Pourquoi le cloud souverain de Microsoft laisse des dépendances

Le cloud souverain de Microsoft étend le contrôle tout en conservant des dépendances

L’extension du cloud souverain de Microsoft donne aux entreprises davantage de contrôle sur les clés de chiffrement, les opérations locales et la continuité de service, tout en laissant subsister des dépendances juridiques et technologiques à évaluer. Annoncées mardi, les nouvelles fonctionnalités de sécurité, de gouvernance et d’IA prolongent les efforts de souveraineté numérique de l’entreprise dans le cadre de Microsoft Sovereign Cloud. Pour les acheteurs, le choix dépend de la charge de travail : des contrôles renforcés ont du sens lorsque le risque qu’ils réduisent justifie les coûts et les responsabilités supplémentaires qu’ils entraînent.

Pour faire ce choix, les acheteurs doivent distinguer plusieurs dimensions de la souveraineté : l’emplacement des données, les personnes qui peuvent y accéder, le détenteur des clés de chiffrement, la manière dont le traitement est protégé, la capacité des services à continuer de fonctionner en cas de perturbation et la facilité avec laquelle les charges de travail peuvent être déplacées. Douglas Phillips, président et directeur technique de Microsoft Specialized Clouds, a décrit la position de Microsoft dans un billet de blog : « Les organisations s’intéressent à bien plus qu’au lieu de résidence des données. Elles cherchent aussi à comprendre qui peut accéder à leurs systèmes et les exploiter, comment les actifs numériques sensibles restent protégés, quelles dépendances technologiques comptent le plus et si les services critiques peuvent continuer à fonctionner lorsque les conditions réglementaires, géopolitiques, de sécurité ou de réseau évoluent », a-t-il écrit. Microsoft commercialise les services conçus pour répondre à ces exigences ; l’entreprise y trouve donc un avantage commercial lorsque les clients achètent des capacités de souveraineté supplémentaires.

En Europe, la demande s’étend à l’accès et à la continuité

Cette vision plus large de la souveraineté est importante alors que la surveillance internationale s’intensifie sur le traitement des données sensibles et le niveau de contrôle de l’infrastructure que conservent les clients. La demande est particulièrement forte en Europe, selon Pareekh Jain, PDG de EIIRTrend & Pareekh Consulting. « Trois facteurs expliquent cette dynamique : un durcissement des réglementations sur les données, la montée des tensions géopolitiques et l’adoption croissante de l’IA », a-t-il déclaré. Ces pressions font de l’accès et de la continuité de service des éléments de la décision d’achat au même titre que le lieu de stockage.

Jain relie ces pressions aux préoccupations européennes concernant les infrastructures américaines et à la concurrence des fournisseurs régionaux. « Les gouvernements et les entreprises veulent davantage de contrôle sur le lieu de stockage de leurs données, sur les personnes qui peuvent y accéder et sur la capacité des systèmes critiques à fonctionner en cas de perturbation. Par exemple, les gouvernements et les grandes entreprises en Europe s’inquiètent de conserver leurs données importantes sur les ordinateurs d’une entreprise américaine. L’Europe a proposé une nouvelle loi qui limiterait dans de nombreux domaines l’utilisation des entreprises de cloud US pour les données gouvernementales sensibles. Microsoft répond à ces préoccupations tout en étant en concurrence avec des fournisseurs locaux de cloud souverain. »

Cette concurrence s’exerce sur un marché où Amazon, Google et Microsoft détiennent encore ensemble environ 70 % du marché européen du cloud, tandis que la part des fournisseurs européens a reculé au cours de la dernière décennie. Les acheteurs qui recherchent des contrôles plus stricts doivent donc faire leur choix dans un marché dominé par des fournisseurs US. L’exemple de projet de loi cité par Jain ajoute la possibilité d’un changement des exigences gouvernementales dans la décision. Les acheteurs doivent évaluer la réponse de Microsoft au regard des besoins de chaque charge de travail en matière d’accès, d’exploitation et de continuité.

