Virtual Private Cloud ?

VPC est la promesse d’Amazon de fournir l’équivalent des possibilités réseau d’un datacenter physique dans son cloud. En clair, le but est de pouvoir créer une topologie réseau virtuelle dans laquelle vous avez un contrôle total : du choix de l’adressage IP à la création de sous-réseau privé ou public, en passant par la configuration des tables de routages et des passerelles. Pour les utilisateurs d’AWS, cela répond au problème de pouvoir spécifier une adresse IP en dur pour une instance serveur : ce qui n’est pas possible en dehors de VPC.

Au niveau sécurité, VPC apporte une nouvelle couche avec les listes de contrôle d’accès (ou Access Control List, ACL) que les personnes du réseau connaissent bien. Les groupes de sécurité AWS (security groups) sont également présents, et permettent de gérer au niveau des instances aussi bien les accès sortants que les accès entrants. En effet, il n’était pas possible jusqu’ alors de gérer les accès sortant dans EC2 (sauf à déployer son IPTABLE ou autre Firewall sur une instance de sortie de plateforme).
Mais le principal atout est de pouvoir connecter son datacenter à son VPC via une connexion VPN et ainsi étendre son infrastructure physique dans le cloud. Pour autant, la chose n’est pas si aisée et les compétences d’un administrateur réseau seront utiles (Amazon met à disposition un Guide de l’administrateur réseau en anglais) pour un déploiement sérieux et sécurisé. Il est en effet nécessaire pour ce lien d’avoir une appliance physique ou logique répondant à plusieurs critères dont la gestion du protocole de routage Border Gateway Protocol (BGP) :

• Association IKE en utilisant des Pre-Shared Keys
• IPsec Security Association (SA)
• Supporter le cryptage AES 128-bit
• Supporter la fonction de hashage SHA-1
• Utiliser Diffie-Hellman Perfect Forward Secrecy dans le mode « groupe 2 »

Cependant, Amazon publie une liste d’équipements compatibles avec VPC; liste dont CISCO et JUNIPER tiennent le haut du pavé.

VPC : pour quoi faire ?

VPC permet de répondre à une large gamme de problématiques auxquelles EC2 ne pouvait pas répondre. Dans les faits, vous pouvez configurer VPC pour répondre à vos propres besoins. Le prix à payer pour cette flexibilité est l’augmentation des compétences réseaux nécéssaires pour la mise en place. En effet, il est nécéssaire de disposer d’un administrateur réseau disposant de compétences sur IPsec et sur le protocole de routage de réseaux BGP. - Par ailleurs, nous vous invitons à vous renseigner sur BGP qui constitue un élément essentiel du fonctionnement d’internet -. Afin de faciliter le déploiement de VPC, Amazon met à disposition un assistant (wizard) sur sa console de gestion AWS, pour créer facilement un VPC selon 4 scénarios possibles. Ces 4 scénarios répondent aux cas d’utilisation les plus standards :

Alors qui sont ces entreprises Françaises qui adoptent les IaaS (Infrastructure as a service) ?

A ce stade de la courbe d’adoption, il s’agit encore de structures petites à moyennes, qui répondent chacune à des motivations différentes :

Pour les petites, il s’agit de disposer d’une plateforme robuste et réputée. La robustesse viendra fidéliser les clients ou utilisateurs de leur service. Quant à la réputation d’Amazon, elle rassure les investisseurs ou la direction de ces petites structures. Pour ces acteurs, le frein d’adoption est le coût qu’entraine un changement de gamme d’hébergement. Souvent habituées à un hébergement low-cost, ces entreprises perçoivent la migration chez Amazon comme un rite de passage dans la professionnalisation de leur IT. Elles ont d’ailleurs raison sur ce point et sous-estiment encore l’incroyable levier technique que va constituer la plateforme une fois intégrée et maitrisée par leurs équipes.

Pour les PME déjà bien établies, les motivations sont différentes. Ces PME (parfois importantes et très visibles sur leur marché ou métier) possèdent une DSI. Ces PME établies (essentiellement dans le domaine des médias et du retails) exercent sur des marchés très compétitifs où le délai de mise à disposition d’un service ou d’une fonctionnalité est stratégique. Ces DSI d’un nouveau genre, ont toutes un point commun : elles ont estompé la frontière entre le BUILD et le RUN. Agile ou pas Agile ces organisations ont fait sauter les silos entre la Production et le Développement. Non pas que la production ne soit pas gérée et sanctuarisée par des équipes d’ingénieurs dédiés, mais plutôt que ces équipes et infrastructures sont organisées et outillées pour livrer souvent et vite (cf. Continous Delivery ¹).

