🔷 Storage Systems — Chapitre 20 : Microsoft Azure Storage

Très grosse page dédiée au stockage Azure : Managed Disks pour les VMs, Blob Storage pour l’objet et les archives, Azure Files pour SMB/NFS managé, Azure NetApp Files pour fichiers enterprise, Azure Backup pour la protection, Azure Site Recovery pour le disaster recovery, puis les cas d’usage Microsoft stack, SQL Server, AKS, data lake, hybrid enterprise, sécurité, FinOps, réseau privé, observabilité, runbooks et checklist production.

Azure Managed DisksAzure Blob StorageAzure FilesAzure NetApp FilesAzure BackupAzure Site RecoveryAKS / SQL / Hybrid

20.1

Azure Managed Disks

Premium SSD, Premium SSD v2, Ultra Disk, Standard SSD/HDD : VM disks, snapshots, ZRS, performance tiers et bursting.

Managed DisksUltraPremium SSD

20.2

Azure Blob Storage

Hot, Cool, Cold, Archive : containers, blobs, lifecycle, versioning, immutability, Data Lake Gen2 et events.

BlobHot/Cool/ColdArchive

20.3

Azure Files

SMB/NFS managé : shares, Azure File Sync, identity, private endpoints, premium shares et AKS RWX.

Azure FilesSMB/NFSRWX

20.4

Azure NetApp Files

Enterprise NFS/SMB : volumes, capacity pools, service levels, snapshots, replication, SAP/HPC/Oracle workloads.

NetApp FilesNFS/SMBEnterprise

20.5

Azure Backup

Protection workloads : Recovery Services vault, Backup vault, policies, immutable vault, soft delete et restore.

BackupVaultRestore

20.6

Azure Site Recovery

Disaster recovery : replication, failover, failback, VMware/Hyper-V/Azure VMs, RPO/RTO et drills.

ASRDRFailover

20.7

Cas d’usage

Microsoft stack, Windows Server, SQL Server, hybrid enterprise, AKS, data lake, backup, SAP, VDI et HPC.

Microsoft stackSQLHybrid

20.8

Design Managed Disks

Choix type disque, IOPS, throughput, caching, host caching, shared disks, snapshots, encryption et monitoring.

IOPSCachingSnapshots

20.9

Sécurité Blob

RBAC, SAS, shared key disable, private endpoints, firewall, CMK, immutability, Defender, soft delete et audit.

RBACSASCMK

20.10

FinOps Blob

Access tiers, transactions, retrieval, lifecycle, rehydration, versioning, change feed, logs, reservations et budgets.

FinOpsLifecycleTransactions

20.11

Azure Files design

Premium vs standard shares, SMB/NFS, identity AD/Entra/Kerberos, quotas, snapshots, sync et performance.

DesignIdentityPremium

20.12

Azure NetApp Files en profondeur

Service levels, capacity pools, volumes, snapshots, cross-region replication, protocoles et workloads enterprise.

ANFService levelsReplication

20.13

Archive Azure

Blob archive tier, rehydration, minimum duration, legal hold, immutable policies, cold tier et conformité.

ArchiveRehydrationCompliance

20.14

DR et réplication Azure

ZRS/GRS/GZRS, Blob object replication, ASR, Backup copy, ANF replication et architecture région paire.

DRGRSReplication

20.15

Azure Storage pour AKS

Azure Disk CSI, Azure Files CSI, Blob CSI/NFS patterns, topology, snapshots, RWX, workload identity et operators.

AKSCSIPVC

20.16

Bases de données sur Azure storage

SQL Server on VM, Azure SQL, Managed Instance, PostgreSQL/MySQL, Premium/Ultra disks, PITR et HA.

SQL ServerAzure SQLPITR

20.17

Analytics / IA / Data Lake

ADLS Gen2, Synapse, Databricks, Fabric, Event Hubs capture, parquet/delta, ML datasets et governance.

ADLSSynapseDatabricks

20.18

Hybrid enterprise

Azure File Sync, Arc, Data Box, ExpressRoute, StorSimple legacy, backup cloud, SMB enterprise et migration.

HybridFile SyncData Box

20.19

Accès privé & réseau

Private Endpoints, service endpoints, storage firewall, DNS privé, SMB/NFS, ExpressRoute, latency et throughput.