La garde des clés et le traitement protégé répondent à des risques différents

Pour aider les clients à identifier ces besoins, Microsoft prévoit d’intégrer l’évaluation de la souveraineté dans une interface unifiée du portail Azure. Son Sovereign Control Panel doit entrer en préversion publique, une étape de précommercialisation destinée à l’évaluation par les clients, lors de Microsoft Ignite. Microsoft indique que les organisations pourront évaluer leur situation actuelle, identifier les risques et les lacunes, appliquer des contrôles et évaluer la portabilité des charges de travail, c’est-à-dire la capacité à déplacer une charge de travail vers un autre environnement. Cette séquence relie une exigence à un choix architectural précis.

Pour les charges de travail qui exigent un contrôle sur les clés de chiffrement, Microsoft étend les options au-delà de la protection au sein de son infrastructure. Azure Key Vault Managed Hardware Security Module, ou HSM, fournit déjà une protection matérielle dédiée pour les clés de chiffrement des clients. Microsoft indique que la gestion externe des clés via Azure Managed HSM est désormais disponible de manière générale, ce qui permet aux organisations de conserver les clés de chiffrement racines dans un matériel qu’elles possèdent et exploitent dans leurs propres locaux, ou via un tiers de confiance. Cela modifie le lieu de conservation de ces clés et l’identité de l’exploitant des équipements qui les protègent.

La garde des clés répond toutefois à un risque différent de celui de l’exposition pendant le traitement. Azure Confidential Clean Rooms de Microsoft, actuellement en préversion limitée, utilise l’informatique confidentielle pour protéger les informations pendant leur traitement afin que les participants puissent analyser des informations partagées tout en limitant une exposition plus large des données sous-jacentes. Les participants peuvent ainsi tirer des conclusions à partir d’informations combinées tout en limitant l’accès à ces informations. Le statut de préversion limitée en fait également une option de planification différente des services déjà disponibles de manière générale.

Pour le traitement sur une infrastructure exploitée par le client, Microsoft indique que Confidential Virtual Machines sur Azure Local est désormais disponible de manière générale. Le service utilise une mémoire chiffrée par le matériel et l’isolation pour protéger une charge de travail en cours d’exécution, ainsi que l’attestation de la charge de travail, c’est-à-dire une vérification de la charge de travail avant la mise à disposition de clés ou de données sensibles. L’accès à ces éléments dépend donc de contrôles du contexte de traitement. Les clients qui déplacent des activités sensibles vers des environnements locaux disposent d’un contrôle supplémentaire à évaluer.

L’autorité que procurent ces contrôles dépend du mode de déploiement, selon Ashish Banerjee, analyste principal senior chez Gartner. « Selon le modèle de déploiement, dans le cloud public, les entreprises bénéficient d’une meilleure visibilité, de contrôles d’accès plus stricts et d’un contrôle accru sur les clés de chiffrement », a-t-il déclaré. Les acheteurs doivent relier chaque amélioration à l’exigence qui la motive, car la visibilité, les restrictions d’accès et la garde des clés répondent à des problèmes différents.

L’exploitation locale élargit les options de continuité

Lorsque les services doivent continuer à fonctionner malgré une perte de connectivité, le choix ne porte plus sur la garde des clés mais sur l’exploitation locale. Microsoft étend Azure Local, qui apporte des capacités cloud dans des environnements exploités par les clients. L’entreprise indique que la capacité à faire passer les charges de travail entre des états connectés et déconnectés entre en préversion publique. Les clients peuvent l’utiliser pour prévoir que certains services continuent de fonctionner en cas de perturbation du réseau ou de décision de se déconnecter d’Azure.

L’exploitation déconnectée n’est utile que si les services requis peuvent fonctionner dans cet environnement. Microsoft indique que DocumentDB et Blob Storage sur Azure Local entrent en préversion publique, tandis que SQL Server sur Azure Local est déjà disponible de manière générale pour les déploiements connectés comme déconnectés. Les acheteurs qui évaluent des besoins locaux en bases de données et en stockage doivent donc vérifier le statut de publication de chaque service, puisque l’extension d’Azure Local comprend des composants à différents stades de maturité.

