☁️ Microsoft Azure – Écosystème Cloud (Guide)

1.1 Vue d’ensemble – Microsoft Azure

Azure en 3 lignes

Cloud public Microsoft, très fort sur entreprise, Windows et l’écosystème Microsoft.
Intégration native avec Entra ID (Azure AD), M365, AD on-prem, .NET, SQL Server.
Très bon support hybrid (Arc, Stack) et gouvernance à grande échelle.

Positionnement vs AWS/GCP

AWS : catalogue immense, très “infra” + services managés.
GCP : data/ML & réseau global.
Azure : entreprise, IAM/AD, hybrid, outils DevOps, conformité.

Modèle de “building blocks” Azure

Tenant : identités (Entra ID) et gouvernance globale.
Subscription : unité de facturation + quotas.
Resource Group : conteneur de ressources (lifecycle, tags).
Resource : VM, SQL, Storage, etc.

Modèle de coûts

Pay-as-you-go + réservations (Reserved Instances) + Savings Plans.
Budgets/alertes via Cost Management + tagging strict.
Optimisation : autoscale, shutdown planifié, tiers storage, rightsizing VM.

Tenant / Management Groups / Subscriptions

Tenant : annuaire Entra ID (users, groups, apps, policies).
Management Groups : hiérarchie au-dessus des subscriptions.
Subscriptions : isoler prod/nonprod, équipes, environnements.
Resource Groups : regroupement logique (application, env, region).

Tenant (Entra ID)
  ├─ Management Group: Platform
  │    ├─ Subscription: sec-logging
  │    └─ Subscription: shared-network
  ├─ Management Group: Apps
  │    ├─ Subscription: app-nonprod
  │    └─ Subscription: app-prod

Policies & RBAC

Azure Policy : garde-fous (deny/public IP, régions autorisées, tags requis…).
RBAC : rôles assignés au scope (MG, Sub, RG, ressource).
Bon pattern : groupes Entra ID → roles RBAC (pas des users directs).
Landing Zones : standardisation (network, logging, identity, security).

Forces Azure (enterprise)

Intégration AD/Entra, SSO, MFA, Conditional Access.
Stack Microsoft complète : Windows Server, SQL Server, .NET, M365.
Hybrid : Azure Arc, Stack HCI, ExpressRoute, AD Connect.
Conformité : certifications, régions souveraines selon pays.

Services “signature”

AKS (Kubernetes), App Service (PaaS web), Functions (serverless).
Azure SQL & Managed Instance, Cosmos DB, Event Hubs.
Defender for Cloud + Sentinel (SIEM/SOAR) + Key Vault.
Azure DevOps / GitHub Actions (CI/CD).

Cas d’usage typiques

Migration de SI Windows/.NET/SQL Server vers Azure (lift & shift ou modernisation).
Plateformes web : App Service / AKS + Azure SQL + Front Door.
Event-driven : Event Grid / Service Bus / Functions.
Data : Synapse + Data Factory + Data Lake + Power BI.

Contexte IDEO-Lab (idées de démos)

API Django/Rust sur App Service ou AKS, front via Front Door + WAF.
Logs centralisés dans Log Analytics + alertes Azure Monitor.
Key Vault pour secrets + managed identities (zéro secrets en code).
Pipelines CI/CD via GitHub Actions et déploiement infra via Bicep/Terraform.

1.2 Global Infrastructure – Regions, AZ, subscriptions, landing zones

Régions & Availability Zones

Azure est organisé en regions (ex: West Europe, France Central) et Availability Zones.
Pattern : déployer en multi-AZ pour HA ; multi-région pour DR.
Pour certaines régions : “paired regions” (couplage pour DR Microsoft).

Réseau backbone & edge

Backbone Microsoft global, edge via Front Door/CDN.
Anycast & routage global pour HTTP(s) via Front Door.
ExpressRoute pour liaisons privées datacenters ↔ Azure.

Landing Zone (concept)

Une “landing zone” = architecture standard pour accueillir des workloads.
Inclut : réseau hub/spoke, logging, sécurité, policies, IAM, naming.
But : déployer vite et propre, sans dette et sans “snowflakes”.

