Découvrir Amazon Web Services (AWS)

Amazon Web Services (AWS) est le plus ancien des grands fournisseurs de cloud public : il a ouvert S3 et EC2 en 2006. Cette leçon facultative ne refait pas le cours. Elle relie les notions que la formation a déjà posées sans fournisseur (modèles de service, régions et zones, hiérarchie de comptes, identités, réseau, stockage, calcul) au vocabulaire d'AWS, puis vous fait faire un premier pas avec l'AWS CLI : s'authentifier, vérifier le compte actif, lister. Elle s'adresse à qui doit lire ou piloter un compte AWS sans l'avoir jamais ouvert.

Ce que vous allez apprendre

• Traduire une notion neutre de la formation en service ou en terme AWS.
• Situer un compte dans une organisation et une zone dans une région.
• Savoir lire une identité IAM et dire pourquoi l'utilisateur racine reste fermé.
• Vous connecter avec l'AWS CLI, vérifier le compte actif et lister des ressources.

Prérequis

Cette leçon est facultative : le reste du parcours n'en dépend pas. Elle suppose les leçons neutres sur lesquelles elle s'appuie : les modèles IaaS, PaaS et SaaS, les régions, zones de disponibilité et zones locales, la hiérarchie de comptes et la leçon sur l'IAM. Aucun compte AWS n'est nécessaire pour lire ; il en faut un pour rejouer la section sur la ligne de commande.

Comment AWS nomme-t-il les notions de la formation ?

Chaque notion neutre de la formation a un nom propre chez AWS, et le tableau suivant donne la correspondance à garder en tête pour lire sa documentation. Les noms changent d'un fournisseur à l'autre, les concepts se transposent : un réseau privé, un stockage d'objets ou une machine virtuelle restent ce qu'ils sont. La colonne de droite renvoie à la leçon qui explique la notion.

Notion neutre	Terme AWS	Leçon de la formation
Machine virtuelle	EC2 (Elastic Compute Cloud)	Machines et dimensionnement
Code sans serveur	Lambda	Serverless et FaaS
Kubernetes managé	EKS (Elastic Kubernetes Service)	Conteneurs managés
Stockage d'objets	S3 (Simple Storage Service)	Blocs, fichiers, objets
Disque attaché (bloc)	EBS	Blocs, fichiers, objets
Réseau privé	VPC (Virtual Private Cloud)	VPC et sous-réseaux
Filtrage réseau	groupe de sécurité et NACL (liste de contrôle d'accès réseau)	Sécurité réseau
Identités et droits	IAM	IAM
Regroupement de comptes	AWS Organizations	Comptes et hiérarchie
Garde-fou hérité	SCP (service control policy)	Garde-fous et étiquetage
Métriques et journaux	CloudWatch	Journaux, alertes et incidents
Journal d'audit	CloudTrail	Journaux, alertes et incidents
Étiquetage	tags (étiquettes clé-valeur)	Garde-fous et étiquetage
Facture et budget	AWS Budgets et Cost Explorer	Maîtriser la facture cloud

Glissez pour voir

AWS annonce plus de 200 services sur son site ; une dizaine suffit pour lire presque toute architecture, et ce tableau en couvre l'essentiel.

Comment AWS organise-t-il les comptes et les ressources ?

Chez AWS, l'unité d'isolation est le compte : on sépare les environnements en ouvrant des comptes, pas en rangeant des ressources dans des dossiers. Un compte porte ses propres identités, sa facturation et ses quotas. Pour en gérer plusieurs, on les rattache à une organisation (AWS Organizations), qui consolide la facture et permet de poser des garde-fous.

La hiérarchie a quatre étages, comme dans la leçon sur les comptes et la hiérarchie :

1. l'organisation, avec son compte de gestion (management account) qui la crée et l'administre ;
2. des unités d'organisation (UO), imbricables, qui regroupent des comptes (production, développement, sécurité) ;
3. les comptes membres, où vivent les ressources ;
4. les ressources elles-mêmes (instances, buckets, réseaux).

Les SCP s'attachent à l'organisation, à une UO ou à un compte et se propagent vers le bas. Une SCP ne donne aucun droit : elle plafonne ce que les identités du compte peuvent faire, y compris l'administrateur. C'est le garde-fou décrit dans la leçon sur les garde-fous et l'étiquetage. Pour retrouver à quel compte appartient une ressource, regardez son identifiant ARN (Amazon Resource Name), qui contient le numéro de compte à douze chiffres. Source : documentation d'AWS Organizations.

Comment AWS découpe-t-il régions et zones ?

Une région AWS est une zone géographique qui contient plusieurs zones de disponibilité, des groupes de centres de données isolés les uns des autres. La région se nomme avec un code (eu-west-3 pour Paris, eu-west-1 pour l'Irlande, eu-central-1 pour Francfort), la zone ajoute une lettre (eu-west-3a). Chaque fournisseur a sa propre convention de nommage des zones ; la leçon sur les régions et les zones en explique le découpage général.