Microsoft étend également l’IA à ce modèle d’exploitation via Foundry Local, dont la disponibilité générale est prévue lors de Microsoft Ignite. L’entreprise indique qu’il prendra en charge le fonctionnement connecté et déconnecté sur Azure Local, y compris l’inférence locale, c’est-à-dire l’exécution d’un modèle d’IA pour produire un résultat, et la récupération agentique, dans laquelle un agent d’IA récupère des informations en réponse à des requêtes en langage naturel. Son catalogue de modèles élargi s’appuie sur Microsoft, les réseaux de partenaires et la communauté open-source. Grâce à ces capacités, les organisations peuvent planifier le traitement de l’IA autour d’un environnement contrôlé localement et de sa connexion à Azure.

L’exécution locale donne aux clients un contrôle concret sur la continuité, mais Banerjee recommande de vérifier les relations nécessaires au bon fonctionnement du déploiement. « Dans le Sovereign Private Cloud, ils peuvent exploiter l’infrastructure localement et même déconnecter certaines charges de travail d’Azure. Mais I would not call this complete control. Enterprises still need to check whether Microsoft remains involved in identity, software updates, management, or technical support for the services they use. » Chaque domaine soulève une question distincte : qui authentifie les accès, fournit les évolutions logicielles, administre l’environnement ou aide à rétablir un service défaillant.

La supervision régionale modifie la gouvernance des accès

Parallèlement à la continuité, les acheteurs peuvent exiger une responsabilité claire lorsque du personnel de Microsoft demande l’accès à leurs systèmes. Microsoft déploie Data Guardian pour les clients de l’Union européenne et de l’Association européenne de libre-échange, ou AELE. Dans ce dispositif, un partenaire régional de confiance supervise de manière indépendante les demandes d’accès à distance émanant des ingénieurs de Microsoft. Les ingénieurs peuvent toujours participer aux opérations, l’examen régional encadrant leurs demandes d’accès.

Une fois une demande d’accès examinée, les clients doivent aussi comprendre le travail effectué. Microsoft indique que le Production Touch Ledger associé enregistre toutes les actions techniques et rend ces enregistrements infalsifiables au sens où toute modification peut être détectée. Data Guardian et le registre répondent donc à l’approbation et à la traçabilité à des étapes différentes de l’accès technique. Les acheteurs peuvent évaluer si cette combinaison répond à leurs exigences en matière de supervision et de responsabilité.

Les dispositifs opérationnels régionaux dépendent également des services de support disponibles autour d’une charge de travail. Microsoft élargit son Sovereign Partner Ecosystem, qui comprend Bleu Cloud en France et Delos Cloud en Allemagne, ainsi que des éditeurs de logiciels indépendants spécialisés dans la sécurité, l’identité, l’observabilité et la sauvegarde. L’observabilité correspond à la supervision nécessaire pour comprendre le comportement d’un système. Ces partenaires offrent aux acheteurs des options opérationnelles et logicielles supplémentaires lorsqu’ils attribuent la responsabilité de l’environnement complet.

Les contrôles techniques laissent subsister une question juridique distincte

Les contrôles sur les clés, le traitement, la continuité et l’accès peuvent réduire les possibilités concrètes d’accès externe ou de perturbation. Jain distingue ces gains opérationnels des lois et restrictions qui continuent de s’appliquer à Microsoft. « Une infrastructure locale, des clés de chiffrement indépendantes et des opérations déconnectées rendent plus difficile l’accès aux données par des parties externes ou la perturbation des services. Cependant, Microsoft reste soumis aux lois US applicables, aux sanctions et aux restrictions à l’exportation. Les entreprises gagnent une plus grande indépendance opérationnelle, mais not une indépendance juridique ou technologique complète », a-t-il déclaré.

Pour les achats, cette distinction appelle deux évaluations séparées. L’évaluation technique demande ce que la configuration retenue change en matière d’accès, de traitement et de continuité d’exploitation. L’évaluation juridique examine les obligations et restrictions qui continuent de s’appliquer à Microsoft. Un déploiement peut offrir une protection opérationnelle utile tout en laissant subsister une exposition juridique que l’acheteur doit accepter.

