Découvrir Microsoft Azure

Microsoft Azure se distingue moins par son catalogue que par son lien avec l'écosystème Microsoft déjà présent en entreprise : annuaire Entra ID, postes Windows, licences Microsoft 365. Cette leçon facultative relie les notions que la formation a posées sans fournisseur (modèles de service, régions et zones, hiérarchie de comptes, identités, réseau, stockage, calcul) au vocabulaire d'Azure, puis vous fait faire un premier pas avec la CLI az : s'authentifier, vérifier l'abonnement actif, lister. Elle s'adresse à qui doit lire ou piloter un abonnement Azure (la souscription des leçons neutres) sans l'avoir jamais ouvert.

Ce que vous allez apprendre

• Traduire une notion neutre de la formation en service ou en terme Azure.
• Situer une ressource dans la hiérarchie, de l'abonnement au groupe de ressources.
• Distinguer Entra ID, qui authentifie, d'Azure RBAC, qui autorise sur les ressources.
• Vous connecter avec az, vérifier l'abonnement actif et lister des ressources.

Prérequis

Cette leçon est facultative : le reste du parcours n'en dépend pas. Elle suppose les leçons neutres qu'elle prolonge : les modèles IaaS, PaaS et SaaS, les régions, zones de disponibilité et zones locales, la hiérarchie de comptes et l'IAM. Aucun abonnement Azure n'est nécessaire pour lire ; il en faut un pour rejouer la section sur la ligne de commande.

Comment Azure nomme-t-il les notions de la formation ?

Chaque notion neutre a un nom propre chez Azure, et le tableau suivant donne la correspondance à garder en tête pour lire sa documentation. Les noms changent d'un fournisseur à l'autre, les concepts se transposent. Les fournisseurs n'ont pas de correspondance parfaite : lisez la colonne « Écart à connaître » avant de transposer un raisonnement de ce que vous savez d'un autre cloud.

Notion neutre	Terme Azure	Écart à connaître
Machine virtuelle	Machines virtuelles	un disque managé est rattaché à une zone, sauf en stockage redondant entre zones (ZRS)
Code sans serveur	Azure Functions
Kubernetes managé	AKS (Azure Kubernetes Service)
Stockage d'objets	Blob Storage, dans un compte de stockage	le compte de stockage est le conteneur, pas le blob
Réseau privé	Virtual Network (VNet)	régional ; ses sous-réseaux couvrent toutes les zones
Filtrage réseau	groupe de sécurité réseau (NSG)	attaché à un sous-réseau ou à une interface
Annuaire et authentification	Microsoft Entra ID	ne gère pas les droits sur les ressources
Droits sur les ressources	Azure RBAC	s'attribue sur un périmètre qui s'hérite
Garde-fou hérité	Azure Policy	s'attache à la hiérarchie
Métriques et journaux	Azure Monitor
Journal d'audit	journal d'activité Azure (Activity Log)	il trace les opérations sur les ressources, conservé 90 jours par défaut, à exporter pour le garder plus longtemps
Étiquetage	tags (étiquettes clé-valeur)	posés sur une ressource, ils ne s'héritent pas du groupe de ressources sans règle dédiée
Facture et budget	Microsoft Cost Management	un budget s'attache à un périmètre, comme un abonnement

Glissez pour voir

Pour lire chaque ligne dans son contexte, la formation couvre le VPC et ses équivalents, la sécurité réseau, le stockage et les machines.

Comment Azure organise-t-il abonnements et ressources ?

Azure impose une hiérarchie à quatre niveaux : groupe d'administration, abonnement, groupe de ressources, ressource. Les droits et les règles de conformité se propagent du haut vers le bas, comme dans la leçon sur les comptes et la hiérarchie. Au-dessus de tout, un tenant Entra ID porte l'annuaire de l'organisation.

Niveau	Ce que c'est	À quoi il sert
Groupe d'administration	conteneur d'abonnements, imbricable	appliquer une règle unique à toute une entité
Abonnement	unité de facturation et de quotas	séparer développement, recette et production
Groupe de ressources	conteneur de ressources au même cycle de vie	créer et détruire un environnement d'un bloc
Ressource	l'objet réel : machine, disque, base	l'élément que l'on facture et surveille

Glissez pour voir

Le groupe de ressources est le niveau que vous manipulerez le plus : on y place ce qui naît et meurt ensemble. Une application de test, avec sa machine, son disque et son adresse IP, tient dans un seul groupe, et sa suppression libère tout sans laisser de disque orphelin facturé. À l'inverse, mélanger une base de production et une machine jetable rend toute suppression risquée. L'abonnement joue le rôle du compte d'AWS : c'est lui qui consolide la facture et fixe les quotas. Chaque ressource appartient aussi à une région (francecentral, westeurope). Source : hiérarchie de gestion d'Azure.

Comment Azure découpe-t-il régions et zones ?

Une région Azure regroupe des centres de données ; la plupart proposent des zones de disponibilité, numérotées 1, 2 et 3. Les zones sont des emplacements physiquement séparés, avec alimentation et refroidissement indépendants. Chaque fournisseur a sa propre convention de nommage des zones ; la leçon sur les régions et les zones en explique le découpage général.

Deux écarts avec les autres clouds sont utiles. Tout d'abord, tous les services et toutes les régions ne proposent pas les zones : vérifiez la région avant de promettre une architecture multi-zones. Ensuite, comme chez AWS, le numéro d'une zone est logique : la même zone 1 peut correspondre à des centres de données différents d'un abonnement à l'autre. Un VNet est régional, et ses sous-réseaux couvrent toutes les zones de la région, à la différence d'AWS où un sous-réseau reste dans une zone. Un disque managé, lui, est rattaché à une zone, sauf en stockage redondant entre zones (ZRS). Source : zones de disponibilité Azure.

