Unité 2.1 : Composants architecturaux de base

Introduction

Imaginez la construction d'un centre de données à partir de zéro. Vous devriez provisionner des serveurs, configurer des réseaux, paramétrer le stockage, sécuriser tout avec des pare-feus, et gérer tout cela à partir d'un seul plan de contrôle. Maintenant, imaginez faire tout cela entièrement en logiciel, où vous pouvez créer, modifier et supprimer une infrastructure en quelques minutes au lieu de mois. C'est exactement ce qu'un centre de données virtuel (VDC) vous offre sur IONOS Cloud.

Dans cette unité, vous allez apprendre sur les composants architecturaux fondamentaux qui constituent IONOS Cloud. Vous découvrirez comment les VDC servent de conteneurs logiques pour toutes vos ressources cloud, comment les régions et les zones de disponibilité offrent une flexibilité géographique et une haute disponibilité, et comment les fondamentaux du réseau permettent une communication sécurisée à l'intérieur et entre vos environnements. Comprendre ces composants essentiels est indispensable avant de plonger dans des services spécifiques comme le calcul, le stockage et les bases de données dans les unités à venir.

1. Centres de données virtuels (VDC)

Au cœur de l'architecture d'IONOS Cloud se trouve le centre de données virtuel. Un VDC est un conteneur logique qui regroupe tous les ressources cloud dont vous avez besoin pour créer une infrastructure informatique de niveau entreprise. Pensez-y comme à votre propre centre de données privé, mais entièrement virtualisé et géré via des logiciels.

1.1 Qu'est-ce qu'un centre de données virtuel ?

Selon la documentation d'IONOS, un centre de données virtuel est défini comme "un ensemble de ressources cloud utilisées pour créer une infrastructure informatique de niveau entreprise. Les ressources VDC incluent les processeurs, la mémoire, l'espace disque et les réseaux à partir desquels les machines virtuelles sont construites."

Un VDC regroupe :

• Les ressources de calcul (processeurs, mémoire)
• Les ressources de stockage (espace disque)
• Les ressources de réseau (réseaux virtuels, adresses IP)
• Les contrôles de sécurité (pare-feu, politiques d'accès)

Toutes ces ressources sont gérées comme une seule unité via le Data Center Designer (DCD), l'interface de gestion graphique d'IONOS Cloud. Lorsque vous créez un VDC, vous provisionnez essentiellement un centre de données virtuel complet qui peut héberger vos applications, bases de données et services.

1.2 Comment les VDC organisent les ressources

Chaque VDC est créé dans une région géographique spécifique (telle que Berlin ou Francfort), et toutes les ressources à l'intérieur de ce VDC appartiennent à cette localisation. Cette liaison régionale est importante pour la souveraineté des données, les considérations de latence et les exigences de conformité.

À l'intérieur d'un VDC, les ressources sont organisées de manière hiérarchique :

1. Niveau du contrat : Le conteneur le plus élevé appartenant à votre organisation
2. Niveau VDC : Les centres de données logiques à l'intérieur de votre contrat
3. Niveau des ressources : Les serveurs individuels, les volumes de stockage, les réseaux et les autres composants d'infrastructure

Cette hiérarchie permet une structure organisationnelle claire et un suivi des coûts. Chaque VDC apparaît comme un élément distinct sur votre facture mensuelle, ce qui facilite l'attribution des coûts à des projets, des équipes ou des environnements spécifiques.

1.3 Gestion et contrôle d'accès des VDC

L'accès aux VDC est contrôlé via IONOS Identity and Access Management (IAM). Les propriétaires de contrats et les administrateurs peuvent créer des VDC, et ils peuvent accorder des autorisations spécifiques aux utilisateurs et aux groupes au niveau du VDC. Les autorisations incluent :

• Lecture : Afficher les ressources et les configurations du VDC
• Édition : Modifier les ressources du VDC
• Partage : Accorder l'accès à d'autres utilisateurs

Ces autorisations sont héritées par toutes les ressources à l'intérieur du VDC, ce qui fournit un contrôle d'accès centralisé. Vous pouvez également définir des autorisations plus granulaires au niveau de la ressource individuelle lorsque cela est nécessaire, en soutenant le principe du moindre privilège.

2. Régions et zones de disponibilité

IONOS Cloud exploite des centres de données dans plusieurs emplacements géographiques. Comprendre comment fonctionnent les régions et les zones de disponibilité est crucial pour concevoir des architectures cloud résilientes et conformes.

