Réflexions & analyses. François Tonic rédacteur en chef Programmez! et de Septembre 2009 Version 1.0

Transcription

1 CLOUD COMPUTING «Stratégie et révolution de l'infrastructure informatique, de la manière de concevoir les applications et leur consommation dans le nuage sous forme de services» Réflexions & analyses François Tonic rédacteur en chef Programmez! et de Septembre 2009 Version 1.0

2 Conditions d'utilisation de ce document L'auteur ne peut être tenu responsable pour les propos contenus dans ce document ni sur l'exactitude de ceux-ci, ni sur l'interprétation faite. L'auteur autorise la reprise partielle du document en mentionnant impérativement et explicitement son origine (titre, nom de l'auteur, ). Pour une redistribution complète, veuillez contacter l'auteur : ftonic2@orange.fr Ce document n'est lié à aucun éditeur ou SSII. Toutes marques citées sont. Si des sources ont été oubliées dans le texte, l'auteur s'en excuse par avance et fera les rajouts nécessaires. François Tonic, septembre 2009 Livre blanc «Cloud Computing» par François Tonic 2

3 Préambule : d'opendoc à aujourd'hui Difficile de dire quand apparaît réellement la notion de cloud computing. Peu ou prou avec la généralisation de la virtualisation, même si le terme cloud computing n'était pas encore sur toutes les lèvres. Ce mouvement initié depuis plus de 18 mois est en réalité plus profond. Car finalement, la première charge vint des services en ligne, des services «hostés», de ce que l'on appelle le SaaS aujourd'hui dont la forme plus ou moins «primitive» était les applications ASP, que l'on connaît depuis des années. Et IBM avait par ailleurs initié, il y a une dizaine d'années, l'informatique à la demande, le «on demand». Sans vouloir provoquer, nous dirions que le mouvement s'initia sur la façon de passer aux applications plus dynamiques, plus simples, en opposition aux applications monolithiques par définition lourdes, chères à maintenir et d'une qualité variable. Or, c'est notre modèle depuis le début de la micro-informatique. Il y a une quinzaine d'années, nous avions déjà plusieurs modèles applicatifs balbutiants : les applications ASP et le modèle Opendoc. ASP ne représentait pas d'évolutions majeures au niveau applicatif mais dans la manière d'appréhender sa consommation, son déploiement. Par contre, Opendoc au risque de passer pour archaïsant était un concept, une architecture logicielle totalement nouvelle. Initiée en particulier par Apple et IBM, opendoc ne connut pas le succès mérité car trop complexe dans son modèle C++ et la nécessité de prévoir «en dur» l'interaction avec les autres morceaux applicatifs. Pour résumer, une application opendoc se composait de deux éléments : un conteneur et des morceaux d'applications (= une fonction). En fait, une application opendoc est au départ une coquille vide, un simple conteneur dans lequel l'utilisateur compose son application en ajoutant des composants fonctionnels. Ainsi on pouvait avoir dans un conteneur des fonctions de navigateur web, de traitement de web, des fonctions audio et vidéo, de messagerie, d'imagerie, etc. Le tout étant capable d'interagir ensemble pour peu que le développeur ait bien respecté le modèle de développement imposé par les spécifications. Cette rigidité de modèle fut en partie la cause de son échec avec le manque de soutien des éditeurs et son manque de visibilité auprès des utilisateurs. Cependant, opendoc a montré une autre voie dans la manière de penser, de découper, de consommer une application. L'idée «actuelle» des applications composites et des mashups n'est guère différente dans son esprit à opendoc. Ce qui a changé? L'acceptation du marché et surtout des technologies capables de simplifier l'interface pour l'utilisateur et surtout de simplifier le travail du développeur même si certaines couches techniques ne sont guères triviales. Nous sommes donc en plein mouvement saas (Software As A Service = le logiciel comme un service), les services en ligne, et désormais le cloud computing. Car finalement, toutes ces notions sont liées. Le saas représente une sous-partie du cloud. Pour certains, que nous ne suivons pas, c'est l'inverse. Car comme avec le web 2, nous assistons à une désinformation ou plus exactement de déformation des idées, des concepts, avec le matraquage marketing. C'est l'inconvénient d une idée conceptuelle floue et non structurée car on peut y mettre tout et n'importe quoi. Il y a un an, la mode était à tout «saasiser» ; aujourd'hui il faut tout «cloudiser» même si cela n'a aucun sens et que l'on trahit l'esprit même de la technologie. Pourquoi ce «livre blanc»? Sa prétention n est pas de donner une parole d évangile. Il s agit de vous proposer notre perception, notre analyse du marché, des technologies, des plate-formes. L un des objectifs est de fournir les fondamentaux pour comprendre le cloud dans son ensemble et prendre conscience des nombreux enjeux qu il recouvre. Livre blanc «Cloud Computing» par François Tonic 3

4 Car on oublie souvent qu en informatique, si une technologie ou une plate-forme est prise uniquement dans son focus, la plupart du temps le projet échouera ou accusera retard et problèmes divers et variés. Le cloud impacte l ensemble de son IT, des applications et même la manière de penser une infrastructure réseau et applicative. Cette approche globale comprend la stratégie, l infrastructure, le IT, l utilisateur et la technique. Le sujet est tellement vaste, et passionnant, que nous avons sûrement omis des éléments. Nous espérons pouvoir, grâce à vos commentaires, vos retours, améliorer ce document. Bonne lecture. François Tonic, 16 juillet 2009 Livre blanc «Cloud Computing» par François Tonic 4