L’offre IaaS d’Amazon est faite pour eux et vient compléter un dispositif de performance globale de leur IT. En effet, les offres IaaS n’offrent pas uniquement de l’infrastructure sous forme de services, elles rendent possible la programmation et donc l’industrialisation de son infrastructure : l’infrastructure elle-même est exposée sous forme d’API unifiée. Chez Amazon, tout est scriptable ou programmatique : créer un serveur, lancer 4 instances, Ajouter des noeuds dans des fermes, …. Evidement, d’aucuns diront que nos équipements réseaux, nos hyperviseurs ou DNS possèdent leurs API respectives et que cette industrialisation est aussi possible ailleurs. C’est théoriquement exact. Néanmoins, ayant passé plusieurs années dans les Datacenter classiques à gérer des équipes multi-compétentes (système, réseau, Web), je vous laisserais découvrir la complexité unitaire des éléments d’une part et l’hétérogénéité des compétences nécessaires d’autre part  pour scripter votre infrastructure chez un hébergeur classique …

Par conséquent, beaucoup de migrations vers AWS se sont accompagnées d’une phase d’industrialisation du RUN. Plus précisément, la plateforme rend accessible à un plus grand nombre des outils et pratiques auparavant réservés à des grandes organisations disposant de budgets SI importants. Cette démocratisation de l’accès aux environnements à haute-disponibilité n’est pas sans rappeler ce qu’a permis l’Open-Source il y a quelques années (Serveurs d’applications professionnels pour tous, ERP pour un plus grand nombre, SGBD Pro pour tous, …).

Et les grandes DSI ?

Il est évident que la migration des environnements de production des banques des telco et autres gros consommateurs d’IT n’est pas d’actualité.

Le IaaS permet d’accéder rapidement à un niveau élevé d’industrialisation et de fiabilité. Les grandes DSI disposent déjà en partie d’un tel niveau. Nous avons souvent rencontré des directions nous narrant qu’elles avaient “(…)reproduit Google dans leur Datacenter(…)” ou dans le Datacenter de leur infogéreur. Plus modestement l’association des progrès de ces dernières années sur les infrastructures et la puissance des dernières générations d’hyperviseur de virtualisation (ex: vSphere 4 de VMWARE) ont permis aux grandes DSI d’apporter un peu de flexibilité dans leurs infrastructures qui en manquaient grandement : naissance des cloud privés …

Pourtant certains usages déclenchent les premières réflexions sur l’utilisation des offres IaaS dans ce que le marché désigne aujourd’hui par le terme “Cloud Hybrid” :

• Mise à disposition d’environnements de développement partagés (entre le client et ses partenaires de TMA)
• Déploiement d’environnements éphémères de tests (ex: tests de charge)
• Mise en place d’un PRA/PCA (Reprise et Continuité d’activité)

Amazon 2011 – 2013 ?

Disposer d’une infrastructure robuste, flexible et multi-datacenter constitue pour ces grandes PME un avantage concurrentiel (ex: pic de charge à noël ou suite à l’actualité pour certains, capacité à déployer sur la plaque Asie pour d’autres). Il est donc à prévoir une accélération de l’adoption chez ces organisations de moins 1000 personnes.

A l’instar de ce qui se passe de l’autre côté de l’atlantique, notre conviction est que ses organisations accroissent fortement leurs performances IT et se dotent des meilleures pratiques pour être alignées avec les fluctuations des demandes métiers :

• Infrastructures robustes et élastiques
• Livraison rapide et fréquente d’applications

Par conséquent, nul ne pourra ignorer longtemps les différences de performances de l’IT d’un acteur à un autre ….

(1) Continous Delivery www.continuousdelivery.com

Pour rappel, I.A.M est une API qui permet de gérer des utilisateurs et des groupes d’utilisateurs sur un même compte AWS (au sens compte compte facturé et administrateur global). Je vous invite à consulter cet ancien billet qui précise les choses sur AWS IAM.

La console vous permet tout à la fois de créer les utilisateurs, les groupes mais également de gérer leurs droits. Il est donc beaucoup plus convivial de choisir une politique de droits (ex: a accès en lecture seul et uniquement sur la partie EC2) que d’éditer à la main le fichier de policy (même si AWS avait mis en ligne quelques Wizard de génération des policy).

Le principe de connexion d’un user IAM est de de se présenter devant AWS avec une url de connexion particulière (propre au compte AWS “parent” de ce user). Cette url de connexion est formée de la manière suivante : https://<your_AWS_Account_ID>.signin.aws.amazon.com/console

Il est possible (et je vous le recommande fortement) de créer un alias pour vos AWS_Account_ID, afin d’avoir une url de connexion un peu plus friendly à communiquer à vos chers utilisateurs AWS.

Cette double nouvelle (Sortie de la BETA et intégration dans la console) permettra à coup sur de décentraliser l’administration AWS. En effet, la gestion fine des droits associés à un utilisateur permet de spécialiser les comptes, fonctions et facilite l’externalisation de l’administration AWS par un tiers (ex: outsourceur, partenaire, clients, …).

