Red Hat Enterprise Linux en entreprise

RHEL si : (1) support 24/7 critique, (2) certifications applicatives obligatoires (SAP, Oracle), (3) secteur régulé (banque, santé). Rocky/Alma si : (1) budget contraint, (2) workloads non critiques, (3) équipe autonome sur Linux. Un mix est possible : RHEL sur les serveurs critiques, Rocky/Alma sur les autres. Les deux sont compatibles au niveau binaire.

Par an et par paire de sockets. Le tarif dépend du niveau de support : Standard (heures ouvrées) ou Premium (24/7 sur incidents critiques), plus cher. L’add-on Smart Management, requis pour Satellite, s’ajoute par nœud géré. Au volume, votre revendeur Red Hat accorde des remises. À noter : la Developer Subscription gratuite couvre jusqu’à 16 systèmes pour un usage individuel, pratique pour les labs.

Moins de 25 serveurs : Ansible suffit largement. De 25 à 100 serveurs : Satellite et Ansible (Satellite gère le contenu et les patches, Ansible les configurations). Plus de 100 serveurs : Satellite et AAP (Ansible Automation Platform) pour une orchestration centralisée. Dans tous les cas, Insights est inclus dans la souscription : activez-le en premier.

Outil : Leapp (in-place upgrade) gère les passages de 7 à 8 et de 8 à 9. Pour aller de 7 à 9, il faut donc passer par 8. Approche : (1) clone du serveur en environnement test, (2) Leapp avec validation applicative, (3) si OK, bascule production. Alternative : nouveau serveur RHEL 9 + migration applicative. Effort : 2 à 5 jours par serveur selon complexité applicative.

Trois options : (1) Realmd + SSSD (intégration directe AD, simple), (2) IdM en trust avec AD (plus robuste, IdM gère le parc Linux), (3) Winbind (legacy, à éviter). Recommandation 2026 : Realmd + SSSD pour moins de 30 serveurs, IdM avec trust AD pour plus de 30 serveurs ou exigences fortes (sudo policies, certificats).

AAP (Ansible Automation Platform) est la version commerciale d’Ansible : interface web, RBAC, planification, journaux d’audit, exécution centralisée. Elle devient utile dès que plusieurs administrateurs partagent les playbooks, et presque indispensable au-delà de 100 serveurs. Pour 5 à 15 serveurs et un seul administrateur, Ansible Community en ligne de commande suffit largement.

OpenShift est la distribution Kubernetes de Red Hat : support, sécurité durcie, GUI, CI/CD intégré, opérateurs nombreux. Kubernetes vanilla : open source pur, plus flexible mais demande plus d’expertise. Pour une PME : OpenShift si secteur régulé ou pas d’expert Kubernetes en interne. Kubernetes vanilla (ou managé : EKS, AKS, GKE) si culture DevOps mature.

Non. C’est pourtant le premier réflexe de beaucoup d’équipes dès qu’une application refuse de démarrer. SELinux est un contrôle d’accès obligatoire intégré au noyau : il confine chaque processus et limite les dégâts d’une compromission. Le bon réflexe : passer temporairement en mode permissif pour diagnostiquer (les refus sont journalisés sans bloquer), corriger les contextes ou les booléens concernés, puis repasser en enforcing. Un parc RHEL avec SELinux désactivé partout est un signal d’alarme en audit.

Oui, au minimum une fois par an : inventaire, versions, EOL, conformité CIS, durcissement, gestion des accès. Un audit à blanc sur le CIS RHEL Benchmark demande 1 à 2 jours de consultant. Un audit complet (revue du code Ansible, IdM, sauvegardes) en demande 4 à 7. C’est peu au regard du coût d’un incident de production.