5 Partie 1 : Architectures du cloud computing «Tout Saas est un service cloud mais tout cloud n'est pas un service Saas.» Le terme Cloud Computing se traduit littéralement par «informatique dans les nuages», ces nuages faisant référence à Internet et au web. Pour bien comprendre cette terminologie, il faut rappeler qu Internet est un réseau très complexe et difficile à appréhender car constitué de millions de connexions utilisant des technologies très disparates (fibre optique, câble, ADSL, etc.). Ainsi, le monde de l Internet est complètement abstrait pour la plupart des utilisateurs : il n a pas de réalité géographique tangible. L application de Cloud Computing que nous utilisons peut se trouver à San Francisco, dans un satellite ou même sur la Lune : cela fait finalement peu de différence pour nous. Les nuages du Cloud Computing font référence à cette abstraction. Ils font aussi référence au fait que l on représente souvent Internet sous la forme d un nuage dans les schémas informatiques. Le Cloud Computing signifie donc que les applications en ligne sont utilisées comme si elles étaient situées dans l éther, dans un espace sans réalité physique. Le concept de Cloud Computing englobe les concepts de Software as a Service (SaaS) et de Platform as a Service (PaaS). 1 Que signifie SaaS? SaaS signifie Software as a Service, c est-à-dire un logiciel fourni sous la forme de service et non sous la forme de programme informatique (code binaire à installer sur une machine). Les utilisateurs des applications SaaS accèdent à ce service via Internet. La différence entre SaaS et logiciel est essentielle. En effet, les SaaS proposent des logiciels opérationnels, prêts à l emploi, sans passer par une étape d installation, et sans aucune tâche de maintenance. Les SaaS sont exécutés sur des plates-formes mises à disposition par des acteurs (comme Google ou Salesforce) que nous appellerons opérateurs SaaS, car leur métier est plus proche de ceux des opérateurs télécoms que de celui d éditeurs de logiciel. Les SaaS sont les successeurs des ASP (Application Service Providers). Ils se distinguent de ces derniers par : Livre blanc «Cloud Computing» par François Tonic 5

6 L usage d interfaces RIA ; Des architectures dédiées et optimisées : les applications SaaS bénéficient d un environnement d exécution conçu pour un usage en ligne avec une forte charge utilisateur ; elles sont liées à cet environnement et ne peuvent pas être «déménagées» simplement sur un serveur en entreprise. La mise en avant de fonctions collaboratives : les SaaS mettent l accent sur les pratiques collaboratives héritées du web 2.0 ; La fourniture d API ouvertes : les SaaS fournissent des API permettant de faire appel à leurs fonctionnalités. 2 Que signifie PaaS? PaaS signifie Platform as a Service. Ce terme désigne une plate-forme d exécution hébergée par un opérateur et accédée depuis Internet. Cette plate-forme peut être utilisée pour exécuter des SaaS, et peut aussi être mise à la disposition des entreprises qui souhaitent faire héberger leurs applications issues de développements spécifiques. Amazon a été précurseur dans ce domaine avec Amazon Web Services (AWS). Les PaaS se distinguent des hébergeurs classiques par : Une grande abstraction de la plate-forme. L entreprise utilisatrice ne connaît pas les configurations des machines qui exécutent son application. Une architecture à très haute disponibilité basée sur des datacenters répartis dans le monde entier, et garantissant une grande résistance aux sinistres (inondations, incendies, etc.) Les plateformes PaaS reposent généralement sur les composants suivants : Un ensemble de datacenters : leur nombre est toujours supérieur à trois. Dans les cas de Microsoft ou de Google, les centres se comptent en dizaines. Une couche d exécution sur une machine virtuelle via un hyperviseur, ou sur un runtime de type Java,.NET... Une couche de persistance accédée via HTTP sous forme de base de données ou de fichiers. Une couche d authentification en local ou déléguée à l annuaire de sécurité de l entreprise. Une couche d intégration : une API ou un bus d intégration pour échanger des données avec l entreprise. Une console d administration qui permet de gérer le déploiement et le versioning des applications, ainsi que le monitoring de la plate-forme. Cette partie a été écrite par Guillaume Plouin (directeur programme innovation SQLi, auteur de Cloud Computing & SaaS, aux éditions Dunod, mars 2009). Avec son aimable autorisation. 3 Le IaaS Le Iaas signifie Infrastructure as a Service. Il s agit de la partie infrastructure du cloud, c est-à-dire les outils serveurs, administrateurs servant à fournir l infrastructure comme les outils de virtualisation, la console d administration, le système, les librairies. Un exemple d Iaas : l offre Ubuntu, Amazon EC2. Dans le IaaS, on retrouvera donc les composants clés : le réseau (montée en charge, load balancing, firewall), la partie matérielle, la plate-forme de virtualisation, les outils de facturation et de contrôle de consommation, les niveaux de services. Le Iaas peut prendre plusieurs formes : fournisseur d outils IaaS (Vmware, Eucalyptus, Ubuntu) et les fournisseurs d infrastructure complète (Amacon EC2, gogrid, etc.). 4 Un cloud mutualisé ou dédié? Dans une architecture classique Cloud, nous sommes dans un contexte mutualisé, car en datacenters globaux gérés ou loués par des fournisseurs. Aujourd'hui, les grands éditeurs (IBM, Microsoft, Google, Apple, Salesforce, etc.) possèdent leurs centres de données. Plusieurs même pour assurer la réplication des données et des environnements que le fournisseur doit assurer contractuellement. Livre blanc «Cloud Computing» par François Tonic 6