2.1 Régions IONOS Cloud

Une région est un emplacement géographique où IONOS exploite un ou plusieurs centres de données. Chaque région est un déploiement indépendant avec sa propre infrastructure, réseau et services. Les régions IONOS Cloud comprennent :

Lorsque vous créez un centre de données virtuel, vous sélectionnez une région, et toutes les ressources de ce centre de données virtuel doivent résider dans l'emplacement choisi. Cette architecture régionale prend en charge plusieurs cas d'utilisation importants :

• Souveraineté numérique : conservez les données dans des frontières géographiques spécifiques pour répondre aux exigences légales et réglementaires
• Optimisation de la latence : déployez des ressources à proximité de vos utilisateurs pour une meilleure performance
• Reprise après sinistre : répartissez les charges de travail entre les régions pour assurer la continuité de l'activité

Il est important de noter que IONOS ne réplique pas automatiquement les données entre les régions. Si vous avez besoin d'une résilience multi-région, vous devez mettre en œuvre vos propres stratégies de réplication et de sauvegarde.

2.2 Zones de disponibilité au sein des régions

Au sein de chaque région, l'infrastructure IONOS Cloud est divisée en zones physiques isolées appelées zones de disponibilité (AZ). Chaque AZ est situé dans un emplacement physique séparé (différentes salles ou zones de protection contre les incendies) au sein du centre de données, avec des racks, des alimentations électriques et des systèmes de refroidissement indépendants. Les AZ sont interconnectés au sein de chaque centre de données via un réseau dédié. Cette isolation garantit qu'une panne matérielle ou un événement de maintenance dans une AZ n'affecte pas les ressources d'une autre AZ.

Typiquement, chaque région prend en charge au moins deux zones de disponibilité (AZ 1 et AZ 2). Lorsque vous provisionnez des ressources comme des serveurs ou des volumes de stockage au sein d'un centre de données virtuel, vous pouvez les attribuer à des zones de disponibilité spécifiques.

La répartition de vos ressources entre plusieurs AZ offre une tolérance aux pannes au niveau de l'infrastructure. Par exemple, si vous exécutez une application Web avec des serveurs dans les AZ 1 et AZ 2, votre application reste disponible même si une zone de disponibilité entière est en panne. C'est la base de l'architecture à haute disponibilité sur IONOS Cloud.

2.3 Sélection des régions et des zones de disponibilité

Lorsque vous concevez votre architecture cloud, prenez en compte ces facteurs :

Pour la sélection de la région :

• Où se trouvent vos utilisateurs ? (Sélectionnez des régions proches de votre base d'utilisateurs)
• Quelles sont vos exigences de conformité ? (Certaines réglementations exigent une résidence des données)
• Avez-vous besoin d'une reprise après sinistre entre les régions ? (Planifiez un déploiement multi-région)

Pour la répartition des zones de disponibilité :

• Répartissez les charges de travail critiques entre au moins deux AZ
• Placez les réplicas de base de données dans des AZ différents pour une haute disponibilité
• Configurez les équilibreurs de charge pour répartir le trafic entre les AZ

Alors que les zones de disponibilité protègent contre les pannes au niveau du centre de données, le déploiement inter-région protège contre les catastrophes régionales. La plupart des charges de travail de production bénéficient d'un déploiement multi-AZ au sein d'une seule région, avec un déploiement inter-région réservé aux applications critiques nécessitant le niveau de résilience le plus élevé.

3. Fondements du réseau

Le réseau est la base qui relie tous vos ressources de centre de données virtuel ensemble. IONOS Cloud propose un réseau défini par logiciel qui se comporte comme des réseaux physiques, mais avec les avantages de flexibilité et d'isolation de la virtualisation.

3.1 Réseaux virtuels et LAN

Au sein d'un centre de données virtuel, vous créez des réseaux locaux (LAN) pour interconnecter vos machines virtuelles et autres ressources. Ces LAN sont entièrement définis par logiciel et fournissent une isolation complète du trafic.

Comme le documente IONOS, "Les réseaux virtuels fonctionnent exactement comme des réseaux physiques normaux. Les données transmises sont complètement isolées des autres sous-réseaux et ne peuvent pas être interceptées par d'autres utilisateurs." Chaque LAN agit comme un segment Ethernet privé où vos ressources peuvent communiquer de manière sécurisée.