Structure type (hub/spoke)

Hub : firewall, gateway, DNS, shared services.
Spokes : VNets applicatifs isolés (par app / env).
Peering contrôlé + inspection trafic dans hub.

DR (Disaster Recovery)

Définir RPO/RTO, classifier workloads (tier 0/1/2/3).
Outils :
- Azure Site Recovery (VM DR).
- Geo-replication storage.
- SQL geo-replication / failover groups.

Patterns de résilience

Active/Active via Front Door, backends multi-régions.
Active/Passive avec warm standby.
Chaos testing & runbooks (SRE) : procédures de bascule documentées.

1.3 Compute – VM, AKS, App Service, Container Apps

Virtual Machines

VM Windows/Linux, scale sets, images, extensions.
Choix tailles (D/E/F/L/M-series…), reserved instances.
Pour HA : Availability Sets / Zones + load balancer.

az vm create \
  --resource-group rg-ilab-dev \
  --name ilab-vm \
  --image Ubuntu2204 \
  --size Standard_D2s_v5 \
  --admin-username azureuser

AKS / App Service / Container Apps

AKS : Kubernetes managé, node pools, autoscaling, upgrades.
App Service : PaaS web (sites, APIs) + scaling.
Container Apps : modèle serverless containers (KEDA, scale to zero).
Choix :
- App Service → simple, web/API standard.
- AKS → microservices avancés + besoin K8s natif.
- Container Apps → compromis moderne, event-driven.

1.4 Storage – Blob, Disks, Files, tiers & lifecycle

Blob Storage (objet)

Containers + blobs, tiers Hot/Cool/Archive.
Lifecycle management : move tiers, delete après X jours.
Versioning, immutability, encryption (Microsoft-managed ou customer-managed keys).

Disks & Azure Files

Managed Disks : Standard HDD/SSD, Premium SSD, Ultra.
Snapshots + backups, performance dépend du SKU.
Azure Files : SMB/NFS managé, idéal pour partages legacy.
Pattern : backups → Blob + archive ; assets statiques → Blob + CDN.

2.1 Réseau & Edge – VNet, NSG, Firewall, Front Door, ExpressRoute

VNet & segmentation

VNet + subnets + NSG (Network Security Groups).
Azure Firewall pour inspection centralisée (hub).
Private Endpoints pour accéder à PaaS sans IP publique.
VPN Gateway / ExpressRoute pour hybrid privé.

Edge : Front Door & CDN

Azure Front Door : LB global L7 + WAF + caching.
Azure CDN : diffusion contenu statique.
Azure DNS : zones publiques/privées.
Pattern : Front Door + WAF devant App Service / AKS ingress.

2.2 Data & Analytics – Azure SQL, Cosmos DB, Synapse, Data Factory

Bases & services data

Azure SQL (PaaS) + Managed Instance (quasi-compat SQL Server).
Cosmos DB : NoSQL global, multi-model (Core, Mongo API...).
Redis : Azure Cache for Redis (cache/queues).
Event Hubs : streaming (équivalent Kafka-like).

Analytics & pipelines

Synapse Analytics : DW + Spark + SQL pools.
Data Factory : orchestrateur ETL/ELT, connecteurs enterprise.
Data Lake Storage Gen2 : data lake objet, intégration ADLS.
Power BI : reporting, dashboards, BI.

2.3 Serverless & Events – Functions, Logic Apps, Event Grid, Service Bus

Azure Functions

Fonctions event-driven (HTTP, queues, Event Grid, timer…).
Durable Functions : orchestrations, state machines.
Cas d’usage : webhooks, jobs CRON, glue code, ingestion events.

Logic Apps, Event Grid, Service Bus

Logic Apps : workflows low-code (connecteurs enterprise).
Event Grid : event routing, fan-out (pub/sub events).
Service Bus : queues/topics enterprise (transactions, sessions, DLQ).
Pattern : Event Grid → Function → Service Bus → microservices.

3.1 Sécurité – Entra ID, RBAC, Key Vault, Defender, Policies

Identité : Entra ID (Azure AD)

SSO/MFA/Conditional Access, B2B/B2C, applications enterprise.
Managed Identities : identités pour ressources (zéro secrets en code).
RBAC Azure : rôles assignés sur subscription/RG/ressource.