7 Est-il possible de disposer d'un cloud dédié? Pas dans les grands datacenters (ou tout le moins, pas pour le moment). Par contre auprès des fournisseurs classiques d'hébergement, de hosting, il est tout à fait possible de disposer de son cloud dédié, que l'on peut ici nommé cloud privé (nous simplifions volontairement le terme). Dans ce scénario, les coûts varient énormément. 5 La question du cloud privé (ou private cloud) Les hébergements, hosteurs tels que Ikoula et les éditeurs misent sur 5 piliers pour justifier de l intérêt du cloud privé (source : Ikoula) : - Flexibilité : votre infrastructure est évolutive. Redimensionner vos Virtual Machines ou réallouer vos ressources vous permettent d adapter rapidement votre infrastructure à vos besoins. - Réactivité : le clonage, les migrations à chaud, ou encore le déploiement de VM sont des opérations très rapides à réaliser. - Economies : avec des serveurs consolidés et une utilisation des ressources optimisée, la facture énergétique et l investissement serveurs diminue fortement. - Respect environnemental : en dehors des économies réalisées, le Private Cloud permet de réduire fortement le gaspillage énergétique. - Sécurité : totalement dédié, le Private Cloud vous offre un niveau de sécurité maximal. L isolation est garantie et des normes de sécurité sont définies spécifiquement pour l entreprise. Dans l architecture type est la suivante (source : Ikoula) : Pour une entreprise qui ne veut pas risquer une externalisation radicale de son SI, le cloud privé (hébergé localement ou sur des serveurs dédiés / réservés), peut être une solution à considérer. C est en quelque sorte une forme d intranet, d extranet mais au niveau infrastructure et plate-forme. A Livre blanc «Cloud Computing» par François Tonic 7

8 notre sens, il ne faut pas opposer cloud privé et cloud public, car rapidement, les deux seront amenés à travailler ensemble. Nous arriverons donc à des cloud hybrides mêlant les deux approches. Dans le public, on déportera les éléments non sensibles et dans le privé, on gardera les données, applications sensibles liées au business de l entreprise. Désormais la guerre du cloud privé est lancée. Amazon a annoncé son Virtual Private Cloud. Amazon VPC est présenté comme un pont entre l'infrastructure IT existante et le cloud d'amazon. Il s'agit de déporter, tout en restant connecté à son IT, une partie de son infrastructure dans des instances Amazon isolé pour avoir des ressources supplémentaires, avec accès en VPN. Il est intégré à Amazon EC2. Mais ce n'est que la première étape. Et comme d'habitude on paie à la consommation. les fonctions annoncées sont : - création de son VPC sur l'infrastructure Amazon, avec des IP privées - possibilité d'avoir un ou plusieurs subnets- connexion sécurité via un tunnel VPN - rajout possible d'instance EC2 dans sa VPC - le trafic peut être surveillé par ces outils de sécurité- possibilité d'étendre ses pratiques de sécurité et de gestion de son infrastructure existante dans sa VPC 6 Les pures players vs éditeurs traditionnels Le Saas et le cloud favorisent l émergence d éditeurs et de prestataires uniquement dédiés à ces domaines. On peut citer deux noms : Salesforce, ProcessOne ou encore yousaas. Ces pures players jouent la carte du service en ligne et du cloud. L avantage est de partir d un héritage zéro alors qu un éditeur traditionnel doit s adapter à la nouvelle donne technique sans pour autant cannibaliser ou fragiliser ces fondamentaux. Souvent, nous nous interrogeons sur le potentiel des pures players à supplémenter les éditeurs. Lorsque l on s attaque frontalement à un géant comme SAP sur les progiciels, difficile d imaginer un combat équitable. Sur de petits projets ou des projets précis dans une grande entreprise, le pure player a sa place. Mais l éditeur traditionnel, quand il a vu la menace, a réagi soit en tissant des alliances avec le pure player, soit en commercialisant sa propre solution en ligne. Des pures players peuvent effectivement prendre des marchés, dans certains scénarios il y aura collaboration avec une solution traditionnelle ou bien l éditeur traditionnel imposera ses services en ligne. Nous sommes là sur du cas par cas. La difficulté pour les pures players, la plupart du temps de petite taille, c est la reconnaissance du marché et une visibilité auprès des utilisateurs. En entreprise, quelle garantie offre un pure player quasi inconnu pour elle? Même si la DSI a assoupli ses positions conservatrices, ce n est pas pour autant qu elle se lancera tête baissée avec un pure player. C est à ce dernier de démontrer sa compétence, sa valeur ajoutée, sa qualité. La pérennité demeure un argument. 7 Les rachats secouent le cocotier : l exemple VMware - SpringSource Depuis des mois, les rachats se succèdent dans le domaine de la virtualisation, l administration, les pures players cloud ou saas. L été 2009 n a pas été à l écart du mouvement. Début août 2009, VMware annonce le rachat pur et simple de SpringSource, éditeur open source d outils et des solutions de développment web, avec le bien connu framework Spring. Quel intérêt pour VMware de ce genre de rachat? Livre blanc «Cloud Computing» par François Tonic 8