Private EndpointFirewallDNS

20.20

Observabilité Azure Storage

Azure Monitor, metrics, diagnostic settings, Storage Analytics, Defender, Activity Logs, Cost Management et alerts.

MonitorLogsAlerts

20.21

Modèle de coûts Azure Storage

Disks capacity/performance, Blob tier/transactions/retrieval, Files provisioned, ANF capacity pools, Backup/ASR costs.

CostBillingBudgets

20.22

Anti-patterns Azure Storage

Blob public, SAS longue durée, shared key activée, archive mal choisie, disk SKU sous-dimensionné, backup non testé.

Anti-patternsRiskGovernance

20.23

Runbooks incidents

Disk full/latency, Blob AccessDenied, SAS leaked, File share mount failed, Backup failed, ASR failover, rehydration urgente.

RunbookIncidentRestore

20.24

Checklist production Azure Storage

Préprod : RBAC, private endpoint, CMK, lifecycle, backup, ASR drill, monitoring, budget, tags et restore tests.

Prod-readyAuditChecklist

20.1 Azure Managed Disks : Premium SSD, Ultra Disk, Standard SSD/HDD

Définition

Azure Managed Disks fournit des disques bloc managés attachés aux machines virtuelles Azure. Ils servent aux disques OS, data disks, bases de données, logs, clusters Windows/Linux, workloads SAP, SQL Server et volumes persistants AKS via Azure Disk CSI.

Point clé : les types de disques Azure incluent Ultra Disks, Premium SSD v2, Premium SSD, Standard SSD et Standard HDD. Le choix détermine latence, IOPS, throughput, redondance, coût et fonctionnalités.

Flux logique

Azure VM→OS / Data Disk→Managed Disk→Snapshot / Backup→DR / Restore

Type	Positionnement	Usages	Attention
Ultra Disk	Très hautes performances configurables.	SAP HANA, bases critiques, faible latence.	Disponibilité région/zone, coût, limitations.
Premium SSD v2	SSD moderne avec capacité/IOPS/throughput réglables.	SQL Server, Oracle, NoSQL, analytics.	Paramètres et régions à valider.
Premium SSD	SSD production classique.	VMs production, workloads IO.	Perf liée aux tiers/capacité.
Standard SSD	SSD économique.	Web/app servers, dev/test, workloads modérés.	Latence moins prévisible.
Standard HDD	HDD économique.	Dev/test, données froides.	Pas pour I/O critique.

Les snapshots de managed disks servent aux sauvegardes, clones, migrations, restaurations et copies entre régions. Pour bases critiques, coordonner snapshot avec application ou utiliser Azure Backup/PITR natif.

Snapshots incrémentaux selon usage.
Shared Image Gallery / images pour standardisation.
Azure Backup pour politiques et rétention.
Azure Site Recovery pour DR, pas pour backup classique.

az disk list --resource-group rg-prod
az disk show --name vm01-data01 --resource-group rg-prod
az snapshot create --resource-group rg-prod --name snap-vm01-data01 --source vm01-data01
az disk update --resource-group rg-prod --name vm01-data01 --size-gb 2048
az vm disk attach --resource-group rg-prod --vm-name vm01 --name data02

Un disque Azure sous-dimensionné en IOPS/throughput peut ralentir toute une base. Un disque plein dans l’OS peut bloquer l’application. Un snapshot non testé ne garantit pas un restore utilisable.

20.2 Azure Blob Storage : Hot, Cool, Cold, Archive

Azure Blob Storage est le stockage objet Microsoft pour données non structurées : documents, images, vidéos, logs, backups, archives, data lakes et analytics. Les données sont stockées dans des containers sous forme de blobs accessibles via API HTTPS, SDKs, Azure CLI, AzCopy et services Azure.

App / SDK→Storage Account→Container→Blob + metadata→Lifecycle / Tier

Tier	Positionnement	Minimum recommandé	Attention
Hot	Accès fréquent, modification fréquente.	Aucun minimum fort.	Stockage plus cher, accès moins cher.
Cool	Accès peu fréquent.	Environ 30 jours.	Accès plus cher que Hot.
Cold	Accès rare mais online.	Environ 90 jours.	Coûts d’accès plus élevés.
Archive	Archive offline, latence de restauration en heures.	Environ 180 jours.	Rehydration nécessaire.