Toute l’information ici

Disponible uniquement en version MySQL (Version 5.x), le service RDS vous permettra bientôt de consommer à la demande du service SGBDR ORACLE 11G. En effet, ORACLE et AWS travaillent depuis plusieurs mois à la sortie de ce service d’ORACLE 11G à la demande. Prévu au seconde trimestre 2011, ce service RDS ORACLE vous permettra de consommer de la licence ORACLE 11G avec toute la flexibilité technique et commerciale qu’apporte l’offre IaaS d’Amazon.

Le mode d’acquisition devrait reprendre les 3 grands modes d’acquisition de “”"licences”"” sur AWS;  à savoir :

• “Bring Your Own License” – (BYOL) : vous possédez déjà des licences ORACLE 11G, et bien vous pourrez les utiliser sur des instances RDS AWS équivalentes
• “On Demand” : La quote-part de la licence ORACLE 11G est incluse dans le tarif horaire du service RDS. Les tarif horaires seront bien évidement en fonction de l’édition d’ORACLE retenue (ex : “Une instance ORACLE 11G sur 2 noeuds puissants pendant 8 heures”, …)
• En instance réservée : En vous engagent sur une durée comprise entre 1 et 3 ans, vous bénéficierez d’une remise horaire importante sur les instances RDS ORACLE que vous réserverez

Se matérialisant sous la forme de nouvelles commandes AWS, cette fonctionnalité permettra sans aucun doute l’accélération de l’adoption (déjà très très forte) des services cloud AWS.

Nous allons tester et évaluer dans le détail ce nouveau service Service VM Import et nous posterons nos premiers retours sur la transformation d’une VM en Instance EC2.

Plus d’informations sur le service VM Import sur le site d’Amazon AWS.

Noel avant l’heure chez Amazon : pluie de nouveautés ces derniers jours :

• Offre de monitoring CloudWatch gratuit (inclus dans le prix de l’instance ou de l’ELB) pour un monitoring de base (avec intervalle à 5 mn)
• Amélioration de la gestion automatique des fermes de serveurs Loadbalancés avec ELB
• Apparition d’un mécanisme d’alarmes CloudWatch
• “The Big Red Button” : permet de déclencher ou d’arrêter artificiellement ses triggers définis pour un groupe d’auto-scaling
• Une gestion plus fine des auto-scaling

Nous détaillerons ces nouveautés dans les prochains jours

Cette nouvelle fonctionnalité  est gérable directement par la console de Management AWS.

Mais pourquoi diable, voulez-vous utiliser autre chose qu’AWS pour héberger vos applications !!

Si vous êtes utilisateurs d’AWS, vous avez surement rencontré le problème suivant : “Comment donner accès à certaines ressources ou autoriser certaines opérations d’administration sans communiquer votre sésame : vos clés d’AWS Account . En effet, ces clés permettent à quiconque les détient de tout opérer sur votre plateforme Amazon. Evidemment, chaque instance EC2 bénéficie des comptes et accès qui lui sont propres. En revanche, pour la gestion AWS, jusqu’à aujourd’hui, c’était root ou rien …. Dés lors, comment donner des accès limités à mes équipes de développement, à mes équipes d’administrateurs système, à mes partenaires, à mes gestionnaires applicatifs externes.

C’est dorénavant possible avec le tout nouveau système de gestion des droits d’AWS : Identify and Access Management (IAM). Aujourd’hui en version Beta et uniquement disponible en ligne de commande, le service IAM vous donnera plus de flexibilité et de modularité dans la gestion des droits sur les ressources et les opérations AWS. IAM vous permettra de :

• Gérer des utilisateurs au sein de votre compte AWS
• Organiser vos utilisateurs en Groupes et gérer des permissions au niveau du groupe
• Gérer finement les autorisations pour chaque utilisateur
• Conserver la centralisation du paiement et du suivi de la consommation des ressources

Vous pouvez donc par exemple  autoriser des utilisateurs à démarrer des instances mais leur interdire de les arrêter (où l’ inverse ). Vous pouvez également autoriser l’accès au management AWS qu’à partir de certaines heures ou certaines IP.

Limitée aujourd’hui au mode ligne de commande, AMAZON adaptera dans les prochains mois sa console de management afin de permettre une prise en charge de ce nouveau mode de gestion des accès.

Il est a noter que l’absence de cette finesse de paramétrage des droits handicapait fortement la prise en charge de l’administration AWS par des équipes externes.

Plus d’info sur les commandes IAM

Vous pouvez jeter votre ancien  fichier Excel de gestion des instances, il est dorénavant possible d’ajouter des Tag personnalisés pour certaines ressources AWS (Instance, Image, EBS,  Snapshot,  …).

