Expertise — Amazon Web Services
Nous concevons, migrons et exploitons des plateformes AWS pour les PME et ETI : socle multi-comptes, réseau cloisonné, conteneurs, données protégées, Terraform de bout en bout, IA managée — et une facture qui baisse au lieu de dériver.
01 — Le socle en chiffres
Ordres de grandeur constatés sur des plateformes de 20 à 300 serveurs équivalents, région Paris (eu-west-3), tarifs publics.
02 — Le constat
Un compte créé un vendredi après-midi, une passerelle NAT oubliée, des sauvegardes qui ne se restaurent pas, un volume EBS qui grandit tout seul, trois environnements de test qui tournent la nuit : la facture AWS ne dérive pas à cause du prix des instances, mais à cause des décisions non prises.
Nous partons de l'inverse : décrire l'infrastructure avant de la créer. Ce qui est décrit est mesuré, ce qui est mesuré est optimisé, et ce qui est optimisé reste optimisé — parce que Terraform refuse la dérive manuelle.
03 — Les huit briques
Chaque brique se tient seule. Ensemble, elles font une plateforme qu'on peut auditer, refaire à l'identique et faire évoluer sans peur.
Fondations
AWS Organizations, comptes séparés par environnement, accès fédéré et journalisation centralisée. Le cloisonnement est structurel, pas déclaratif.
Périmètre
VPC par étage, sous-réseaux publics et privés, sortie contrôlée, inspection du trafic et protection applicative au bord du réseau.
Compute
La bonne brique pour la bonne charge : conteneurs orchestrés, instances maîtrisées, fonctions événementielles pour les tâches courtes.
Données
Stockage classé, chiffré, versionné et sauvegardé. Chaque jeu de données a une durée de vie, un propriétaire et un coût connus.
Industrialisation
Aucune ressource créée à la main en production : la plateforme est du code, revu, testé et versionné, avec un état verrouillé.
Intelligence
Assistants documentaires, agents et recherche sémantique sur vos données, exécutés sur des services managés et facturés à l'usage réel.
Exploitation
Métriques, journaux et traces corrélés, alertes utiles et runbooks exécutables. Une alerte sans procédure est un bruit, pas une supervision.
FinOps
Chaque euro de facture est rattaché à un service, une équipe et un environnement. On optimise ce que l'on voit, et l'on arrête le reste.
Le socle que nous déployons par défaut : un compte par environnement, un VPC par étage, trois zones de disponibilité, aucune sortie non contrôlée.
Le trafic d'un paquet, de l'internet jusqu'à l'application — et la journalisation qui prouve ce qui s'est passé.
04 — Ce que nous livrons
Nous ne vendons pas de la conformité en pdf. Nous construisons des barrières qui restent en place quand quelqu'un est pressé, et des preuves qui se produisent automatiquement.
Chaque exigence est rattachée à un contrôle technique, et chaque contrôle à une preuve consultable : configuration Terraform, journal d'audit, rapport de scan.
Engagement : une remise d'architecture sécurisée est fournie à chaque fin d'étape, avec les écarts assumés et le plan de correction daté.
Comptes séparés, rôles à privilège minimal, accès temporaire par fédération, aucun secret en clair, rotation automatisée dans Secrets Manager.
WAF avec règles managées et règles métier, limitation de débit, bouclier anti-déni de service, filtrage de sortie par liste blanche.
Chiffrement en transit TLS 1.3 et au repos par clés KMS à rotation annuelle, compartimentation des clés par application, journaux d'accès S3 activés.
Sauvegardes chiffrées, immuables pour les archives réglementaires, restauration testée et chronométrée deux fois par an, copie de sécurité dans une seconde région.
CloudTrail sur tous les comptes, Config pour la dérive de configuration, GuardDuty et Security Hub pour la détection, alertes vers le canal d'astreinte.
Analyse de vulnérabilités des images de conteneurs en intégration, scan de secrets avant chaque fusion, revue trimestrielle des droits accordés.
Les données, du chiffrement à la restauration testée : rien n'est réputé sauvegardé tant que la restauration n'a pas été chronométrée.
05 — Avant / après
| Avant | Avec Zorglon |
|---|---|
| Des ressources créées à la main dans la console, sans trace | Chaque ressource décrite en Terraform, revue en revue de code, reconstruite à l'identique |
| Un compte unique où production et tests se mélangent | Un compte par environnement, cloisonné, avec des droits distincts |
| Des secrets dans des fichiers de configuration partagés | Secrets Manager, rôles temporaires, aucune clé longue durée |
| Une facture expliquée à la fin du mois, trop tard | Un budget par application, alertes à 60 %, 80 % et 100 %, arbitrages chaque semaine |
| Des sauvegardes supposées bonnes, jamais restaurées | Restauration testée et chronométrée, RPO et RTO contractuels |
| Un incident compris par une seule personne | Runbooks écrits, alertes corrélées, astreinte partagée |
La chaîne d'industrialisation : personne n'applique un changement non relu, et personne n'a besoin d'une clé d'administration.
