Piliers de l’excellence opérationnelle et de la sécurité

Le AWS Well-Architected Framework fournit un ensemble de bonnes pratiques et de questions directrices pour aider les architectes à créer une infrastructure cloud sécurisée, performante, résiliente et efficace. Il est organisé en six piliers : Operational Excellence, Security, Reliability, Performance Efficiency, Cost Optimisation et Sustainability. Cette leçon couvre les deux premiers piliers. L’examen SAA-C03 demande fréquemment à quel pilier appartient un principe de conception donné ; il est donc essentiel de bien comprendre chaque pilier.

Le pilier Operational Excellence porte sur l’exploitation et la surveillance des systèmes afin de fournir de la valeur métier, ainsi que sur l’amélioration continue des processus. Principes de conception clés : effectuer les opérations sous forme de code — utilisez CloudFormation, CDK ou Systems Manager pour automatiser l’infrastructure et les tâches opérationnelles. Effectuer des modifications fréquentes, limitées et réversibles — déployez de petites améliorations qui peuvent faire l’objet d’un retour arrière. Anticiper les pannes — concevez vos systèmes pour permettre la récupération après une panne et entraînez-vous à cette récupération. Tirer les enseignements des défaillances opérationnelles — réalisez des analyses post-incident et améliorez vos processus.

Considérer l’infrastructure comme du code signifie que l’ensemble de votre environnement — VPC, instances EC2, bases de données RDS, rôles IAM — est défini dans des modèles gérés par contrôle de version, qui peuvent être révisés, testés et déployés de manière cohérente. AWS CloudFormation est le service IaC natif, avec détection de dérive et ensembles de modifications. AWS CDK vous permet d’écrire l’infrastructure dans des langages de programmation familiers (Python, TypeScript). AWS Systems Manager Automation formalise les procédures opérationnelles (par exemple, l’application de correctifs et les instantanés) sous forme de documents exécutables.

Vous ne pouvez pas améliorer ce que vous ne pouvez pas voir. L’excellence opérationnelle exige une observabilité : des métriques, des journaux et des traces qui vous donnent une visibilité sur le comportement de votre système. Sur AWS, cela signifie utiliser CloudWatch Metrics pour les points de données numériques, CloudWatch Logs pour l’agrégation et l’analyse des journaux, AWS X-Ray pour le traçage distribué entre les microservices, et CloudWatch Dashboards pour une visibilité opérationnelle en temps réel. Définissez des indicateurs clés de performance métier et techniques et mesurez-les en continu afin de savoir quand vous atteignez vos objectifs opérationnels.

Les procédures opérationnelles sont des procédures détaillées, étape par étape, destinées aux tâches courantes (déployer une nouvelle version, augmenter la capacité pour faire face à un événement de trafic). Les guides d’intervention décrivent les procédures à suivre pour répondre aux incidents (basculement d’une base de données, faille de sécurité). AWS Systems Manager Run Command et Automation vous permettent d’exécuter des procédures opérationnelles par programmation sur l’ensemble de votre parc EC2. Stockez ces procédures dans un système de contrôle de version, révisez-les régulièrement et exécutez-les lors d’exercices afin que les ingénieurs d’astreinte les connaissent avant que des incidents ne surviennent.

Le pilier Security vise à protéger les informations, les systèmes et les ressources. Principes clés de conception : Mettre en place une base solide pour les identités — utilisez IAM avec le principe du moindre privilège et éliminez les identifiants à long terme. Activer la traçabilité — consignez et auditez toutes les actions. Appliquer la sécurité à toutes les couches — pas seulement au périmètre, mais aussi aux couches réseau, de calcul, de données et applicative. Protéger les données en transit et au repos — chiffrez toutes les données. Automatiser les bonnes pratiques de sécurité — utilisez les règles Config et Security Hub pour une évaluation continue.

Le moindre privilège consiste à n’accorder que les autorisations minimales requises pour une tâche, et rien de plus. En pratique : utilisez des rôles IAM plutôt que des clés d’accès à long terme pour les services. Utilisez des limites d’autorisation pour restreindre ce que les rôles peuvent accorder à d’autres rôles. Utilisez les politiques de contrôle des services (SCP) dans AWS Organizations pour établir des garde-fous entre les comptes. Examinez régulièrement les autorisations avec IAM Access Analyzer afin de détecter les politiques trop permissives. Faites tourner les clés d’accès et activez MFA pour tous les utilisateurs humains.

Le pilier Security impose de chiffrer les données au repos et en transit. Pour les données au repos : activez le chiffrement KMS sur les compartiments S3, les volumes EBS, RDS, DynamoDB et EFS. Utilisez des clés gérées par le client (CMK) pour les charges de travail sensibles lorsque vous devez contrôler la rotation des clés. Pour les données en transit : imposez TLS 1.2+ sur tous les points de terminaison d’API (ALB, API Gateway), utilisez des certificats ACM et configurez des politiques de sécurité qui refusent les suites de chiffrement faibles. Ne transmettez jamais d’identifiants ni de données sensibles en clair.

La réponse manuelle aux incidents est trop lente lorsque des événements de sécurité se produisent à l’échelle du cloud. Le pilier Security met l’accent sur l’automatisation de la réponse aux incidents. Exemple : GuardDuty détecte une instance EC2 compromise qui établit des connexions sortantes suspectes. Une règle EventBridge déclenche une fonction Lambda qui isole automatiquement l’instance (la retire de l’ASG et lui applique un groupe de sécurité restrictif), puis envoie une notification à l’équipe de sécurité. Cette réponse automatisée se produit en quelques secondes, et non en plusieurs heures.

Le pilier Security exige la traçabilité : savoir qui a fait quoi, quand et depuis où. AWS CloudTrail enregistre chaque appel d’API effectué dans votre compte : l’auteur de l’appel, l’adresse IP utilisée, les identifiants employés et le résultat obtenu. AWS Config surveille en continu la configuration des ressources et détecte lorsqu’elle s’écarte de vos règles de conformité (par exemple, lorsqu’un compartiment S3 devient public). Ensemble, CloudTrail et Config fournissent une piste d’audit complète pour les enquêtes de sécurité et les preuves de conformité.

AWS Security Hub regroupe les résultats de sécurité de GuardDuty, Inspector, Macie, IAM Access Analyzer, Config et d’outils tiers dans un tableau de bord unique. Il évalue votre environnement par rapport à des normes de sécurité telles que le CIS AWS Foundations Benchmark, le PCI DSS et les AWS Foundational Security Best Practices. Security Hub attribue un niveau de gravité aux résultats et vous permet de définir des actions de correction automatisées via EventBridge. Activez Security Hub comme centre névralgique de la gestion de votre posture de sécurité.

Dans cette leçon, vous avez appris que : Operational Excellence met l’accent sur les opérations sous forme de code, les petites modifications réversibles et l’apprentissage à partir des défaillances ; le pilier Security impose le moindre privilège, la défense en profondeur et une réponse automatisée aux incidents ; et CloudTrail, Config et Security Hub fournissent des contrôles de détection pour une surveillance continue de la sécurité. Ces deux piliers sont fondamentaux pour tout système AWS bien architecturé. Nous allons maintenant explorer les piliers Reliability et Performance Efficiency.