Une fois les ressources taguées, il est possible de filtrer leur affichage selon des critères.  Proche des libellés GMail, l’utilisation des Tags permet d’organiser correctement ses ressources Amazon. Cette fonctionnalité étant un MUST HAVE d’administration, nous sommes ravis d’en disposer.

Plus d’informations sur la gestion des tag.

Tout y est : gestion des permissions, gestion des Metadata, upload/download, propriétés des objets, …

Cette nouvelle fonctionnalité vient s’ajouter à quelques autres nouvelles features récentes :

• Support de HTTPS dans CloudFront
• Gestion de Amazon RDS (Relational Database Service) dans la console

Amazon semble déterminé à sortir au moins une feature majeure tous les mois. Pourquoi pas une API de billing et une refonte du suivi de consommation (plus orienté comptable-facture que consommation) ??

Au delà des nombreuses actualités techniques sur la plate-forme AWS depuis 1 un, c’est bien le partage d’un constat : La mutation des équipes de production que provoque l’arrivée d’infrastructures As A Service (IaaS) telle qu’AWS. Ce constat, nous le partageons, il est indéniable que la mise à disposition d’API d’infrastructure facilitent une industrialisation et automatisation de la gestion des environnements. Le fait de scripter ses déploiements et principaux actes d’exploitation (Bascule, Ajout-suppression d’instances, …) tend à mieux intégrer le RUN dans le cycle projet. Par ailleurs, le profil des “administrateurs” AWS est en celà assez représentatif du mouvement amorcé. Pour exemple, c’est avec plaisir que nous avons entendu certains intervenants présenter l’utilisation de principes Agile dans leur gestion de production et des langages tel que Ruby et Java poussent les portes du scripting …

Attila Narin (Amazon Solution Architect) a présenté un ensemble de Pattern et de Bonnes pratiques pour AWS et plus globalement autours des architectures de production.

Aucun scoop sur les sorties des futures fonctionnalités AWS, néanmoins certains sous-entendus laissent apparaitre un calendrier de sorties assez dense dans les mois à venir. L’API de billing a été demandé unanimment par les utilisateurs présents. Pas un mot non plus sur une nouvelle console plus complète (ex : prise en charge de S3).

En conclusion, cette après-midi AWS fut dense et intéressante. Les présentations du  Benchmark sur RDS vs EC2+MySQL  et du bench sur EBS vs Instance Drive furent particulièrement enrichissantes.

Question : “Mais qui était ce mystérieux administrateur barbu qui revenait dans les présentations ? “

Le célèbre magazine Newsweek a migré l’hébergement de son site internet (www.newsweek.com) sur le cloud AWS. Le site Newsweek.com était auparavant hébergé par la maison mère du magazine :  le groupe de presse Washington Post Co. Ce dernier ayant clôturé l’année 2009 avec un déficit de 29 millions de dollars de sa branche magazine, le groupe a identifié l’utilisation des infrastructures AWS comme une source importante de réduction des coûts.

Au-delà de cette motivation financière, il est indéniable qu’AWS apportera la souplesse et la réactivité nécéssaire dont a besoin ce média pour gérer les fluctuations de fréquentation liées à l’actualité.

C’est donc un prolongement naturel du contrat vers les infrastructures AMAZON qui permet aux clients Red Hat de migrer tout en continuant de bénéficier de leur offre de support. Précisons néanmoins que les frais d’abonnement Premium oscillent entre 1 300 dollars et 2500 US par an et que tous les clients ne sont pas éligibles à la formule Access Cloud puisqu’il faut en effet disposer au minimum de 25 abonnements Premium actifs et disposer d’un contrat de support direct avec Red Hat.

« L’objectif est de faciliter l’ajout de capacité serveurs à l’aide du cloud ou le déplacement de VM entre le centre de calcul et le cloud, et vice versa, sans avoir à se préoccuper de la manière dont est assurée l’administration, » explique Magnus Svensson, directeur de Red Hat pour les pays nordiques. Selon Red Hat, avec Cloud Access, les clients pourront continuer à utiliser leurs contacts et leurs méthodes habituelles pour obtenir le support en matière de gestion et d’administration serveurs. Red Hat s’engage également à livrer les dernières versions disponibles d’Enterprise Linux pour Amazon EC2 en même temps que celles destinées aux déploiements traditionnels sur site, de manière à augmenter la cohérence entre les deux mondes.

L’offre Cloud Acces sur le site de Red Hat

Inscription : http://www.amiando.com/AWS.html

Au programme :

• Accueil : Christophe Baroux, Regional Sales Manager, AWS, Laurent Letourmy, CTO, Ysance
• Session technique, Attila Narin, Solution Architect, AWS
• Session technique, Frederic Faure, Architecte, Ysance
• Retours d’experiences techniques utilisateurs
• Temoignages
• Networking