Vous pouvez créer deux types de LAN :

• LAN privés : réseaux internes qui ne sont pas accessibles depuis Internet. Les ressources sur les LAN privés ne peuvent communiquer qu'avec d'autres ressources au sein de votre centre de données virtuel ou de centres de données virtuel connectés.
• LAN publics : réseaux qui fournissent une connectivité Internet. Les ressources sur les LAN publics peuvent accéder à des services externes et peuvent être accessibles depuis Internet si configurés avec des règles de pare-feu appropriées.

Les deux types de LAN, privés et publics, prennent en charge l'exploitation en double pile, ce qui signifie qu'ils peuvent gérer à la fois le trafic IPv4 et IPv6 simultanément.

3.2 Adresse IP et DHCP

Les adresses IP sont attribuées aux cartes réseau (NIC) de vos machines virtuelles. Par défaut, IONOS Cloud attribue ces adresses automatiquement à l'aide du DHCP, vous n'avez donc généralement pas à vous en soucier.

Adresses IPv4 :

• Vos réseaux privés reçoivent un bloc d'adresses à utiliser à l'intérieur.
• Les adresses IPv4 dynamiques publiques sont attribuées automatiquement lorsqu'une machine se connecte à Internet.
• Si vous avez besoin d'une adresse publique permanente pour quelque chose, vous pouvez réserver une adresse statique.

Adresses IPv6 :

• Chaque environnement cloud reçoit un grand bloc d'adresses IPv6 publiques.
• À partir de ce bloc, vous pouvez créer des réseaux plus petits pour vos machines.
• Chaque carte réseau reçoit sa propre partie d'adresses, y compris une adresse principale unique.
• Les adresses IPv6 sont permanentes et ne changeront pas même si vous redémarrez votre VM.

Vous pouvez également choisir de configurer les adresses manuellement au lieu d'utiliser l'attribution automatique. Cela est utile pour des services importants comme DNS, les équilibreurs de charge ou les VPN qui nécessitent une adresse fixe.

3.3 Cartes réseau (NIC) et connectivité

Les machines virtuelles se connectent aux LAN via des cartes réseau (NIC). Chaque carte réseau peut être attachée à un LAN et fournit :

• Un débit interne allant jusqu'à 6 Gbps (trafic à l'intérieur du centre de données virtuel)
• Un débit externe allant jusqu'à 6 Gbps (trafic vers/depuis Internet)

Une machine virtuelle peut avoir plusieurs cartes réseau, chacune connectée à des LAN différents. Cette capacité de multi-hébergement permet des topologies de réseau avancées, telles que la séparation du trafic de gestion du trafic d'application ou la création de zones démilitarisées (DMZ) pour des services à destination du public.

3.4 Configuration du pare-feu

Chaque carte réseau peut avoir un pare-feu configuré directement sur l'interface. Lorsque vous activez un pare-feu, vous choisissez la direction du trafic :

• Entrant : contrôle le trafic entrant vers la carte réseau
• Sortant : contrôle le trafic sortant de la carte réseau
• Bidirectionnel : contrôle les deux directions

Par défaut, l'activation d'un pare-feu bloque tout le trafic entrant. Vous créez ensuite des règles de pare-feu pour autoriser des protocoles, des ports, des adresses source et des adresses de destination spécifiques. Les protocoles pris en charge incluent TCP, UDP, ICMP (ping IPv4), ICMPv6 (ping IPv6) et plusieurs autres.

Cependant, IONOS recommande d'utiliser Network Security Groups (NSG) au lieu de pare-feu basé sur la carte réseau pour la plupart des cas d'utilisation. Les NSG fournissent une gestion de pare-feu centralisée et à l'état qui peut être appliquée de manière cohérente à plusieurs machines virtuelles et cartes réseau. Nous allons couvrir les NSG en détail dans l'unité 2.6 sur les services de sécurité.

3.5 Cross Connect pour la communication entre centres de données virtuel

Lorsque vous avez besoin de connecter plusieurs centres de données virtuel ensemble, vous pouvez utiliser Cross Connect. Cette fonctionnalité crée des liens dédiés et privés basés sur LAN entre les centres de données virtuel dans la même région et le contrat.

Cross Connect fournit :

• Une communication à haut débit et faible latence sans traverser Internet public
• Une isolation complète du trafic par rapport à d'autres locataires
• Un support pour la réplication de reprise après sinistre et l'équilibrage de charge de travail entre les centres de données virtuel

Chaque LAN privé ne peut appartenir qu'à un Cross Connect, ce qui garantit une segmentation de réseau propre. Tous les centres de données virtuel participant à un Cross Connect doivent utiliser la même plage d'adresses IP pour éviter les conflits de routage.