9 Il y a à mon sens plusieurs éléments à considérer : VMware dispose d un solide Iaas avec vsphere 4, VMware reste absent du Paas et surtout possède une énorme faiblesse dans le modèle de développement. Or, pour prétendre concurrencer ou tout le moins devenir une alternative crédible à de l Ubuntu, du Google, du Microsoft et bien entendu à Force.com, VMware n avait pas le choix : il lui fallait un solide modèle de développement et d administration, si possible Java. C est maintenant chose faite. Sur le cloud technique de SpringSource, voici un élément particulièrement intéressant. Comment mettre une application en production sur du cloud, par exemple en déploiement EC2? L auteur pointe vsphere et le vapp. Avec le support de Open Virtualization Format, il est possible d encapsuler les composants multi-tiers d une application. Donc vapp est parfait pour les déploiements d application blueprints. Dans «dm server» de Spring, il faut alors configurer les propriétés vapp, puis le déploiement se fera sans connaissance particulière de l environnement vapp et des machines virtuelles liées. En associant les deux mondes, on obtient un modèle PaaS couplé à un modèle de développement et un modèle Appliance d application. Pour Vmware, un des accents est mis sur le choix du Paas. Et très clairement, Vmware veut être une alternative au PaaS actuel Google AppEngine et Force.com! Et le schéma ci-dessous résume la fusion entre vsphere et le modèle applicatif Java à l intérieur : Livre blanc «Cloud Computing» par François Tonic 9

10 Le PaaS sera donc un des enjeux majeurs des prochaines années. Car le but est finalement de proposer un modèle de développement, de déploiement, d administration unifiée, si possible le plus large côté langage. Force.com reste le fer de lance de ce marché mais VMware ouvre une (nouvelle) brèche. Sitôt racheté par VMware, SpringSource se lance dans le cloud avec CloudFoundry qui vient d être racheté par Spring Source... Le but est simple : proposer une plate-forme pour le déploiement et l exécution pour les applications Java. Le tout respectant le cycle de l application Java : build, exécution, administration. Foundry est donc une plate-forme de cycle de vie des applications Java, Spring et Grail. Le tout fonctionne sur Amazon EC2. Cette offre s appuie sur Cloud Tools. Cloud Tools est une suite d'outils open source pour déployer, manager et tester les applications Java EE dans un contexte Amazon EC 2. Cette suite se compose de trois éléments : - Amazon Machine Images : configuré pour fonctionner avec Tomcat et EC2Deploy - EC2 Deploy : core framework. manager les instances EC2, à configurer MySQL, Tomcat, Terracotta et Apache. Permet de déployer les applications - Maven et Grails plug-ins utilisés par EC2Deploy quand on déploie l'application sur EC2. 8 Et côté matériel? Quand on parle de Cloud Computing ou de Saas, on oublie souvent d évoquer le matériel. Quels impacts? En soi, cela ne change pas grand chose. Du moins dans un premier temps. Son ordinateur (bureau, portable), équipé d un navigateur internet, d une connexion web de bonne qualité, suffit à accéder à son cloud. L impact par contre se fait signification sur la partie serveur. Car en passant à une architecture déportée telle que le cloud limite de facto la puissance serveur nécessaire. Excepté dans le cadre d un cloud privé hébergé sur ses serveurs. Mais, dans ce cas, la virtualisation permet de faire mieux avec moins de serveur ou tout le moins on optimise au mieux l utilisation de chaque serveur. Dans le cas d un cloud entièrement déporté, la partie serveur (matériel) n a plus besoin d être aussi importante car les fonctions prises en charger sont moindre. Pareillement dans une approche Saas. Par contre, vous devrez garder les services élémentaires (stockage, serveur de fichier, d impression ). La même révision de son parc serveur devra être réalisée avec le saas. Théoriquement, l usage du cloud ou de service saas ne nécessite pas de PC surpuissants. Cependant, mieux vaut disposer des dernières versions de navigateurs, d une connexion haut débit et stable. Livre blanc «Cloud Computing» par François Tonic 10

11 Il est vrai que si nous poussons plus loin la réflexion, le cloud peut être une renaissance des clients légers et ultra clients. Car si on démarrage sur un cloudos, l utilisateur doit-il disposer de la même puissance machine? Non. Car finalement, le traitement et la charge processeur se feront sur le serveur hébergeant le cloud. On déporte ainsi les besoins matériels de son poste utilisateur au nuage. Verra-t-on apparaître des CloudPC, des CloudBook? Oui sans aucun doute. Dans un premier temps, nous pensons que ce ne sera que des versions légèrement modifiées de PC actuelles, avec la possibilité de démarrer sur un cloudos. Déjà, des «netbooks cloud» sont attendus sur le marché (gos cloud et gigabyte m912). Reste à ouvrir le cloud aux Smartphones ce qui ne tardera pas. Malgré tout, la partie purement matérielle du cloud, côté utilisateur, ne devrait pas évoluer à court terme. Les enjeux pour les constructeurs sont trop importantes et les éditeurs logiciels ne sont pas passés à ce nouveau modèle «on demand». Livre blanc «Cloud Computing» par François Tonic 11