Blob versioning et soft delete.
Lifecycle management Hot/Cool/Cold/Archive/Delete.
Immutable storage : time-based retention, legal hold.
Change feed pour historique des changements.
Event Grid pour pipelines événementiels.
ADLS Gen2 pour namespace hiérarchique et analytics.

Pattern lifecycle:
- raw/logs: Hot 30d → Cool 90d → Cold 180d → Archive 365d
- tmp/: delete after 14d
- old versions: delete after 180d
- incomplete/unclassified: report monthly

Blob Storage n’est pas un disque POSIX. Pour SMB/NFS partagé, utiliser Azure Files ou Azure NetApp Files. Pour data lake analytique, utiliser ADLS Gen2 et formats Parquet/Delta.

20.3 Azure Files : SMB/NFS managé

Azure Files fournit des partages fichiers managés accessibles via SMB et, selon configuration, NFS. C’est une option naturelle pour remplacer ou étendre des file servers, partager des fichiers entre VMs, monter des volumes RWX dans AKS et synchroniser avec on-prem via Azure File Sync.

Windows/Linux/AKS→SMB / NFS→Azure File Share→Snapshots / Sync / Backup

Usage	Pourquoi Azure Files	Attention
Lift-and-shift Windows	SMB, intégration identité.	ACL, Kerberos, latence.
AKS RWX	Azure Files CSI.	Performance et permissions.
Hybrid file server	Azure File Sync cache local.	Design sync, cloud tiering.
Partage applicatif	Service managé.	Pas pour DB transactionnelle sensible.

Standard file shares : économiques, workloads généraux.
Premium file shares : performances provisionnées, workloads exigeants.
Quotas et transactions à surveiller.
Private endpoint recommandé pour production interne.

apiVersion: storage.k8s.io/v1
kind: StorageClass
metadata:
  name: azurefile-rwx
provisioner: file.csi.azure.com
parameters:
  skuName: Premium_LRS
allowVolumeExpansion: true
mountOptions:
  - dir_mode=0770
  - file_mode=0770

Un partage SMB/NFS exposé publiquement ou monté avec des clés partagées non gouvernées devient un risque majeur. Préférer Private Endpoint, RBAC/identity et rotation des secrets.

20.4 Azure NetApp Files : Enterprise NFS/SMB

Azure NetApp Files est un service de fichiers enterprise basé sur les technologies NetApp, exposant NFS et SMB avec des niveaux de service, snapshots rapides, volumes, capacity pools et options de réplication. Il vise les workloads exigeants : SAP, Oracle, HPC, VDI, enterprise file, migrations NetApp.

Concept	Rôle
NetApp account	Conteneur administratif.
Capacity pool	Capacité réservée avec service level.
Service level	Performance par TiB selon Standard/Premium/Ultra.
Volume	Export NFS/SMB/dual-protocol selon config.
Snapshot	Point-in-time rapide.
Replication	Protection cross-region selon design.

SAP HANA et workloads enterprise validés.
Oracle sur NFS avec exigences latence.
VDI profile containers.
Large NFS/SMB shares.
Migrations depuis NetApp on-prem.
HPC/analytics avec filesystem performant.

VM / AKS / SAP→NFS / SMB→ANF Volume→Capacity Pool→Snapshots / Replication

ANF est puissant mais doit être dimensionné autour des capacity pools et service levels. Le coût/performance dépend directement de la capacité provisionnée et du niveau choisi.

20.5 Azure Backup : protection workloads

Azure Backup protège des VMs, fichiers, workloads applicatifs et autres ressources via des coffres, policies, snapshots, recovery points et mécanismes de restauration. C’est un service de backup, différent d’Azure Site Recovery qui vise le disaster recovery.

Workloads→Backup Policy→Vault→Recovery Points→Restore Test

Concept	Rôle
Recovery Services vault	Vault historique pour VMs/workloads.
Backup vault	Vault plus récent pour certains workloads datasource.
Policy	Fréquence et rétention.
Soft delete	Protection contre suppression accidentelle/malveillante.
Immutable vault	Protection de rétention contre modifications.