Quelle différence entre Entra ID et Azure RBAC ?

Entra ID authentifie, Azure RBAC autorise : les confondre est un piège courant pour qui arrive sur Azure. Microsoft Entra ID est l'ancien Azure Active Directory, renommé en 2023. Beaucoup de documentation emploie encore l'ancien nom. Ce n'est pas un Active Directory hébergé : c'est un annuaire cloud qui parle OAuth 2.0, OpenID Connect et SAML, pas un contrôleur de domaine en LDAP et Kerberos.

Les droits sur les ressources passent par Azure RBAC : on attribue un rôle (par exemple Reader, Contributor, Owner) à une identité sur un périmètre (groupe d'administration, abonnement, groupe de ressources ou ressource), et l'attribution s'hérite vers le bas. Une règle pratique : donner le rôle le plus étroit sur le périmètre le plus petit. Pour une machine ou un service, une identité managée évite de stocker un secret : Azure délivre un jeton court à la ressource, selon le raisonnement de la leçon sur les identifiants courts. Azure Policy complète RBAC en refusant des configurations, même à un propriétaire : c'est le garde-fou de la leçon sur les garde-fous et l'étiquetage. Source : Azure RBAC.

Comment faire ses premiers pas avec la CLI az ?

Le premier pas se fait en quatre gestes : installer az, se connecter, vérifier l'abonnement actif, puis lister. Le portail web convient pour explorer, mais deux personnes qui cliquent n'obtiennent pas le même résultat ; la CLI rend l'opération reproductible. L'installation suit la documentation officielle.

az --version
az login
az account show --output table

az login ouvre le navigateur et enregistre une session ; az account show affiche l'abonnement actif, premier réflexe à avoir parce que la CLI le garde d'une session à l'autre. Sur une machine sans navigateur, az login --use-device-code affiche un code à saisir sur un autre poste. Si l'abonnement n'est pas le bon, az account list --output table les liste et az account set --subscription <nom ou identifiant> bascule.

az group list --output table
az account list-locations --query "[?metadata.regionType=='Physical'].name" --output tsv
az resource list --output table

La première commande liste les groupes de ressources, la deuxième les régions disponibles pour l'abonnement, la troisième toutes les ressources visibles. Une sortie vide est normale sur un abonnement neuf. Deux messages d'erreur reviennent souvent : Please run 'az login' to setup account indique qu'aucune session n'est ouverte, et AuthorizationFailed que l'identité n'a pas le rôle requis sur le périmètre visé, ou qu'une Azure Policy l'interdit.

Pour une démonstration, créer puis détruire un groupe de ressources est le meilleur réflexe de propreté : az group create --name rg-demo --location francecentral, puis az group delete --name rg-demo --yes. La suppression retire toutes les ressources du groupe, sans retour possible ; az group exists --name rg-demo renvoie false une fois qu'elle a abouti.

Que coûte Azure et comment éviter les surprises ?

Azure facture certaines ressources même arrêtées, notamment les disques managés et les adresses IP publiques réservées. Estimez avant de déployer avec le calculateur de prix Azure, et posez un budget dans Microsoft Cost Management, sur l'abonnement : il déclenche une alerte quand la dépense dérape. L'offre d'essai évolue ; consultez la page officielle du compte gratuit avant de bâtir un plan dessus, comme pour toute offre gratuite.

Azure reste soumis au Cloud Act américain, une loi de 2018 qui permet aux autorités américaines d'exiger des données d'un fournisseur américain, quelle que soit leur localisation ; si votre contrainte est réglementaire (santé, secteur régalien, qualification SecNumCloud de l'ANSSI), l'arbitrage est juridique avant d'être technique, comme le détaille la leçon sur la souveraineté technologique de la stack.

Lecture conseillée

• Débuter avec Azure - Concepts fondamentaux et mise en œuvre de Thierry Bollet
• Microsoft Azure - Gérez votre Système d'Information dans le Cloud de Philippe Païola

Liens affiliés Amazon. Acheter via ces liens soutient le site sans surcoût pour vous.

Pour s'entraîner gratuitement, Microsoft Learn propose des modules avec bac à sable, la certification AZ-900 sert de porte d'entrée, et la référence de la CLI az détaille chaque commande. Pour l'actualité en français, suivez les blogs de Stanislas Quastana, d'Antoine Loizeau ou de Wilfried Woivré.

À retenir

• Chaque notion neutre a un nom Azure : VM = Machines virtuelles, objets = Blob Storage, réseau = VNet, droits = RBAC, garde-fou = Policy.
• La hiérarchie est groupe d'administration, abonnement, groupe de ressources, ressource ; les droits et les politiques s'héritent vers le bas.
• Les zones sont numérotées 1, 2, 3 et ce numéro est logique par abonnement ; un VNet est régional et ses sous-réseaux couvrent toutes les zones.
• Entra ID authentifie, Azure RBAC autorise : un rôle s'attribue à une identité sur un périmètre.
• az account show avant toute création : il dit dans quel abonnement vous allez agir.

Contrôle de connaissances

Vérifiez que l'essentiel de cette leçon est acquis. Les questions portent uniquement sur ce qui vient d'être expliqué ici.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

×

📖 Voir la documentation →