- Un éditeur fait tourner son application sur AWS et ses analyses de données sur Google Cloud.
Voir la réponseMasquer la réponse de l'exercice 1
- Communautaire : un groupe d'organisations aux besoins communs se partage une infrastructure qui leur est réservée.
- Public, chez un seul fournisseur.
- Hybride : un annuaire sur site relié à un service de cloud public. Elle sera aussi multicloud si elle utilise un second fournisseur de cloud public, par exemple pour ses sauvegardes.
- Privé : usage exclusif d'une seule organisation, avec libre-service.
- Public et multicloud : deux fournisseurs de cloud public, sans infrastructure privée.
Tu avais trouvé ?
Exercice 2 sur 4 Choisir l'adressage du réseau virtuel Réussi À revoir
Sorbier relie son siège à Azure par un VPN IPsec. Pour chaque plage proposée pour le réseau virtuel Azure, dis si elle convient, et pourquoi.
192.168.21.0/2410.8.0.0/1610.50.0.0/16172.16.0.0/1610.0.0.0/8
Voir la réponseMasquer la réponse de l'exercice 2
- Non : c'est le VLAN 21 APPLIS du siège. Les routes seraient ambiguës.
- Non : elle contient
10.8.0.0/24et10.8.1.0/24, les réseaux des VPN nomades. - Oui :
10.50.0.0à10.50.255.255ne recouvre aucun réseau de Sorbier. - Oui :
172.16.0.0à172.16.255.255est une plage privée que Sorbier n'utilise pas. - Non : elle englobe tous les réseaux en
10.x, donc les VPN nomades (10.8.0.0/24,10.8.1.0/24) et les sites distants (10.30.0.0/23,10.40.0.0/24). Une plage aussi large gaspille aussi l'espace d'adressage pour les liaisons futures.
Tu avais trouvé ?
Exercice 3 sur 4 Choisir la liaison Réussi À revoir
Propose une liaison entre le site et Azure pour chaque situation, et justifie.
- Deux administrateurs de Sorbier veulent joindre les VM de test d'Azure depuis chez eux, sans adresse IP publique sur ces VM.
- Les serveurs du siège de Sorbier doivent échanger en permanence avec l'application de suivi des livraisons et sa base dans Azure.
- Un grand distributeur transfère chaque nuit plusieurs téraoctets entre ses centres de données et Azure, avec une latence qui doit rester stable.
Voir la réponseMasquer la réponse de l'exercice 3
- VPN point à site : chaque administrateur ouvre un tunnel depuis son poste ; c'est simple, peu coûteux, et les VM restent sans adresse publique.
- VPN site à site IPsec entre
pf1et une passerelle VPN Azure : un seul tunnel permanent sert tout le siège, sur la liaison Internet existante. - Liaison privée de type ExpressRoute : débit réservé et latence stable, sans dépendre d'Internet ; son coût se justifie par le volume et le caractère critique des transferts.
Tu avais trouvé ?
Exercice 4 sur 4 Hybride ou multicloud ? Réussi À revoir
Pour chaque phrase, réponds « hybride », « multicloud » ou « les deux ».
- On combine plusieurs fournisseurs de cloud public.
- On relie une infrastructure sur site à un cloud public.
- Le principal défi est de maîtriser plusieurs modèles de droits et plusieurs factures.
- Le principal défi est de relier les réseaux et les identités de deux mondes différents.
- Sorbier dans deux ans : son AD sur site, ses applications dans Azure, la copie de ses archives chez un hébergeur français de stockage objet.
Voir la réponseMasquer la réponse de l'exercice 4
- Multicloud. 2. Hybride. 3. Multicloud. 4. Hybride. 5. Les deux : hybride (sur site et cloud public) et multicloud (Microsoft et l'hébergeur du stockage objet).
Tu avais trouvé ?