📖 Manuel

AWS Architect

Workflow

1. Analyser le besoin

Recueillir les exigences avant tout choix de service :

• Trafic : pic RPS, pattern (régulier / burst / batch)
• SLA : RTO/RPO attendus (ex. RTO < 1h → multi-AZ obligatoire)
• Données : volume, structure, latence acceptable, conformité (RGPD, PCI-DSS)
• Budget : CapEx vs OpEx, réserves vs On-Demand

2. Choisir région et AZ

# Lister les AZ disponibles dans une région
aws ec2 describe-availability-zones --region eu-west-3 \
  --query 'AvailabilityZones[*].ZoneName'

3. Concevoir le VPC

Architecture en 3 couches minimale (prod) :

Internet → IGW → [Public subnet] ALB/NAT GW
                → [Private subnet] App (EC2/ECS/Lambda in VPC)
                → [Isolated subnet] RDS / ElastiCache

Règles de base :

• CIDR /16 pour le VPC, /24 par sous-réseau (évite la pénurie d'IPs)
• Un NAT Gateway par AZ pour la résilience (coût ~30 $/mois/AZ)
• Security Groups stateful sur les ressources, NACLs stateless sur les sous-réseaux
• VPC Flow Logs activés dès le départ

# Vérifier les flux inter-subnets refusés
aws logs filter-log-events \
  --log-group-name /aws/vpc/flowlogs \
  --filter-pattern "REJECT" \
  --limit 20

4. Choisir le service de calcul

# Lambda : déployer une fonction depuis un zip local
aws lambda update-function-code \
  --function-name my-function \
  --zip-file fileb://function.zip \
  --region eu-west-3

5. Stockage et bases de données

Décision storage :

• S3 : objets, assets statiques, backups, data lake — coût ~0,023 $/GB/mois
• EBS gp3 : volume bloc pour EC2, 3000 IOPS inclus — préférer gp3 à gp2 (20 % moins cher)
• EFS : système de fichiers partagé entre instances/conteneurs (NFS managé)

Décision base de données :

# Activer les backups automatiques RDS (7 jours)
aws rds modify-db-instance \
  --db-instance-identifier mydb \
  --backup-retention-period 7 \
  --apply-immediately

6. IAM — Sécurité minimale viable

Principe : jamais de credentials long-lived sur les instances.

// Politique IAM — accès S3 en lecture seule sur un bucket précis
{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": ["s3:GetObject", "s3:ListBucket"],
    "Resource": [
      "arn:aws:s3:::mon-bucket",
      "arn:aws:s3:::mon-bucket/*"
    ]
  }]
}

• Rôles EC2/Lambda via Instance Profile / Execution Role (jamais de clés AWS dans le code)
• MFA obligatoire pour tous les comptes humains
• Rotation des access keys via AWS IAM Identity Center (SSO) plutôt que users IAM
• Activer AWS Organizations + SCPs pour bloquer les actions critiques au niveau compte

7. Infrastructure as Code (CDK / CloudFormation)

Préférer AWS CDK v2 (TypeScript) en 2026 pour les nouveaux projets :

// CDK v2 — Bucket S3 avec versioning et chiffrement
import * as s3 from 'aws-cdk-lib/aws-s3';

const bucket = new s3.Bucket(this, 'DataBucket', {
  versioned: true,
  encryption: s3.BucketEncryption.S3_MANAGED,
  blockPublicAccess: s3.BlockPublicAccess.BLOCK_ALL,
  removalPolicy: cdk.RemovalPolicy.RETAIN,
});

# Valider un template CloudFormation avant déploiement
aws cloudformation validate-template \
  --template-body file://template.yaml

# Déploiement CDK avec confirmation manuelle
cdk deploy --require-approval broadening

8. Monitoring et résilience

Alarmes CloudWatch indispensables en production :

• CPU EC2/ECS > 80 % sur 5 min → notification SNS
• Lambda errors > 1 % → alerte immédiate
• RDS FreeStorageSpace < 10 GB → alerte
• ALB 5xx > 1 % → alerte

# Créer une alarme sur les erreurs Lambda
aws cloudwatch put-metric-alarm \
  --alarm-name lambda-errors \
  --metric-name Errors \
  --namespace AWS/Lambda \
  --statistic Sum \
  --period 60 \
  --threshold 5 \
  --comparison-operator GreaterThanOrEqualToThreshold \
  --evaluation-periods 1 \
  --alarm-actions arn:aws:sns:eu-west-3:123456789:AlertsTopic

Stratégie de résilience :

• RTO < 1h → Multi-AZ RDS + ALB + Auto Scaling
• RTO < 15 min → Aurora Global Database + Route 53 health checks
• RTO < 1 min → Active-Active multi-région (coût x3-5)

Garde-fous et anti-patterns

Bonnes pratiques 2026

• Cost optimization : AWS Cost Anomaly Detection + Budgets avec alertes ; Graviton4 (ARM) pour EC2/RDS = -40 % coût
• Sécurité : AWS Security Hub centralisé multi-comptes ; GuardDuty activé partout ; IMDSv2 obligatoire sur EC2
• Observabilité : CloudWatch Logs Insights pour queries ad-hoc ; AWS X-Ray ou OpenTelemetry pour le tracing distribué
• Réseau : AWS PrivateLink pour exposer des services sans Internet ; VPC Lattice (2024+) pour communication service-to-service
• IaC : CDK Aspects pour appliquer des politiques transverses (tags, chiffrement) à toute la stack automatiquement