Un piège propre à AWS : la lettre d'une zone n'est pas la même zone physique pour tous les comptes. AWS mélange les correspondances par compte pour éviter que tout le monde ne se concentre dans la zone a. Pour désigner la même zone physique entre deux comptes, utilisez l'identifiant de zone (euw3-az1), qui est stable. Source : identifiants de zone AWS.

Deux conséquences d'architecture à garder en tête. Un VPC est régional : il couvre toute une région, et un sous-réseau, lui, vit dans une seule zone. Pour résister à la panne d'une zone, on crée donc un sous-réseau par zone et on y répartit les instances, selon le raisonnement de la leçon sur le multi-AZ. Un disque EBS reste lui aussi dans une seule zone, alors que S3 réplique ses objets sur plusieurs zones de sa région, sauf dans ses classes de stockage « One Zone ».

Comment IAM gère-t-il les droits chez AWS ?

IAM (Identity and Access Management) décide qui peut faire quoi sur quelle ressource, avec trois objets : les identités, les rôles et les politiques. Les utilisateurs et groupes représentent des personnes ; un rôle est une identité sans mot de passe qu'une personne, un service ou une machine endosse temporairement ; une politique est un document JSON qui liste des actions autorisées ou refusées sur des ressources. La règle d'évaluation est celle de la leçon sur l'IAM : tout est refusé par défaut, et un refus explicite l'emporte sur toute autorisation.

Deux gestes de sécurité priment sur le reste. L'utilisateur racine, créé avec l'adresse e-mail d'ouverture du compte, a tous les droits dans son compte, et aucune politique IAM ne le borne. Dans une organisation, une SCP s'applique pourtant aux utilisateurs et aux rôles des comptes membres, utilisateur racine compris ; seul le compte de gestion de l'organisation y échappe, d'où l'intérêt de le protéger davantage. On active l'authentification multifacteur sur l'utilisateur racine, puis on ne s'en sert plus.

Pour les personnes, AWS recommande la fédération avec un fournisseur d'identité, IAM Identity Center en premier lieu, plutôt que des utilisateurs IAM avec clés longues. C'est lui qui remplace, chez AWS, l'« utilisateur IAM admin » de la leçon neutre sur l'IAM : une identité nominative avec des droits d'administration, obtenue par un jeu d'autorisations. Pour une machine, un rôle attaché à l'instance (profil d'instance) fournit des identifiants courts renouvelés automatiquement, comme le décrit la leçon sur les identifiants courts.

Quels services pour le réseau, le stockage et le calcul ?

Trois familles couvrent une première architecture : un réseau (VPC), du stockage (S3, EBS) et du calcul (EC2, Lambda, EKS). Chacune a un équivalent exact dans une leçon neutre ; ce qui change, c'est la granularité des objets que vous allez manipuler.

• Réseau. Un VPC reçoit un bloc d'adresses privées, découpé en sous-réseaux par zone. Les flux sortent par une passerelle Internet ou une passerelle NAT. Le filtrage se fait par groupe de sécurité, attaché à l'interface réseau de l'instance et avec état, complété par une NACL, attachée au sous-réseau et sans état.
• Stockage. Un bucket S3 a un nom unique au niveau mondial et vit dans une région. Les accès publics se bloquent avec Block Public Access, au niveau du compte, du bucket ou de l'organisation. EBS fournit le disque d'une instance, EFS un système de fichiers partagé.
• Calcul. Une instance EC2 se choisit par famille et taille (t3.micro, m6i.large) ; Lambda exécute une fonction sans serveur à gérer ; EKS opère un plan de contrôle Kubernetes.

Cette liste est un point de départ de lecture, pas un catalogue. Pour approfondir, la formation couvre le dimensionnement des machines, la durabilité du stockage et la sécurité réseau, trois sujets à ne pas improviser.

Comment faire ses premiers pas avec l'AWS CLI ?

Le premier pas se fait en trois gestes : installer l'AWS CLI, s'authentifier sans clé longue, puis lister ce que le compte contient. La ligne de commande rend chaque opération reproductible, là où la console web reste manuelle. Le guide AWS CLI : premiers pas et commandes essentielles détaille l'installation sur chaque système, les profils et les filtres ; cette section donne le chemin le plus court.

Vérifiez d'abord l'installation. L'AWS CLI v2 s'installe depuis le paquet officiel, puis :

aws --version

La sortie commence par aws-cli/2. suivi du numéro de version. Pour s'authentifier, la documentation AWS déconseille les clés d'accès longues pour un humain : préférez IAM Identity Center, dont la connexion donne un jeton temporaire.