4. Meilleures pratiques d'organisation des ressources

L'organisation appropriée des ressources au sein et entre les VDC est essentielle pour l'efficacité opérationnelle, la gestion des coûts et la sécurité.

4.1 Séparation des ressources par fonction et environnement

Une pratique courante consiste à créer des VDC distincts pour différents domaines logiques :

• VDC de base : Héberge des services partagés comme les pare-feu, les passerelles VPN, la surveillance et la journalisation centralisée
• VDC de production : Héberge les applications en direct et les services destinés aux clients
• VDC de développement : Héberge les charges de travail de développement et de test
• VDC spécifiques aux projets : Chaque projet important a son propre VDC pour une attribution claire des coûts

Cette séparation offre plusieurs avantages :

• Rapports financiers clairs (chaque VDC est facturé séparément)
• Contrôle d'accès simplifié (accorder aux développeurs l'accès au VDC de développement mais pas à la production)
• Rayon d'impact réduit (une erreur de développement ne peut pas affecter la production)

4.2 Centralisation de l'infrastructure partagée

Plutôt que de dupliquer les services courants dans chaque VDC, déployez-les une seule fois dans un VDC de base et connectez les autres VDC via Cross Connect. Cette centralisation :

• Réduit les coûts de licence et d'exploitation
• Assure des politiques de sécurité cohérentes dans tous les environnements
• Simplifie la gestion et la surveillance

Par exemple, vous pouvez déployer un appareil pare-feu centralisé, VPN Gateway, et un service d'agrégation de journaux dans votre VDC de base. Tous les autres VDC se connectent au VDC de base via Cross Connect, en routant leur trafic via l'infrastructure de sécurité partagée.

4.3 Application des contrôles d'accès avec des groupes

IONOS IAM prend en charge les groupes d'utilisateurs, qui sont des collections d'utilisateurs ayant des besoins d'accès similaires. Les meilleures pratiques pour utiliser les groupes incluent :

• Créer des groupes qui reflètent les rôles organisationnels (par exemple, Network-Engineers, Database-Admins, Security-Team)
• Accorder des autorisations aux groupes plutôt qu'aux utilisateurs individuels
• Appliquer le principe du privilège minimum (accorder uniquement les autorisations nécessaires)
• Utiliser avec prudence le privilège « Accéder et gérer les ressources Identity and Access Management », car il permet aux utilisateurs de gérer les objets IAM

Lorsqu'un utilisateur rejoint ou quitte une équipe, vous pouvez simplement l'ajouter ou le supprimer du groupe approprié. Leurs autorisations sont héritées automatiquement de l'appartenance au groupe, ce qui rend la gestion des accès évolutivité et auditable.

4.4 Distribution des charges de travail entre les zones de disponibilité

Pour la résilience, distribuez toujours les charges de travail de production entre au moins deux zones de disponibilité au sein d'un VDC. Cela protège contre les défaillances au niveau du centre de données. Les exemples incluent :

• Exécuter des serveurs web dans les AZ 1 et AZ 2 avec un Load Balancer qui distribue le trafic
• Déployer des réplicas de base de données dans différents AZ pour une haute disponibilité
• Placer le stockage de sauvegarde dans une zone AZ distincte des charges de travail principales

La disposition de la zone de disponibilité est configurée lorsque vous créez des ressources comme des serveurs et des volumes de stockage. IONOS ne balance pas automatiquement les ressources entre les AZ, vous devez donc planifier cela dans le cadre de votre conception d'architecture.

Cas d'utilisation courants

Scénarios du monde réel où les composants architecturaux de base d'IONOS Cloud sont utilisés :

