Azure — Architecture cloud pour PME

Recommandation pragmatique : 2 subscriptions pour < 50 ressources (Prod / Non-prod), 3-4 subscriptions pour 50-200 ressources (Prod / Non-prod / Sandbox / DR éventuelle). Au-delà, on subdivise par BU ou par domaine fonctionnel. Plus de subscriptions = meilleure isolation, mais plus de complexité d'administration.

Pas nécessairement. Azure Firewall coûte ~700-1500 €/mois en Standard. Pour une PME < 50 ressources Azure, NAT Gateway (~30 €/mois) + NSG (gratuit) suffisent souvent. Azure Firewall devient pertinent à partir de ~30 workloads, multi-VNets, ou exigences de filtrage L7. Alternative : Firewall virtual appliance tiers (Fortinet, Palo Alto) si vous avez l'expertise.

15-40 K€ pour 50-200 collaborateurs, en 4-8 semaines. Variables : volume existant à refactorer, complexité hybride (AD on-prem ou pas), exigences de compliance. Pour une PME 100% cloud-native avec peu d'existant, 12-18 K€ suffisent. Pour une migration depuis on-prem complexe, 30-60 K€.

Reserved Instances (RI) 1 ou 3 ans réduisent fortement le coût des VM et bases de données en échange d'un engagement : Microsoft affiche jusqu'à -72% sur certaines VM en 3 ans par rapport au pay-as-you-go. Alternative plus souple : Azure Savings Plan for compute, un engagement horaire en euros plutôt que par machine. Recommandation PME : couvrir 70-80% de votre baseline stable (prod, AD, BDD), et laisser en pay-as-you-go les workloads variables (dev, test, pics).

App Service (PaaS) : pour des apps web/API modernes, scaling automatique, déploiement Git/CI-CD, coût optimisé. VM (IaaS) : pour des apps legacy nécessitant un OS spécifique, des contrôles fins (services Windows, drivers), des softwares packagés (ERP). Règle : si l'app peut tourner sur App Service, mettez-la sur App Service. C'est moins cher et plus simple à long terme.

Pour la majorité des PME, le chiffrement Microsoft-Managed Key (MMK) suffit (gratuit, par défaut, FIPS 140-2). CMK est nécessaire si : (1) compliance imposée (DORA, secteur santé/défense), (2) volonté forte de "Bring Your Own Key" pour souveraineté, (3) audit ISO 27001 en mode Annex A.5.10 stricte. CMK ajoute de la complexité (Key Vault, rotation, accès) : pertinent surtout pour ETI et grands comptes.

Chiffrement at-rest : gratuit (inclus dans le coût du Storage/Disk). Azure Backup : ~5-15 €/instance/mois selon la politique de rétention. Tip : aligner la rétention sur les exigences réelles (RGPD : selon l'usage, pas le maximum technique). Pour la longue durée, le tier Archive de Azure Storage est nettement moins cher que le tier Hot. Et surtout : tester une restauration au moins une fois par an, un backup jamais restauré est une hypothèse, pas une garantie.

Les classiques : la bande passante sortante (egress) facturée au Go au-delà du quota gratuit, les disques des VM arrêtées (une VM désallouée ne facture plus le compute, mais ses disques managés restent facturés), l'ingestion de logs dans Log Analytics (cadrer les sources et la rétention), les snapshots oubliés, les Public IP statiques réservées et les environnements de test jamais éteints. Un budget avec alerte à 80% par subscription attrape ces dérives avant la mauvaise surprise.

En PME, rarement. Le multi-cloud (Azure + AWS + GCP) double la complexité d'expertise, d'opérations, de sécurité. Pertinent si : (1) clients exigent un cloud spécifique, (2) workloads très différenciés (AI sur GCP, M365 sur Azure), (3) stratégie de réversibilité formelle (DORA financier). Sinon : choisir un cloud principal et l'exploiter à fond. Le best-of-breed multi-cloud est souvent un piège.