Key Vault & sécurité cloud

Key Vault : secrets, certificats, clés KMS.
Defender for Cloud : posture management, vulnérabilités, recommandations.
Azure Policy : gouvernance (deny, audit, deployIfNotExists).
Sentinel : SIEM/SOAR (corrélation logs, alerting).

3.2 Observabilité – Azure Monitor, Log Analytics, App Insights

Azure Monitor suite

Metrics + logs + traces unifiés.
Log Analytics workspace : requêtes KQL.
Application Insights : APM, latences, exceptions, dépendances.

# Exemple KQL
requests
| where timestamp > ago(24h)
| summarize count() by resultCode
| order by count_ desc

Bonnes pratiques SRE

Alertes sur P95 latence, 5xx, saturation CPU/mémoire, quota.
Centraliser logs prod dans workspace dédié + retention policies.
Dashboards par service + runbooks incidents.
Corrélation : Front Door WAF logs + App Insights + infra metrics.

3.3 DevOps & IaC – Azure DevOps, GitHub Actions, Bicep/ARM, Terraform

Bicep / ARM

Bicep = DSL moderne pour ARM templates.
Déploiement natif Azure (resource manager), très enterprise.
Bon pattern : modules Bicep partagés (network, keyvault, aks…).

param location string = resourceGroup().location
resource st 'Microsoft.Storage/storageAccounts@2023-01-01' = {
  name: 'ilabstorage01'
  location: location
  sku: { name: 'Standard_LRS' }
  kind: 'StorageV2'
}

Terraform

Très utilisé en multi-cloud et cross-teams.
Remote state : Azure Storage + lock (blob leases).
Modules + policies + CI pour éviter le “clickops”.

Azure DevOps

Repos Git, pipelines YAML, boards, artifacts, releases.
Très présent en entreprise (process, compliance).
Intégration avec approvals, gates, environnements.

GitHub Actions

CI/CD moderne, intégration Azure via OIDC (pas de secrets).
Déploiement App Service/AKS/Functions.
Pattern : build → scan → deploy staging → tests → promote prod.

GitOps sur AKS

ArgoCD/Flux pour sync des manifests K8s.
Azure Policy pour Kubernetes + guardrails sur clusters.
ACR pour images, scanning Defender.

Gouvernance DevOps

Prod : uniquement via pipeline (pas de clickops).
Tags obligatoires, naming convention, RBAC minimal.
Runbooks, DR tests, budgets/alertes.

4.1 Hybrid & Enterprise – Azure Arc, Stack HCI, landing zones

Azure Arc

Gérer serveurs, Kubernetes, DBs on-prem comme des ressources Azure.
Policy, inventory, monitoring unifiés.
Parfait pour gouvernance hybrid/edge.

Azure Stack HCI

Infra hyperconvergée on-prem intégrée Azure (VM, storage, network).
Cas : contraintes souveraineté, latence, sites industriels.
ExpressRoute/VPN pour liaison privée et réplication.

4.2 Cheat-sheet Azure – Services clés & commandes az

Services à connaître

Compute : VM, AKS, App Service, Container Apps.
Storage : Blob, Disks, Files.
Réseau : VNet, NSG, Firewall, Front Door, ExpressRoute.
Data : Azure SQL, Cosmos DB, Synapse, Data Factory.
Sécurité : Entra ID, RBAC, Key Vault, Defender, Policy, Sentinel.
DevOps : Azure DevOps, GitHub Actions, Bicep, Terraform, ACR.

az CLI : mémos

# Login
az login
az account show

# Resource groups
az group create -n rg-ilab-dev -l westeurope
az resource list -g rg-ilab-dev -o table

# VM
az vm list -o table

# AKS
az aks list -o table

# Storage
az storage account list -o table

☁️ Microsoft Azure – Écosystème & Services

Vue d’ensemble Azure

Global Infrastructure

Compute (VM, AKS, App Service)

Storage (Blob, Disk, Files)

Réseau & Edge

Data & Analytics

Serverless & Events

Sécurité, IAM & Key Vault

Supervision & Observabilité

DevOps & IaC

Hybrid & Enterprise

Cheat-sheet Azure