12 Partie 2 : les promesses du cloud (au sens large) «Le cloud computing permet de réduire la nécessité d immobiliser des capacités informatiques avant que ces capacités ne soient nécessaires. Le cloud permet de concevoir et de construire des nouveaux systèmes quand le business ralentit et les systèmes sont prêts et capable de monter en charge rapidement quand les conditions l exigent.» Peter Coffee (director of Platform research Salesforce.com) Quelles sont les promesses et les objectifs du cloud computing pour le développeur, l'utilisateur final, l'administrateur et de l'entreprise, voire même pour un éditeur? Si on suit le manifeste Open Cloud, nous aurions comme buts : le choix, la flexibilité, la rapidité, l'agilité et la qualification. Cependant, il ne faut pas généraliser ces objectifs et buts car cela dépend de quelle section du cloud nous parlons. Car il y a une différence de buts d objectifs entre le cloud pur et les services Saas... Il semble difficile de donner des objectifs et des buts au cloud car son étendue est telle que cela dépend finalement de ce que l'on recherche réellement en le mettant en place. Pour notre part, nous placerons en premier le choix et la flexibilité. Ensuite, il y a en vrac l'administration, le déploiement, l'infrastructure totalement ou partiellement déportée dans le nuage. Et surtout, ne l'oublions pas : on paie ce que l'on consomme réellement. Nous insistons sur ce point car la consommation à la demande, même si ce n'est pas nouveauté, se généralise (enfin pourrait-on dire). Nous reviendrons sur tout cela plus loin. 1 Les avantages du Cloud computing selon le manifeste Open Cloud Le manifeste cite les avantages suivants : - Montée en charge selon la demande (réelle) - Adaptabilité du datacenter pour l'accès, l'organisation, la volumétrie des données - Minimiser les coûts d'accès (au départ) - Améliorer le process business A cela, nous rajoutons (liste non exhaustive) : - administration le plus souvent centralisée et simplifiée - gestion de l'infrastructure simplifiée - adaptabilité de l'infrastructure selon ces besoins réels à un instant T - souplesse du plan de reprise d'activité Clairement, le Cloud Computing propose de solides arguments. La souplesse, la flexibilité et la montée en charge de l'infrastructure cloud sont de vraies avancées par rapport à une infrastructure dite locale, le classique réseau serveur. Ces avantages, nous les avions déjà avec la virtualisation (type serveur et VDI). Mais ici nous allons plus loin car nous déportons l'infrastructure en dehors. D'autre part, c'est au fournisseur de l'infrastructure cloud à faire la mise à jour même si l'administrateur doit toujours veiller à la bonne tenue de son infrastructure. Ces premiers arguments sont d'autant plus forts que l'on n'immobilise plus dans l'entreprise des serveurs sous-utilisés avec des coûts de maintenance et de fonctionnement qu'ils soient ou non à pleine charge. L'informatique à la demande devient donc ici l'infrastructure à la demande dans laquelle on instancie de nouveaux serveurs quand cela est nécessaire. On peut alors ajuster au plus juste la puissance serveur (stockage, CPU, bande passante, serveurs...) tout en veillant à une meilleure charge d utilisation (on oublie trop souvent la notion de saturation des machines et des processeurs). Et on paie, comme énoncé déjà à plusieurs reprises, ce que l'on utilise. Sur ce point précis, attention tout de même à bien maîtriser la tarification car elle est souvent multiple (temps d'utilisateur, bande passante, CPU, stockage, nombre de serveurs, etc.). Avant tout choix d'un cloud, le calcul d'un retour sur investissement s'avèrera indispensable. Livre blanc «Cloud Computing» par François Tonic 12

13 Sur l'amélioration sur process business, nous ne serons pas aussi catégoriques car cela se voit surtout dans la partie Saas. Même si effectivement, la fluidité de l'infrastructure fait partie d'un process business. Sur le coût d'accès, nous sommes ici aussi prudents mais nous le détaillerons dans un autre chapitre. Par contre l'administration y gagne. Outre l'aspect purement matériel, les offres cloud misent sur la centralisation de la console (dans le navigateur, voire éventuellement en client riche). Si des efforts restent à faire sur le monitoring de disponibilité, depuis les pannes fracassantes de Salesforces, Google, Azure, Mesh, les fournisseurs font des efforts de transparence. Il est impératif pour l'it ou même pour un utilisateur avancé de voir exactement ce qui se passe sur son infrastructure déportée. Voire de pouvoir établir des politiques de basculement automatique si des serveurs deviennent inaccessibles ou trop lents : il faut pouvoir basculer automatiquement vers un autre datacenter ou d'autres serveurs. 2 Les inconvénients du Cloud computing selon le manifeste Open Cloud Le manifeste évoque les inconvénients et freins suivants : - la sécurité - l'interopérabilité des données et des applications et de leur portabilité - gouvernance et administration - monitoring et métrique. Sur le monitoring et l'administration, ils peuvent être vus comme des points faibles mais les progrès constants permettent aujourd hui une meilleure gestion au quotidien, que ce soit sur les consoles graphiques ou les consoles en ligne de commande. Cependant, il est vrai que sur les métriques, les mécanismes ne sont pas à la hauteur des outils «locaux». Sur l'interopérabilité, véritable point noir du cloud, un chapitre abordera spécifiquement ce problème. Sur la sécurité, le problème n est pas aussi dramatique que l on voudrait bien nous le faire croire. Il est vrai qu'aujourd'hui les clients du cloud regardent plutôt à déployer un cloud interne justement en raison du flou sécuritaire. Cependant, il ne faut pas être extrême car le cloud bénéficie des mécanismes éprouvés des réseaux et du web en général. Ensuite, si les mécanismes ne sont pas activés ou mal déployés, ce n'est pas la faute aux fournisseurs mais aux administrateurs, développeurs, utilisateurs. Depuis des années, les éditeurs et organismes sensibilisent les développeurs à concevoir des applications, des sites web sécurisés. Mais cette évangélisation reste, malheureusement, bien trop souvent lettre morte, au mieux, limitée ou mal comprise et mise en œuvre. Les risques existent sur le cloud comme ailleurs. La sécurité totale n'existe pas et n'existera jamais (sauf à considérer le proof computing). 3 La sécurité : l autre enjeu Il est nécessaire de se poser des questions sur la surface de risques (réelle et supposée), les mécanismes à utiliser. Finalement, l'administrateur et le RSSI garderont un rôle important. Ensuite on peut se demander quelle intégrité de mes données, de mes applications, voire de mon interface avec l'annuaire d'entreprise, la fédération d'identité, etc. N'ayez aucune illusion. La sécurité sur le cloud aura un coût humain, financier et technique. Un audit précis sera donc nécessaire avant toute production de son cloud. Il faut impérativement des sessions sécurisées : VPN, SSL, https, cryptage des données en transits, authentification forte, vérification de l intégration des données en E/S, couplage du cloud avec les profils et politiques d accès de l entreprise, application des patchs des environnements serveurs, sécurisation des postes clients. La mise en place de monitoring et d outils spécifiques s avèrera indispensable, ce que l offre actuelle ne peut faire réellement. Le schéma suivant (Understanding Service Architecture, MSDN) illustre l intervention du protocole https dans un contexte Azure : Livre blanc «Cloud Computing» par François Tonic 13