Policies gold/silver/bronze par criticité.
Rétention courte, mensuelle, annuelle selon conformité.
Backup application-aware pour SQL/Windows si nécessaire.
Restauration testée régulièrement.
Accès vault limité et MFA/Privileged Identity Management.

az backup vault list
az backup protection enable-for-vm --resource-group rg --vault-name vault-prod --vm vm01 --policy-name Gold
az backup recoverypoint list --vault-name vault-prod --container-name vm01 --item-name vm01 --resource-group rg
az backup restore restore-disks --vault-name vault-prod --resource-group rg --container-name vm01 --item-name vm01 --rp-name

Un backup jamais restauré est une hypothèse, pas une protection. La vraie validation est un restore complet dans un environnement isolé.

20.6 Azure Site Recovery : disaster recovery

Azure Site Recovery orchestre la réplication, le failover et le failback de workloads vers Azure ou entre environnements supportés. Il vise la continuité d’activité et le disaster recovery, pas la sauvegarde long terme.

Source VMs→Replication→Recovery Region→Test Failover→Planned/Unplanned Failover

Source	Cible	Usage
Azure VMs	Autre région Azure	DR régional.
VMware	Azure	Migration/DR datacenter.
Hyper-V	Azure	DR Microsoft stack.
Physical/other	Azure selon support	Protection legacy.

RPO dépend du rythme de réplication et de la connectivité.
RTO dépend de l’orchestration, réseau, DNS, runbooks et tests.
Test failover doit être réalisé sans impacter production.
Failback doit être prévu avant le premier incident réel.

ASR est un service de DR : réplication/failover/failback. Azure Backup est un service de sauvegarde/restauration. Les deux sont complémentaires, pas interchangeables.

Définir groupes de réplication par application.
Tester failover isolé.
Valider IP/DNS/firewall.
Valider ordre de démarrage.
Documenter RTO/RPO mesuré.
Planifier failback.

20.7 Cas d’usage : Microsoft stack, Windows Server, SQL Server, hybrid enterprise

Usage	Service Azure	Pattern
VM Windows/Linux	Managed Disks	OS/data/log disks.
Objets, data lake	Blob / ADLS Gen2	Parquet, Delta, Synapse, Databricks.
Partages SMB/NFS	Azure Files	Lift-and-shift, AKS RWX.
Enterprise file	Azure NetApp Files	SAP, Oracle, NFS/SMB performant.
Backup	Azure Backup	Vault, policies, restore.
DR	Azure Site Recovery	Replication/failover/failback.

SQL Server on Azure VMs avec Premium/Ultra disks.
Azure Files pour partages Windows SMB.
Azure Backup pour VMs et workloads.
ASR pour DR Hyper-V/VMware/Azure VMs.
AD/Entra ID, private endpoints, Defender, Monitor.

On-prem AD/File/VMware→ExpressRoute / VPN→Azure Files / ANF / Backup / ASR→DR / Cloud apps

Azure Storage est particulièrement fort dans les environnements hybrides Microsoft : Windows Server, SQL Server, Active Directory, SMB, Backup, DR et gouvernance Azure Policy/Monitor.

20.8 Design Managed Disks : IOPS, throughput, caching, snapshots

Workload	Disque typique	Points clés
Web/app server	Standard SSD / Premium SSD	Coût vs latence.
SQL Server critique	Premium SSD v2 / Ultra Disk	IOPS/throughput/p99.
SAP HANA	Ultra / Premium selon certification	Support matrix.
Dev/test	Standard SSD/HDD	Coût bas.

ReadOnly cache peut aider lectures disque OS/data read-heavy.
ReadWrite cache à manier prudemment selon workload.
Pour bases, suivre recommandations éditeur/Microsoft.
Mesurer latence dans OS et Azure Monitor.

Azure Shared Disks permet d’attacher un disque à plusieurs VMs pour certains scénarios cluster. Cela ne remplace pas un filesystem cluster ou une application cluster-aware.

az disk update --name disk01 --resource-group rg --size-gb 2048
az disk update --name disk01 --resource-group rg --set diskIOPSReadWrite=12000 diskMBpsReadWrite=500
az monitor metrics list --resource  --metric "Disk Read Operations/Sec"

20.10 FinOps Blob : tiers, transactions, retrieval, lifecycle

Poste	Déclencheur	Piège
Capacity	Go/mois par tier.	Versions et soft delete conservés.
Transactions	Read/write/list operations.	Petits objets et listing fréquents.
Retrieval	Cool/Cold/Archive reads.	Restore massif coûteux.
Rehydration	Archive vers online tier.	Délai + coût.
Replication	GRS/GZRS/object replication.	Stockage et transfert.