Des contrôles renforcés entraînent des coûts propres à chaque charge de travail

Accepter l’exposition résiduelle n’est qu’une partie de la décision, car des contrôles de souveraineté plus stricts entraînent généralement des coûts plus élevés et davantage de responsabilités opérationnelles. Ils peuvent aussi créer des arbitrages en matière de performance, de scalabilité et d’accès aux services. Les acheteurs doivent donc mettre en balance la réduction du risque et la charge qu’impose la configuration. Un contrôle utile peut malgré tout être inadapté à une charge de travail dont les exigences ne justifient not cette charge.

Les environnements locaux et déconnectés peuvent nécessiter une infrastructure dédiée, des compétences spécialisées et des dispositifs de continuité distincts. L’organisation doit fournir et exploiter cette infrastructure, tandis que les compétences spécialisées déterminent qui peut l’entretenir. Les dispositifs de continuité ajoutent la responsabilité de maintenir certains services disponibles en cas de perturbation. Ces engagements pèsent davantage sur les équipes et les organisations disposant de moins de ressources, en particulier lorsque l’exploitation locale réduit les économies d’échelle.

Le même choix d’exploitation peut limiter la manière dont une charge de travail évolue. Les environnements locaux ou déconnectés peuvent recevoir les services Azure plus tard que d’autres environnements, et les clients peuvent perdre une partie de l’élasticité, c’est-à-dire la capacité à augmenter ou réduire les ressources selon l’évolution de la demande. Les performances et la scalabilité doivent donc être évaluées en fonction du déploiement concerné. Des ressources financières plus importantes peuvent rendre les responsabilités opérationnelles plus faciles à assumer, tandis que les limites juridiques et technologiques demeurent.

Comme ces coûts varient selon la charge de travail, Banerjee recommande de sélectionner le niveau de contrôle au cas par cas. « Donc, I would not recommend maximum sovereignty for every workload. Reserve it for workloads where the legal, operational or geopolitical risk genuinely justifies the additional complexity, » a-t-il déclaré. Appliquer ce conseil signifie mettre en balance le risque avec le coût, la performance, la scalabilité et l’accès aux services, ainsi qu’avec les responsabilités liées à l’infrastructure, aux compétences et à la continuité.

Les achats peuvent rendre cet arbitrage explicite au moyen d’exigences d’acceptation propres à chaque charge de travail. Conserver les clés racines en dehors de l’infrastructure de Microsoft exige un contrôle différent de celui qui consiste à continuer de traiter les données pendant une déconnexion. Pour chaque configuration, l’approbation doit identifier le risque réduit, les dépendances acceptées et la partie qui fournira l’infrastructure, l’expertise et les dispositifs de continuité. Inclure ces responsabilités opérationnelles dans l’approbation permet d’établir si l’organisation peut soutenir le contrôle qu’elle achète.

Recap

L’extension du cloud souverain de Microsoft offre aux acheteurs davantage de moyens de contrôler les charges de travail sensibles, mais elle not supprime pas toutes les dépendances à Microsoft. La garde des clés, la supervision régionale des accès et l’exploitation déconnectée répondent à des risques différents. Aucun de ces éléments ne doit être considéré comme la preuve d’une indépendance juridique ou technologique complète.

Pour les dirigeants, la décision commence par la charge de travail et les conséquences d’une perte de contrôle sur celle-ci. Un service qui doit continuer à fonctionner malgré une perturbation du réseau peut justifier une infrastructure locale et un support dédié. Une charge de travail qui exige une protection renforcée des clés de chiffrement peut nécessiter un changement plus ciblé. Appliquer partout les contrôles les plus stricts peut ajouter des coûts et de la complexité sans réduction correspondante du risque.

L’approbation doit donc établir ce que protège chaque contrôle, quelles dépendances subsistent et qui est responsable de son exploitation. Les acheteurs doivent également distinguer les capacités disponibles de manière générale des services en préversion avant de prendre des engagements de livraison. L’objectif est un niveau de contrôle dont l’entreprise a besoin et qu’elle peut soutenir, avec une exposition résiduelle comprise et acceptée.