14 La sécurité dans le cloud a un coût sur le temps de traitement, sur le budget et le temps de développement. D autre part, le fait de développer dans le cloud ne dispense pas le développeur d appliquer les règles du développement sécurisé. Le code doit être qualifié et sécurisé. Les testeurs doivent mettre en place des matrices de tests de sécurité et les appliquer scrupuleusement. Le développeur devra utiliser les mécanismes disponibles aussi dans le langage choisi et les mécanismes offerts par la plate-forme. Livre blanc «Cloud Computing» par François Tonic 14

15 Dans le schéma précédent (source : VMware), nous retrouvons l architecture de l offre infrastructure vsphere v4 de VMware. La sécurité est dévolue en grande partie à deux modules : vshiled Zones (chaque application est soumise aux règles de sécurité dans un environnement partagé) et VMsafe (pour utiliser des produits de sécurité fonctionnant de concert avec les couches de virtualisation afin de «blinder» les machines virtuelles). Côté Amazon Web Services (dont EC2, source : Amazon Web Services overview of security process june 2009), les recommandations sont claires : certifications et accréditations, design de sécurité, sécurité physique, backup, sécurité réseau, sécurité liée aux services Amazon (EC, Storage Service, SGBD ). Si on prend la sécurité réseau, l éditeur veut prévenir les attaques DDoS via une API à implémenter, génération automatique de certificat SSH quand on se logue, protection contre le spoofing IP et contre le scanneur des ports. Le schéma ci-dessous (source : Amazon AWS) montre une architecture firewall pour protéger l infrastructure EC. Sur la partie virtualisation, Amazon pointe du doigt l isolation des instances (Amazon est très actif autour de l hyperviseur Xen). L isolation des instances est capitale pour la stabilité de l infrastructure virtuelle et éviter ainsi toute fuite mémoire ou échange inter-instance non voulue provoquant à terme l écroulement de l infrastructure (voir schéma ci-dessous). Livre blanc «Cloud Computing» par François Tonic 15

16 On rajoutera les notions de qualité de services (SLA). Là encore, la vigilance reste indispensable : vérification des niveaux de qualité par contrat, quelles interventions possibles, quel niveau de redondance et de réplication des données (entre deux datacenters par exemple), etc. La partie légale demeure encore assez floue car les implications pour toutes les parties s'avèrent importantes. 4 Les avantages et inconvénients des services en ligne de type Saas L une des plus remarquables success story du Saas est sans conteste Salesforce. Il s agit pour ces éditeurs de bannir le logiciel du poste de travail. On déporte alors tout ou partie d une solution, d une application sous forme de services, de plate-formes de services en ligne. C est le cas avec les Google Apps, Acrobat.com, Microsoft Online, les services Lotus, etc. Aujourd hui, on trouve des services en ligne de type Saas pour tout et n importe quoi : sécurité, mail, ERP, CRM, processus métier, serveur de messagerie, environnement portail. Les avantages sont (liste non exhaustive) : - souplesse et facilité de mise en œuvre - fin du déploiement de solution monolithique et lourde - mise à jour du côté éditeur - tarification plus réelle à la consommation - migration des données vers les services en ligne Mais les inconvénients ou points sensibles sont aussi nombreux : - quelle réversibilité d un saas? - interopérabilité entre les services - qualité et garantie contractuelle - définition des responsables légales en cas de panne, de perte de données - bien maîtriser les aspects coûts - agrégation des services entre eux 5 Quels utilisateurs? Cette question peut paraître bête mais lorsque nous avons testé les solutions Google, Force.com, Microsoft Online / Azure / Mesh, etc. et durant les discutions avec les éditeurs, l interrogation Livre blanc «Cloud Computing» par François Tonic 16

