Le cloud d'une entreprise commence rarement par une décision formelle. Un développeur ou un prestataire ouvre un compte chez un fournisseur pour tester une idée, avec son adresse personnelle et sa carte bancaire. Le test devient un serveur utile, puis l'application de production, puis la messagerie de l'équipe. Trois ans plus tard, la personne est partie, l'adresse de contact du compte n'est plus relevée par personne, la facture augmente sans que l'on sache pourquoi, et l'entreprise réalise qu'elle ne détient pas les clés de ce qui fait tourner son activité.
Cette situation n'a rien d'exceptionnel et elle se répare, mais elle se répare beaucoup mieux avant l'incident qu'au moment où il survient. Le sujet n'est pas technique, il relève de la gouvernance : qui possède le contrat, qui paie, qui détient les accès de plus haut niveau, et comment ces accès se retirent le jour où une personne s'en va. Nous traitons ce chantier en mission cloud à 1000 HT / jour, à distance dans toute la France et en Suisse, et il se règle généralement en une journée sur un environnement de PME.
Ce qu'est le compte racine d'un fournisseur cloud
Chaque fournisseur possède un accès de plus haut niveau, celui qui détient le contrat lui-même. Il s'appelle le compte racine chez Amazon Web Services, le propriétaire de l'organisation chez Google Cloud, le propriétaire de l'abonnement chez Microsoft Azure, auquel s'ajoute l'administrateur général de l'annuaire d'identités que nous présentons dans notre article sur Entra ID.
Ce compte ne se compare pas à un administrateur habituel. Il peut changer le moyen de paiement, modifier l'adresse de facturation, transférer la propriété de l'ensemble, fermer le compte, et rétablir les droits de tous les autres administrateurs. Il constitue en pratique le titre de propriété de votre informatique hébergée. Un point mérite d'être compris par le dirigeant : ce compte n'est pas seulement un accès technique, c'est le seul niveau qui permette de reprendre la main lorsque tous les autres accès ont été perdus.
Les cinq points de gouvernance à vérifier cette semaine
Ces vérifications ne demandent aucune compétence particulière et vous pouvez les mener avec votre prestataire actuel.
- Le compte appartient à la société et non à une personne ou à un prestataire. Le nom de l'entité facturée, le numéro de TVA et l'adresse doivent être ceux de votre entreprise, y compris lorsque c'est un partenaire qui l'administre au quotidien.
- L'adresse de contact est une adresse de service relevée par plusieurs personnes, du type administration ou direction, et non la boîte personnelle d'un salarié. C'est sur cette adresse qu'arrivent les avis de sécurité, les changements de conditions et les alertes de facturation.
- Le moyen de paiement est celui de la société. Une carte personnelle crée une dépendance à une personne, complique la comptabilité et provoque une suspension de service le jour où elle expire ou change.
- L'authentification renforcée est active sur ce compte, c'est-à-dire l'ajout d'un second facteur de connexion en plus du mot de passe, sujet que nous détaillons dans notre article sur la double authentification. Le moyen de validation doit appartenir à l'entreprise et rester accessible en cas d'absence de son détenteur habituel.
- Ce compte ne sert pas au travail quotidien. Ses identifiants sont conservés dans le coffre d'équipe décrit dans notre article sur le gestionnaire de mots de passe, et son usage se limite à quelques opérations exceptionnelles comme un changement de facturation ou une reprise d'accès.
Pourquoi les accès quotidiens doivent être nominatifs et révocables
Une fois le compte racine mis de côté, l'administration courante s'effectue avec des comptes créés dans le service de gestion des identités du fournisseur. Chaque personne, salariée ou prestataire, dispose de son propre compte, portant son nom, avec exactement les droits nécessaires à son travail. Cette organisation apporte trois avantages qui comptent le jour où quelque chose se passe mal.
Elle rend les actions attribuables : les journaux indiquent qui a supprimé un volume ou modifié une règle, ce qui transforme une enquête pénible en une consultation de quelques minutes. Elle rend la révocation immédiate, puisque désactiver un compte nominatif retire tous les accès de la personne concernée sans perturber les autres, ce que nous décrivons dans notre article sur la révocation des accès au départ d'un salarié. Elle rend enfin les droits ajustables, un développeur n'ayant pas besoin des mêmes permissions qu'un comptable qui consulte la facturation.
Le point de vigilance porte sur les accès dits techniques, ces clés créées pour un script ou une application. Elles échappent souvent au suivi parce qu'elles n'appartiennent à personne. Nous les inventorions, nous leur attribuons un responsable et un usage documenté, et nous les remplaçons régulièrement. La même exigence vaut pour vos partenaires : un prestataire doit disposer d'un accès nominatif que vous pouvez retirer seul, sans dépendre de sa bonne volonté ni de sa disponibilité.
Ce que la facture dit de votre gouvernance
Le suivi budgétaire n'est pas seulement une affaire d'économies, c'est un signal de sécurité. Une consommation qui augmente brutalement révèle parfois un environnement de test oublié, parfois un usage anormal du compte. Nous mettons donc en place des alertes de facturation dès les premiers montants, ainsi qu'un étiquetage des ressources par projet et par environnement, afin que chaque ligne de la facture ait un propriétaire identifié. La méthode complète figure dans notre article sur la facture cloud qui augmente et dans notre offre de gestion des coûts cloud.
Un mot sur la relation entre les deux pays où nous travaillons. Une société suisse et une société française peuvent parfaitement détenir chacune leur compte auprès du même fournisseur, avec leur propre facturation et leurs propres accès. Nous facturons nos missions au même montant hors taxes, en euros ou en francs selon l'entité concernée.
Notre méthode pour remettre un compte cloud au nom de l'entreprise
Nous commençons par un état des lieux qui répond à quatre questions : qui paie, qui détient l'accès de plus haut niveau, quels comptes et quelles clés existent aujourd'hui, et quelles ressources tournent réellement. Ce relevé se fait en lecture seule et ne perturbe pas la production.
Nous procédons ensuite au transfert de propriété quand il est nécessaire, en changeant l'entité facturée, l'adresse de contact et le moyen de paiement pour ceux de la société. Cette opération est encadrée par le fournisseur et demande un peu de préparation, notamment sur les justificatifs, ce qui explique qu'il vaille mieux l'engager à froid. Nous activons l'authentification renforcée sur le compte racine, nous déposons ses identifiants et son moyen de validation dans le coffre de l'entreprise, puis nous créons les comptes nominatifs avec des droits ajustés aux rôles réels.
Nous terminons par les alertes de facturation, la suppression des accès orphelins, l'étiquetage des ressources et un document de reprise indiquant qui détient quoi et comment récupérer la main. Ce document est remis à la direction, pas seulement à l'équipe technique, car c'est elle qui devra s'en servir si l'interlocuteur habituel n'est plus joignable. Lorsque votre parc local est par ailleurs suivi dans un contrat d'infogérance du Bassin Genevois à partir de 120 HT / mois, nous relions les deux dossiers pour que l'arrivée ou le départ d'un collaborateur se traite d'un seul geste.
Si le seul propriétaire de votre compte cloud est aujourd'hui une adresse personnelle, prenons rendez-vous avant les prochains congés. C'est une intervention de gouvernance et de droits, pas une migration d'application, et elle vous rend la maîtrise d'un actif qui appartient à votre entreprise.