IaaS, PaaS, SaaS et responsabilité partagée

Qu’est-ce que le cloud ?

Avant le cloud, lancer une application imposait d’acheter des serveurs, de les installer dans une salle climatisée, de prévoir la capacité pour le pic de l’année et de les remplacer tous les cinq ans. Le cloud computing inverse la logique : on loue des ressources informatiques à un fournisseur, par Internet, quand on en a besoin.

La définition de référence (publiée par le NIST, l’institut de normalisation américain) retient cinq caractéristiques :

1. Libre-service à la demande : vous créez un serveur ou une base en quelques minutes, sans intervention humaine du fournisseur.
2. Accès réseau : tout se pilote par Internet (console web, ligne de commande, API).
3. Mutualisation : les ressources physiques sont partagées entre de nombreux clients, isolés les uns des autres.
4. Élasticité : la capacité augmente ou diminue rapidement, parfois automatiquement.
5. Service mesuré : la consommation est mesurée et facturée à l’usage (heure, seconde, gigaoctet, requête).

Trois modèles de service

Imaginez une pile de couches : bâtiment et électricité, serveurs physiques, réseau, virtualisation, système d’exploitation, environnement d’exécution, application, données. La question est : qui gère quoi ?

Modèle	Vous gérez	Le fournisseur gère	Exemples
IaaS (Infrastructure as a Service)	système d’exploitation, correctifs, logiciels, application, données	matériel, réseau physique, virtualisation	machines virtuelles (Amazon EC2, Azure Virtual Machines, Google Compute Engine)
PaaS (Platform as a Service)	code de l’application, configuration, données	tout le reste, y compris OS et environnement d’exécution	hébergement d’applications (AWS Elastic Beanstalk, Azure App Service, Google App Engine), bases managées
SaaS (Software as a Service)	paramétrage, utilisateurs, données	l’application entière	messagerie, suite bureautique, CRM en ligne

Le serverless (fonctions comme AWS Lambda, Azure Functions, Cloud Run functions) pousse le PaaS plus loin : vous déployez une fonction, elle s’exécute à chaque événement, et vous ne payez que les exécutions. Aucun serveur à dimensionner, mais des contraintes (durée maximale, démarrage à froid).

Le choix est un compromis : l’IaaS donne le contrôle (n’importe quel logiciel, n’importe quelle configuration) mais aussi la charge (mises à jour de sécurité, sauvegardes). Le PaaS et le SaaS libèrent du temps mais imposent leurs règles.

La responsabilité partagée

Dans le cloud, la sécurité est partagée : le fournisseur est responsable de la sécurité du cloud (centres de données, matériel, hyperviseur), le client de la sécurité dans le cloud. La frontière dépend du modèle :

• en IaaS, appliquer les correctifs du système d’exploitation de la VM est votre travail ;
• en PaaS, le fournisseur met à jour la plateforme, mais la configuration de l’application et les droits restent à vous ;
• en SaaS, le fournisseur gère tout le logiciel, mais qui a accès à quoi reste votre décision.

Trois éléments restent toujours à la charge du client : ses données (classification, sauvegarde, chiffrement selon les besoins), ses identités et droits d’accès, et la configuration de ce qu’il déploie. La plupart des fuites de données dans le cloud viennent d’ailleurs d’une mauvaise configuration côté client (stockage rendu public, mot de passe faible), pas d’une faille du fournisseur.

Public, privé, hybride

• Cloud public : infrastructure du fournisseur, mutualisée entre clients (AWS, Microsoft Azure, Google Cloud, et d’autres fournisseurs, y compris européens).
• Cloud privé : infrastructure dédiée à une seule organisation, chez elle ou chez un hébergeur.
• Cloud hybride : combinaison des deux, par exemple données sensibles en interne et calcul élastique dans le cloud public. On parle de multicloud quand on utilise plusieurs fournisseurs publics.

À retenir

• Cloud = ressources à la demande, élastiques, facturées à l’usage.
• IaaS, PaaS, SaaS : plus on monte, moins on gère, moins on contrôle.
• Données, identités et configuration restent toujours de votre responsabilité.