17 apparaissait plus que pertinente. Le marché premier reste clairement l entreprise. Les grandes structures commencent à considérer le cloud après le saas, qui commence «à prendre» ici et là. La PME utilise déjà, même si le pourcentage reste faible, des services saas. Mais le cloud au sens strict du terme? Pour le moment, c est la prudence et si cloud il y a, nous serons dans une approche cloud privé pour des raisons de sécurité. Les offres d un Amazon EC, Azure, Force.com, etc. ciblent uniquement l entreprise. Rien pour le grand public à ce niveau. Même constat pour les offres webos vivant grâce à l entreprise et non sur l utilisateur lambda. Par contre, des services de type Live Mesh peuvent intéresser un public mixte, «amateur» et professionnel. Mais quel utilisateur lambda à la maison s amusera à configurer un App Engine ou un Force.com? Il faut être réaliste. Ces plate-formes et infrastructures sont inadaptées dans leur approche et leur ergonomie. Il faut d autre part absolument des éditions personnelles / développeur gratuite ou à très faible coût, à côté des offres «normales». La démocratisation du Saas et sans doute encore plus de l approche hybride S+S (dans un premier temps) viendra par un couplage avec des logiciels du quotidien. Depuis un traitement de texte pouvoir accéder à un espace de stockage en ligne facilite un tel usage (voir Office 2007). Live Mesh est un exemple à considérer et à suivre. Par son ergonomie, ses fonctions, il peut séduire un très large public. Cependant, la réussite dépendra d un élément incontournable, en plus de l ergonomie et de la praticité : l évangélisation. Les éditeurs doivent impérativement communiquer, expliquer, présenter, promouvoir. Non pas en centrant uniquement sur leurs propres solutions mais dans une approche macro : expliquer les rudiments du cloud, du saas (c est quoi, pourquoi faire, où, quand, comment). Ensuite, l explication micro (plus en profondeur) sera possible. Mais une fois de plus, on confond les deux approches. Et malheureusement, la presse ne constitue pas toujours un medium fiable. Ni les éditeurs. Quand nous entendons la question suivante durant une conférence de presse, «Windows 7 sera-t-il distribué en SaaS?», on mesure l océan d incompréhension. 6 Le succès passera-t-il par des «AppStore»? Jusqu à récemment, nous n avions pas réellement examiné la problématique des applications et solutions prêtes à l emploi, disponibles directement sur une plate-forme cloud. Dans le Saas, l agrégation (que se soit par mashup ou applications composites) se répand «facilement» car il s agit en quelque sorte d un morceau ADN de ces services même si l interopérabilité entre services est loin d être garantie. Mais sur le cloud? Après un test rapide de la plate-forme Force.com en édition personnelle / développeur (version gratuite), il est facile de comprendre l intérêt d une boutique d applications où l on puise la solution que l on souhaite et qui répondrait le mieux à un besoin donné. C est une autre manière, si nous voulions faire un raccourci, de consommer des services en ligne. Mais là, les solutions disponibles le sont pour une plate-forme donnée. Les logiciels disponibles sont gratuits ou payants. L usage professionnel est une fois de plus mis en avant. Nous avons ainsi une sorte de AppStore, très primitif sur Azure, Mesh Developer ou encore App Engine, bien plus développé sur Force.com. Nous pensons que ces boutiques constituent un des avenirs de la consommation de logiciels sur le cloud. Mais des progrès sur l ergonomie et les procédures de déploiement restent à réaliser. Notre expérience sur Force.com démontre à la fois le potentiel d une telle approche mais les procédures demeurent trop lourdes et l ergonomie laisse à désirer. Livre blanc «Cloud Computing» par François Tonic 17

18 7 Le Cloud IT est-il le futur du DSI Le cloud impacte l infrastructure, le système d information, comme peut le faire un service Saas, mais à un périmètre moindre. Comme la virtualisation de serveur permet de consolider et de rationaliser les serveurs physiques, le cloud externalise une partie de son infrastructure ou le rend plus réactive, mieux chargée si on garde le cloud chez soi. Le métier du DSI change aussi car il doit posséder une vision du cloud et savoir comment l intégrer lorsque cela lui semble bénéfique. Il ne faut pas s y lancer tête baissée. Il faut surtout auditer, définir le périmètre d action du cloud, les conditions d externalisation, de migration, de plan PRA et de retenir en interne si besoin. Le cloud nécessite donc une sérieuse redéfinition de l architecture globale de son infrastructure SI, aussi bien matérielle que logicielle. Même remarque pour remplacer une application par un service en ligne. Le DSI doit jouer son rôle : - vision à long terme du SI - maîtrise des coûts, investissements et évolutions - aligner le SI sur le métier de l entreprise. En théorie, le cloud offre au SI une flexibilité dans la montée en charge, le load balancing, le déploiement des applications. Si la DSI ne possède pas de compétence. Il faut procéder à une mise à niveau des compétences et s adjoindre les compétences d une SSII, d un intégrateur spécialisé dans le domaine. Cependant, toute externalisation doit se faire dans les meilleures conditions et la maîtrise technique doit être claire pour la DSI, les prestataires, les fournisseurs. Le directeur informatique doit disposer du niveau de ROI, des alternatives en cas de besoin, des clauses contractuelles, etc. Aujourd hui, pour une DSI, le cloud rejoint les problématiques d externalisation, d infogérance. Il faut franchir le pas mais aussi savoir ce que l on veut faire à terme avec cette approche. La difficulté sera, comme vu plus haut, de définir strictement le périmètre que l on souhaite externaliser. Ensuite, la conduite du projet est classique. Le Cloud IT sera la plupart du temps mixte. Il faut rester prudent tant que l interopérabilité, la qualité de service, entre autre, ne seront pas clarifiées. Et comme toujours : quelle valeur apporte le cloud, le saas au-delà de la simple commodité. Livre blanc «Cloud Computing» par François Tonic 18

