Construction du socle infonuagique

Le problème que règle une zone d’atterrissage AWS

Situation courante : l’entreprise a démarré dans un seul compte, a grandi rapidement, et maintenant chaque équipe négocie la sécurité à partir de zéro alors qu’une bonne partie de la configuration se fait encore à la main dans la console. Cause profonde : sans distribution de comptes ni base de garde-fous, la sécurité repose sur un savoir tribal propre à chaque équipe et la dérive est illimitée ; des consoles construites à la main ne peuvent être ni revues, ni reproduites, ni auditées.

Ce que vous possédez à notre départ

• Un monorepo Terraform/IaC (ou des modules) pour la structure de votre organisation et de vos comptes — multicompte sur AWS, multicloud lorsque dans la portée — avec un patron de distribution de comptes/base que votre équipe applique pour créer de nouveaux comptes.
• Un ensemble de garde-fous (Service Control Policies sur AWS, politiques d’organisation équivalentes sur les autres clouds) appliquant vos règles non négociables par défaut.
• Un câblage d’identité centralisé (fédération SSO/IdP, rôles de base, patrons de moindre privilège).
• Une charpente réseau et de connectivité de base (patrons de VPC/segmentation, services partagés).
• Journalisation, audit et visibilité des violations de garde-fous centralisés, sous forme de code.
• Un journal d’ADR consignant les décisions de structure, et des guides d’exploitation pour distribuer des comptes, modifier les garde-fous et utiliser l’accès d’urgence (break-glass).

Pas un diagramme d’architecture de référence que vous payez ensuite quelqu’un d’autre pour implémenter. Le socle est en fonction, dans vos comptes, défini dans votre dépôt.

Notre façon de procéder

1. 01

   Découverte

   Nous lisons directement vos comptes, vos configurations et vos contraintes (accès en lecture seule à portée définie ou état exporté), nous cartographions l’état actuel réel et nous convenons d’une portée écrite et de critères de réussite avant d’écrire la moindre ligne de code.

2. 02

   Registres de décisions d’architecture (ADR)

   Nous consignons les décisions clés — ce que nous faisons, les options écartées et les raisons — sous forme d’ADR dans votre dépôt, afin que le raisonnement survive longtemps après notre départ et que vous puissiez le remettre en question avant que nous construisions quoi que ce soit.

3. 03

   Implémentation

   Nous bâtissons la solution sous forme de Terraform/IaC révisable, dans de petites pull requests testées et intégrées à votre CI, pour que vous la voyiez arriver progressivement et que rien ne débarque comme une boîte noire.

4. 04

   Transfert

   Nous guidons votre équipe en direct à travers le dépôt, le modèle de menaces et les guides d’exploitation, nous confirmons que vous pouvez l’appliquer, le détruire et l’étendre vous-mêmes, puis nous partons. Vous êtes propriétaires de tout : il n’y a pas de phase 5 où vous avez encore besoin de nous.

Forme du mandat

Une construction à portée fixe sur une empreinte infonuagique et un modèle de comptes définis, livrée sous forme de PR Terraform revues et conclue par une passation en direct. La portée est déterminée par votre nombre de clouds, votre modèle de comptes et la rigueur des garde-fous, le tout convenu par écrit d’abord.

Un exemple illustratif du format

# guardrails/scp.tf — org-wide non-negotiables, attached at the root
resource "aws_organizations_policy" "baseline" {
  name = "baseline-guardrails"
  type = "SERVICE_CONTROL_POLICY"
  content = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Sid    = "ProtectAuditTrail"
        Effect = "Deny"
        Action = [
          "cloudtrail:StopLogging",
          "cloudtrail:DeleteTrail",
          "cloudtrail:UpdateTrail",
        ]
        Resource = "*"
      },
      {
        Sid      = "DenyLeavingOrg"
        Effect   = "Deny"
        Action   = "organizations:LeaveOrganization"
        Resource = "*"
      },
    ]
  })
}

resource "aws_organizations_policy_attachment" "baseline_root" {
  policy_id = aws_organizations_policy.baseline.id
  target_id = aws_organizations_organization.this.roots[0].id
}