Le modèle de responsabilité partagée Azure dans le Cloud est un concept clé à comprendre pour savoir quels types de services Cloud choisir. C’est aussi une manière d’appréhender les avantages et inconvénients de ceux-ci.
Modèle de responsabilité partagée
Bien que cet article fasse un focus sur Azure, la notion de responsabilité partagée est présente, depuis plusieurs années, chez tous les Clouds Publics dont AWS, GCP et Azure.
C’est un concept qui définit les rôles et responsabilités des fournisseurs et de leurs clients en matière de sécurité et de gestion des données. Ce modèle reconnaît que la sécurité dans le cloud est une responsabilité partagée.
Si vous avez lu notre article sur les différents modèles de Cloud, vous comprendrez mieux pourquoi les Clouds Privés ne sont pas impactés.
Modèle de responsabilité partagée Azure
Chez Azure, comme chez beaucoup, le détail est au niveau du type de service choisi. La responsabilité varie dépendamment en fonction du IaaS, du SaaS ou du PaaS.
On constate qu’il y a trois types de responsabilités : la vôtre, celle de Microsoft ou une responsabilité partagée.
Infrastructure as a Service (IaaS)
Le laaS est le type de service cloud qui place le plus de responsabilité côté client comme le tableau l’indique. Si vous avez un serveur privé virtuel (VPS) comme une machine virtuelle (VM) dans le Cloud, vous êtes responsable du système d’exploitation et donc de sa mise à jour. Vous êtes responsable de ce qu’il se passe à l’intérieur de celle-ci. Si vous souhaitez déployer une application avec l’outil Git, rien n’est automatique et vous devez créer votre pipeline de mise en production contrairement à certaines offres SaaS.
Platform as a Service (PaaS)
Dans le PaaS, vous partagez plusieurs responsabilités avec Azure, notamment le contrôle réseau, les applications et l’infrastructure d’identité et d’annuaire.
Pour développer la partie Applications, vous êtes responsable de la ou les applications que vous déployez sur la plateforme PaaS.
Software as a Service (SaaS)
Le SaaS est le modèle avec lequel vous avez le moins de responsabilité, vous êtes l’utilisateur final. Nous pouvons prendre l’exemple de Gmail, qui n’est pas hébergé chez Azure, mais GCP et qui est un SaaS de messagerie mail.
Vous êtes responsable des appareils qui sont connectés à votre compte Gmail, si vous avez un Google Workspace, vous êtes responsable des personnes autorisées ou non à accéder à vos emails et pour finir les données que vous stockez sur la messagerie Cloud.
Modèle de responsabilité partagée Azure : ce qui ne change pas
Voici quelques règles qui s’appliquent peu importe le type de service. Vous serez systématiquement :
- Responsable des informations et données stockées dans le Cloud.
- Responsable des appareils autorisés à se connecter à votre cloud puisque vous avez préalablement accordé l’autorisation. C’est donc à vous de la révoquer.
- Responsable des comptes et identités et des permissions associés, des appareils et services au sein de l’entité ou organisation. Il n’y a pas un membre de Microsoft qui s’occupe de faire des revues périodiques, ce qui serait par ailleurs un risque de sécurité informatique.
Voici ce dont le fournisseur est incombé :
- Les hôtes physiques, donc les serveurs, les protéger, gérer les risques d’incendies.
- Gérer le réseau physique.
- Les datacenters physiques.
- Tout ce qui n’est pas de votre fait et qui finalement correspondent aux avantages qu’ils proposent.