19 Partie 3 : Saas et S + S, les questions à se poser Sous ce terme, les éditeurs y mettent tout est n'importe quoi. Nous prenons ici le parti unique du SaaS, soit le logiciel comme un service et un autre approche le Logiciel + Service ou Software + Services. Cette dernière est promue par Microsoft. L'éditeur possède d'ailleurs une partie en ligne avec les services Live et les services Online. Le succès de Salesforce.com est là pour démontrer la viabilité d un acteur «pure player». 1 le marché ne sera jamais tout Saas Simple constat pragmatique, le marché ne sera jamais 100 % Saas, Cloud. Aucun éditeur ou analyste ne le pronostique. Cela pourrait devenir réalité mais dans un cycle long. Les estimations des principaux analystes (Gartner, IDC, etc.) oscillent sur une percée du logiciel de type Saas à hauteur de 12 à 15 % d'ici Aujourd'hui, les taux de croissance paraissent incroyables car nous partons de zéro, cependant, même à 5 ou 7 % de volume (pas en valeur), les éditeurs ne peuvent pas omettre ce marché. Passer au tout Saas posera des problèmes énormes de disponibilité des services et aussi de pouvoir assurer une connexion web optimale tout le temps et n'importe où. Irréaliste aujourd'hui. Par contre, le Saas devient une réalité pour les services de paie, dans l'erp, le CRM, la messagerie, le stockage de données, la communication unifiée, la bureautique. Dans le nomadisme, le Saas (en lui assurant une synchronisation avec le poste de travail pour les données en mode connecté / déconnecté par exemple), offre un intérêt. Dans les applications nécessitant une forte puissance de calcul, le Saas ne peut assurer la même qualité qu'une application locale. Nous pensons à la CAO, les jeux, la compression décompression audio/vidéo... Rappelons que dans les infrastructures VDI (virtualisation du poste de travail), les protocoles d interface déportée ne peuvent supporter les exigences d applications intensives. Le Saas devrait cependant s'imposer sur des fonctions basiques que l'on peut qualifier de commodité. Nous les avons cités plus haut : messagerie, ERP, la bureautique, etc. Mais clairement, le Saas de commodité n'est pas un modèle économique viable, ou trop limité. Il faut donc proposer des services à valeur ajoutée comme le CRM, le process métier, le serveur de messagerie. Mais ce saas «valorisé» ne sera pas pertinent partout. D'autre part, pour un éditeur, le modèle Saas impose de nouvelles contraintes et un changement radical de modèle économique. Et le risque est de proposer du saas bradé ou de mauvaise qualité. Attention, même dans les pures players Saas, il y a le bon grain et le mauvais. Pour un éditeur vendant des licences, le saas oblige à repenser ces solutions. Jusqu'où faut-il aller? 2 La réalité à ne pas oublier Il ne faut surtout pas se lancer tête baissée. Il faut définir un plan d action pragmatique et raisonné. Tout d abord, définir le ou les applications que vous souhaitez déporter, et jusqu à quelle granularité puis établir une liste de services susceptibles d être compatibles avec vos attentes. De cette liste, vous devez définir le niveau fonctionnel offert et celui que vous attendez, la qualité, le niveau de contrat, les mécanismes de sécurité et notamment sur la réplication des données en cas de crash. La reprise de l existant est un élément crucial pour beaucoup d utilisateurs. Si vous migrez un ERP, un CRM, une messagerie, comment se passe la migration des données et quel niveau de migration est offert. Cette question est loin d être anodine dans un SGBD, une messagerie, un ERP, une paie. Mais il faut aussi se poser la question inverse. Si je reviens à un mode local, comment je migre les données. Et enfin, comment je migre d un service à un autre. Livre blanc «Cloud Computing» par François Tonic 19

20 3 Prévenir une indisponibilité par un PRA On parle beaucoup de plan de reprise d activité dans la virtualisation, le cloud mais plus rarement dans le Saas. Or, comment une entreprise peut prévenir une coupure de service sans faire tomber son business, une partie de son IT. Les pannes de Google, de Microsoft et de Salesforce montrent une forme de fragilité même si les pannes demeurent généralement limitées dans le temps et finalement assez rare. Basiquement, pour un service A, il faudrait avoir 1 ou 2 services comparables sur lesquels l entreprise sera capable de basculer en cas de panne du service A. Mais là se pose la question de l interopérabilité des services et comme dans les Iaas et Paas, le Saas manque cruellement d interopérabilité inter-services. Bref soyez très vigilant sur la qualité de service annoncée par l éditeur. Pis, dans une agrégation de services, en cas de panne d un service B, quelles conséquences sur les services A et C? Et quelle responsabilité légale pour les éditeurs des services actifs et pour le service tombé? Dans le multi-prestataire, le flou actuel devra être scrupuleusement résolu, et rapidement. 4 S+S : une approche hybride Si le logiciel desktop demeurera majoritaire, cela ne signifie pas que le monde online et offline ne sauront pas communiquer. L'approche logiciel + services constitue une approche hybride alliant du logiciel desktop et du logiciel en service (donc en saas). Par exemple, une suite bureautique desktop ayant accès un espace de stockage en ligne. En allant plus loin, le service en ligne correspond peu ou prou au logiciel desktop mais l'utilisateur peut basculer de l'un à l'autre en cas de besoin par exemple en cas de coupure réseau par exemple lors d'un déplacement. Microsoft prône ce modèle notamment avec certains services live, le futur Office Dans un certain sens, des éditeurs ayant une offre saas peuvent faire un modèle hybride, dans le sens où le service en ligne vient en complément et/ou s'insère dans le logiciel desktop. Un impératif toutefois, l'utilisateur doit comprendre les fonctions et l'utilité du service. A l'éditeur de bien communiquer et d'éviter des formulations ou une complexité dans l'offre. Livre blanc «Cloud Computing» par François Tonic 20