1. Application Web à plusieurs niveaux avec haute disponibilité : Une entreprise SaaS déploie son application sur trois VDC (développement, préproduction, production) dans la région de Francfort. Le VDC de production répartit les serveurs Web sur les zones de disponibilité 1 et 2, comme décrit dans la section 2.2, avec une application Load Balancer qui achemine le trafic entre les zones. Le VDC principal héberge des services partagés comme VPN, un enregistrement centralisé et une surveillance de la sécurité, connectés à tous les environnements via Cross Connect, comme expliqué dans la section 3.5. Cette architecture offre une résilience contre les défaillances de la zone de disponibilité tout en maintenant une séparation claire entre les environnements.
2. Distribution de contenu mondiale avec résidence de données régionale : Une plateforme de commerce électronique sert des clients en Europe et en Amérique du Nord. L'entreprise crée des VDC distincts dans les régions de Francfort (de/fra) et de Lenexa (us/mci), comme indiqué dans la section 2.1. Les données des clients européens restent dans les centres de données de l'UE pour la conformité GDPR, tandis que le trafic nord-américain est servi à partir de la région américaine pour une latence plus faible. Chaque VDC régional s'étend sur plusieurs zones de disponibilité en suivant la stratégie de distribution de la section 2.2, offrant une haute disponibilité localisée.
3. Architecture de sécurité centralisée pour plusieurs projets : Une société de services informatiques gère l'infrastructure pour cinq projets de clients différents. Ils créent un VDC principal contenant des appareils de pare-feu partagés et des passerelles VPN, ainsi que cinq VDC spécifiques aux projets (un par client). En suivant le modèle d'organisation des ressources de la section 4.1 et 4.2, tous les VDC de projet acheminent le trafic via l'infrastructure de sécurité du VDC principal via Cross Connect. La société utilise des groupes IAM, comme décrit dans la section 4.3, pour accorder à chaque équipe de clients l'accès uniquement à leur VDC de projet, garantissant une isolation complète tout en centralisant la gestion de la sécurité.

Résumé

Dans cette unité, vous avez exploré les composants architecturaux de base qui forment la fondation d'IONOS Cloud. Vous avez appris que les centres de données virtuels (VDC) servent de conteneurs logiques pour toutes vos ressources cloud, offrant un équivalent logiciel de centres de données physiques. Vous avez découvert comment les régions et les zones de disponibilité d'IONOS Cloud permettent la distribution géographique, la souveraineté numérique et la tolérance aux erreurs. Vous avez examiné les principes de base du réseau, notamment les LAN virtuels, l'adressage IP, les cartes réseau (NIC) et la configuration du pare-feu, qui permettent une communication sécurisée au sein de votre infrastructure. Enfin, vous avez examiné les meilleures pratiques pour organiser les ressources à travers les VDC, en utilisant des groupes IAM pour le contrôle d'accès, et en répartissant les charges de travail à travers les zones de disponibilité.

Ces composants de base travaillent ensemble pour offrir la flexibilité, l'isolation et la résilience nécessaires aux déploiements cloud d'entreprise. Comprendre les VDC, les régions, les zones de disponibilité et les principes de base du réseau vous permet de prendre des décisions éclairées concernant les services de calcul, de stockage et d'autres services couverts dans les unités suivantes.

Points clés :

• Les centres de données virtuels (VDC) sont des conteneurs logiques qui regroupent les ressources de calcul, de stockage et de réseau dans une seule région géographique
• Les régions d'IONOS Cloud offrent une distribution géographique en Europe et en Amérique du Nord, tandis que les zones de disponibilité au sein de chaque région permettent une architecture tolérante aux erreurs
• Les LAN virtuels offrent un réseau isolé au sein des VDC, avec un support pour les adressages IPv4 et IPv6
• Les ressources peuvent être connectées à travers les VDC en utilisant Cross Connect, permettant des services partagés centralisés et une répartition des charges de travail
• Les meilleures pratiques incluent la séparation des environnements en VDC distincts, la répartition des charges de travail à travers les zones de disponibilité, et l'utilisation de groupes IAM pour le contrôle d'accès
• Les limites régionales sont strictes (pas de réplication automatique inter-région), nécessitant une conception explicite pour la résilience multi-région

Terminologie importante :

• Centre de données virtuel (VDC) : Un conteneur logique pour les ressources cloud, y compris le calcul, le stockage et le réseau, lié à une région spécifique
• Région : Un emplacement géographique où IONOS exploite des centres de données, tels que Berlin (de/txl) ou Francfort (de/fra)
• Zone de disponibilité (AZ) : Une zone physique isolée au sein d'une région avec une alimentation, un refroidissement et un réseau indépendants
• LAN (Réseau local) : Un réseau virtuel défini par logiciel qui connecte les ressources au sein d'un VDC, prenant en charge à la fois la connectivité privée et publique
• Carte réseau (NIC) : Un adaptateur réseau virtuel qui connecte une machine virtuelle à un LAN
• Cross Connect : Un lien privé et dédié entre les LAN dans différents VDC au sein de la même région et du même contrat
• Data Center Designer (DCD) : L'interface graphique d'IONOS Cloud pour la création et la gestion des VDC et de leurs ressources

Prochaines étapes

Continuer l'apprentissage : Unité 2.2 : Services de calcul

Sujets connexes :

• Unité 3.1 : Data Center Designer et gestion de compte
• Unité 3.2 : Gestion des identités et des accès