Lifecycle par container/prefix.
Expiration anciennes versions.
Suppression logs temporaires.
Budgets par resource group.
Tags owner/cost center.
Analyse des blobs non accédés.

Hot 30d → Cool 90d → Cold 180d → Archive 365d → Delete selon rétention métier

20.11 Azure Files design : premium, identity, snapshots, sync

Aspect	Question
Protocol	SMB ou NFS ? Windows, Linux, AKS ?
Tier	Standard ou Premium provisionné ?
Identity	AD DS, Entra Kerberos, storage key ?
Network	Private Endpoint, firewall, DNS ?
Backup	Share snapshots, Azure Backup ?

Azure File Sync permet de garder des serveurs Windows on-prem comme cache local tout en centralisant les données dans Azure Files. Utile pour sites distants et migration progressive.

Premium pour workloads exigeants.
Mesurer latence SMB/NFS.
Éviter millions de petits fichiers sans test.
Surveiller quotas et transactions.

20.12 Azure NetApp Files en profondeur

Niveau	Positionnement
Standard	Workloads généraux.
Premium	Workloads plus exigeants.
Ultra	Très haut débit/latence stricte.

Les performances ANF sont liées au service level et à la capacité provisionnée dans les pools.

Snapshots rapides et efficaces.
Rétention par policy.
Clones pour dev/test.
Restores rapides selon scénario.

Cross-region replication permet de protéger des volumes ANF vers une autre région selon disponibilité. Tester failover applicatif, DNS et reconnect clients.

SAP HANA.
Oracle NFS.
Enterprise file shares.
HPC et VDI.
Migrations NetApp on-prem.

20.14 DR et réplication Azure : ZRS, GRS, GZRS, ASR

Option	Sens
LRS	Copies dans un datacenter/région.
ZRS	Copies entre zones d’une région.
GRS	Réplication vers région secondaire.
GZRS	ZRS primaire + réplication géographique.
RA-GRS/RA-GZRS	Lecture possible région secondaire selon option.

Blob object replication.
Azure Backup cross-region restore selon options.
ASR pour VM failover/failback.
ANF cross-region replication.
SQL/Azure DB geo-replication selon service.

Définir applications et dépendances.
Tester failover isolé.
Vérifier DNS, private endpoints, identities.
Valider données.
Mesurer RTO/RPO.

20.15 Azure Storage pour AKS : Azure Disk CSI, Azure Files CSI

Besoin	Driver	Mode
Bloc RWO	Azure Disk CSI	DB, StatefulSet, volume zonal.
RWX SMB/NFS	Azure Files CSI	Uploads, shared config, CMS.
Enterprise NFS/SMB	ANF CSI / Trident selon design	SAP/Oracle/enterprise file.
Object	SDK Blob / Blob CSI selon cas	Data lake, assets, logs.

Les disques Azure sont attachés à des nœuds compatibles zone. Utiliser StorageClasses adaptées, zones, node pools et anti-affinity.

apiVersion: storage.k8s.io/v1
kind: StorageClass
metadata:
  name: managed-premium
provisioner: disk.csi.azure.com
parameters:
  skuName: Premium_LRS
reclaimPolicy: Delete
allowVolumeExpansion: true
volumeBindingMode: WaitForFirstConsumer

20.18 Hybrid enterprise : File Sync, Arc, Data Box, ExpressRoute

Pattern	Service
File server cloud tiering	Azure File Sync.
Backup cloud	Azure Backup/MARS/MABS selon cas.
DR datacenter	Azure Site Recovery.
Migration massive	Azure Data Box.
Management hybride	Azure Arc.
Connexion privée	ExpressRoute.

Azure File Sync garde des serveurs Windows locaux comme caches d’Azure Files. Les utilisateurs accèdent localement, les données sont centralisées dans Azure avec cloud tiering.

L’hybride ajoute dépendance WAN, identité, DNS, latence et runbooks de perte lien. Tester la dégradation avant production.