La commande aws configure sso suppose trois choses : que IAM Identity Center est activé, qu'un utilisateur vous est affecté à un jeu d'autorisations sur le compte, et que vous connaissez l'URL du portail d'accès et la région d'Identity Center. Une organisation vous les fournit déjà. Sur un compte neuf que vous administrez seul, activez d'abord le service dans la console AWS (IAM Identity Center), créez-y votre utilisateur et un jeu d'autorisations d'administration, puis affectez-les à votre compte.

aws configure sso                      # crée un profil adossé à IAM Identity Center
aws sso login --profile mon-profil     # ouvre le navigateur, obtient un jeton temporaire
aws sts get-caller-identity --profile mon-profil

La dernière commande est le réflexe à garder : elle affiche le compte, l'ARN et l'identité actifs, donc elle répond à la question « où suis-je connecté ? » avant toute modification. Si le compte affiché n'est pas celui attendu, arrêtez-vous là.

Pour un simple essai, sans activer Identity Center, le guide AWS CLI : premiers pas présente aws login, qui obtient des identifiants temporaires depuis une session de console, sans clé longue. La commande exige l'AWS CLI 2.32.0 ou plus récent, et une identité IAM (utilisateur, rôle ou groupe) à qui la politique gérée SignInLocalDevelopmentAccess est attachée. Le profil est alors celui par défaut : omettez --profile mon-profil dans les commandes de cette section. N'utilisez pas aws login avec l'utilisateur racine : créez d'abord une identité nominative, comme le demande la leçon sur l'IAM.

aws login
aws sts get-caller-identity

Reste à lister :

aws s3 ls --profile mon-profil
aws ec2 describe-availability-zones --region eu-west-3 \
  --query 'AvailabilityZones[].[ZoneName,ZoneId]' --output table --profile mon-profil

La première commande liste vos buckets (une sortie vide est normale sur un compte neuf). La seconde affiche les zones de la région de Paris avec leurs identifiants de zone, ce qui illustre le piège du mélange des lettres. Quatre messages d'erreur reviennent souvent :

• aws configure sso demande une URL de portail que vous n'avez pas : Identity Center n'est pas activé, ou vous n'y êtes affecté à rien. Activez-le comme décrit plus haut, ou utilisez aws login.
• Unable to locate credentials : aucun profil n'est actif.
• ExpiredToken : le jeton Identity Center a expiré, rejouez aws sso login --profile mon-profil.
• AccessDenied : l'identité n'a pas la permission, ou une SCP l'interdit.

Pour rejouer sans compte, l'émulateur Floci accepte les mêmes commandes sur localhost:4566. Pour l'Infrastructure as Code native d'AWS, voyez CloudFormation.

Combien coûte AWS, et que reste-t-il de gratuit ?

AWS facture à l'usage ; le niveau gratuit a changé en juillet 2025 et se vérifie sur la page officielle avant de bâtir un plan dessus. Un nouveau compte reçoit désormais des crédits et un plan gratuit limité dans le temps, là où l'ancien modèle offrait douze mois sur certains services. Des services toujours gratuits, plafonnés, subsistent en parallèle. Posez une alerte de budget avec AWS Budgets dès la création du compte, et lisez la dépense par service avec Cost Explorer : la leçon sur les modèles tarifaires en explique la logique.

Lecture conseillée

• AWS : Gérez votre infrastructure sur la plateforme cloud d'Amazon de Nicolas Duminil
• Amazon Web Service Guide de l'administrateur (O'Reilly) de Federico Lucifredi

Liens affiliés Amazon. Acheter via ces liens soutient le site sans surcoût pour vous.

FAQ : questions fréquentes

Ces réponses couvrent les questions les plus posées sur AWS : sa définition, ses différences avec Azure et Google Cloud, son coût et son niveau gratuit, l'AWS CLI et le rôle d'IAM.

Amazon Web Services (AWS), c'est quoi ?

AWS, Azure ou Google Cloud : quelles différences ?

AWS est-il gratuit ?

Comment débuter avec l'AWS CLI ?

Quelle différence entre EC2 et Lambda ?

Qu'est-ce qu'une région AWS et une zone de disponibilité ?

Qu'est-ce qu'IAM et pourquoi ne pas utiliser le compte racine ?

Quels sont les services AWS essentiels à connaître ?

À retenir

• Chaque notion neutre a un nom AWS : VM = EC2, objets = S3, réseau = VPC, droits = IAM, comptes groupés = Organizations.
• L'unité d'isolation est le compte, rangé en unités d'organisation ; les SCP plafonnent les droits sans en donner.
• Un VPC est régional, un sous-réseau est dans une zone, et la lettre d'une zone ne désigne pas la même zone physique d'un compte à l'autre : l'identifiant de zone, lui, est stable.
• L'utilisateur racine reste fermé (une SCP le borne dans un compte membre, pas dans le compte de gestion) ; les personnes passent par IAM Identity Center, les machines par un rôle attaché.
• aws sts get-caller-identity d'abord : il dit dans quel compte vous êtes avant de lister ou de créer.

Contrôle de connaissances

Vérifiez que l'essentiel de cette leçon est acquis. Les questions portent uniquement sur ce qui vient d'être expliqué ici.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

×

📖 Voir la documentation →