06 — Notre méthode
Relevé de l'existant : comptes, réseau, droits, données, sauvegardes, dépendances et facture des douze derniers mois. Nous rendons une carte lisible et une liste de risques classés.
Architecture cible, choix des services, objectifs de reprise, contraintes réglementaires et budget cible. Chaque décision technique est reliée à un coût et à un risque.
Déploiement des comptes, du réseau, des identités, de la journalisation et du référentiel Terraform. Le socle est posé avant la première application.
Bascule par vagues, avec double fonctionnement, vérification des temps de réponse et retour arrière préparé à chaque étape. Aucune bascule un vendredi.
Supervision, astreinte, budgets, revue mensuelle des coûts et des droits, durcissement continu. La plateforme continue de s'améliorer après la mise en production.
Un exemple chiffré, poste par poste : 3 200 € par mois ramenés à 1 420 € — soit 21 400 € par an, sans dégrader le service.
07 — Où part l'argent
Le plus souvent, l'optimisation AWS est une affaire de discipline : arrêter ce qui ne sert pas, choisir la bonne famille d'instances, acheter la bonne durée, déplacer les données froides et remplacer les passages par internet par des liaisons privées.
Nous refusons une seule pratique : réduire la redondance pour faire baisser la facture. Un coût qui baisse au prix de la disponibilité n'est pas une économie, c'est une dette.
L'IA sur AWS, facturée à l'usage et bornée par conception : vos données ne servent pas à entraîner un modèle.
08 — Intelligence artificielle
Nous branchons l'IA sur vos documents et vos outils internes, avec une passerelle qui évite la dépendance à un seul fournisseur et un plafond de dépense par usage.
Recherche sémantique sur vos procédures, contrats et dossiers techniques, avec citation de la source pour chaque réponse.
Des agents qui interrogent vos API, préparent un dossier ou déclenchent un traitement, avec validation humaine sur les actions sensibles.
Connecteurs vers vos logiciels métier, votre gestion documentaire et votre supervision, sans ressaisie et sans copie de données inutile.
Un point d'entrée unique vers plusieurs modèles, avec journalisation, quotas, filtrage des requêtes et hébergement européen.
Budget par assistant et par utilisateur, mise en cache des réponses, choix automatique du modèle le moins coûteux qui suffit.
Filtrage des entrées et des sorties, cloisonnement par service, aucune donnée client utilisée pour l'entraînement des modèles.
09 — Réalisations
Industrie · ERP et CRM spécialisé
Enjeu — Un logiciel métier historique exécuté sur des serveurs vieillissants, sans redondance, avec des sauvegardes jamais testées et une croissance de facture inexpliquée.
Services techniques · supervision multi-sites
Enjeu — Des équipements et des serveurs répartis sur tout le territoire, sans indicateur d'usure, avec des interventions déclenchées uniquement après la panne.
Ingénierie · assistant documentaire interne
Enjeu — Des dizaines de milliers de documents techniques dispersés, une recherche manuelle coûteuse et des réponses différentes selon l'interlocuteur.
10 — Questions fréquentes
Non. Nous partons de ce qui existe, y compris d'un compte AWS mal rangé : l'audit identifie ce qui doit être conservé, cloisonné ou remplacé. La reconstruction complète n'est proposée que lorsqu'elle coûte moins cher que la réparation, et elle est toujours chiffrée avant décision.
Non, et c'est un point de contrat : le référentiel Terraform, les accès, les comptes et la documentation vous appartiennent. Nous formons vos équipes et nous restons en soutien à la demande. Vous devez pouvoir continuer sans nous.
Les premiers effets apparaissent dès le premier mois sur les postes visibles : arrêt des environnements inutilisés, redimensionnement, nettoyage du stockage orphelin. Les engagements de capacité se voient sur le deuxième ou troisième mois, quand la charge est assez stable pour être mesurée.
Oui par défaut : Paris (eu-west-3) comme région principale, l'Europe comme périmètre, et une seconde région européenne pour la copie de sécurité quand l'exigence de reprise le justifie. Les transferts hors Union européenne sont documentés, limités et soumis à votre accord écrit.
Oui. Nous concevons des architectures AWS, Azure et OVHcloud, et nous savons faire cohabiter plusieurs fournisseurs lorsque c'est justifié. Notre approche reste la même : infrastructure décrite en code, cloisonnement, observabilité et maîtrise des coûts.
Vous récupérez l'intégralité du référentiel, la documentation d'architecture, les procédures d'exploitation et les accès. Un plan de transfert est prévu par contrat, avec une période d'accompagnement si vous le souhaitez.
Audit AWS de cinq jours : cartographie des comptes et du réseau, analyse de la facture sur douze mois, points de fragilité classés par risque et plan d'optimisation chiffré. Vous repartez avec des décisions, pas avec un rapport de plus.