20.19 Accès privé & réseau : Private Endpoint, firewall, DNS

Mécanisme	Usage
Private Endpoint	IP privée dans VNet pour Storage/Files/Blob.
Service Endpoint	Accès via backbone Azure avec restrictions.
Storage firewall	Limiter réseaux/IP autorisés.
Private DNS Zone	Résolution correcte vers IP privées.
ExpressRoute	Connexion privée depuis on-prem.

Ne pas exposer SMB/NFS publiquement.
Contrôler ports et subnets.
Valider DNS privé côté on-prem.
Surveiller latence et throughput.

az network private-endpoint list
nslookup mystorage.privatelink.blob.core.windows.net
Test-NetConnection mystorage.file.core.windows.net -Port 445
az storage account show --name mystorage --query networkRuleSet

20.20 Observabilité Azure Storage : Monitor, logs, Defender, Cost

Service	Métriques
Managed Disks	IOPS, throughput, latency, bursting.
Blob	Transactions, ingress/egress, capacity, availability.
Azure Files	Transactions, latency, capacity, throttling.
ANF	Throughput, latency, volume usage.
Backup/ASR	Job status, replication health.

Diagnostic settings vers Log Analytics.
Activity Log pour modifications.
Defender for Storage alerts.
Azure Policy compliance.
Cost Management budgets.

Disk latency élevée.
Storage account public access change.
Backup failed.
ASR replication unhealthy.
File share quota high.
Cost anomaly.

20.21 Modèle de coûts Azure Storage

Service	Coûts principaux
Managed Disks	Capacité, tier, IOPS/throughput pour certains types, snapshots.
Blob	Capacity, tier, transactions, retrieval, rehydration, replication.
Azure Files	Provisioned/used, transactions, snapshots, premium provisioned.
ANF	Capacity pools, service level.
Backup/ASR	Protected instances, storage, replication, transactions.

Coût Azure Storage = capacité + performance + transactions + protection + réplication + retrieval + réseau + oubli

Tags obligatoires.
Budgets par subscription/resource group.
Lifecycle Blob.
Snapshots et disks unattached à purger.
Revue monthly de Backup/ASR.

20.22 Anti-patterns Azure Storage

Anti-pattern	Impact	Correction
Blob public involontaire	Fuite données.	Disable public access + Policy.
SAS longue durée	Secret incontrôlé.	SAS courte, user delegation SAS.
Shared key activée partout	Contournement RBAC.	Désactiver si possible.
Archive pour RTO court	Restore trop lent.	Cold/Cool ou backup chaud.
Disk SKU sous-dimensionné	Latence application.	Mesurer et ajuster.
Backup non testé	Faux sentiment de sécurité.	Restore drills.

Storage accounts sans diagnostic settings.
Pas de Private Endpoint pour données internes.
Recovery vault sans soft delete/immutability.
Disques unattached persistants.
Containers sans lifecycle.

20.24 Checklist production Azure Storage

Contrôle	OK ?	Note
Service adapté au protocole	☐	Disks/Blob/Files/ANF.
Redondance choisie	☐	LRS/ZRS/GRS/GZRS selon SLA.
Private access	☐	Private Endpoint/DNS/firewall.
RBAC/Identity	☐	Managed identity, no long SAS.
Encryption/KMS	☐	Microsoft-managed ou CMK.
Backup/ASR testé	☐	Restore/failover drills.

Azure Monitor alerts.
Diagnostic settings vers Log Analytics.
Defender/Policy selon criticité.
Budgets et Cost Management.
Lifecycle Blob et rétention snapshots.
Tags owner/env/data_class.

Public access désactivé sauf exception.
Shared key désactivée si possible.
SAS courte durée.
Immutable storage pour backups critiques.
Vault immutability/soft delete.

NO-GO si : blob public non justifié, SAS longue durée, pas de restore testé, disque critique sans monitoring, ASR jamais testé, lifecycle absent, réseau privé/DNS non validés.

Time-based retention	Empêche modification/suppression pendant durée.
Legal hold	Conservation jusqu’à retrait explicite.
Versioning	Historique des blobs.
Soft delete	Récupération après suppression.

Azure SQL Database	PITR, backups automatiques, HA managée.
SQL Managed Instance	Compatibilité SQL Server élevée.
PostgreSQL/MySQL Flexible Server	Backups, HA zones selon config.
Cosmos DB	Replication globale, backups selon mode.