Fournisseurs de services gérés AWS au Canada : quoi demander et comment comparer

Plusieurs types de firmes gèrent des environnements Amazon Web Services (AWS) pour des entreprises canadiennes. L’éventail va des cabinets-conseils mondiaux et des partenaires spécialisés AWS aux fournisseurs canadiens d’exploitation infonuagique gérée et aux contractuels indépendants. Aucun classement public ne dit laquelle convient à un acheteur donné. Comparez les firmes candidates sur six points : ce qu’elles exploitent au quotidien, comment elles accèdent au compte, quand elles répondent aux incidents, où se trouvent les données et les sauvegardes, dans quelles langues elles travaillent et comment elles facturent.

Que fait une entreprise de services gérés AWS ?

Une entreprise de services gérés AWS (on parle aussi de services AWS infogérés) exploite un compte AWS dont le client reste propriétaire. AWS sécurise et exploite les installations, le matériel et les plateformes de service. Le client configure, corrige, surveille, sauvegarde et sécurise ce qu’il bâtit par-dessus. Selon un périmètre écrit, l’entreprise de services infogérés prend en charge une partie de ce travail qui revient au client.

Les fournisseurs emploient le mot « infogéré » pour trois couches de travail différentes.

• Facturation et administration du compte. La firme revend AWS, regroupe les factures et peut réviser les dépenses.
• Exploitation de l’infrastructure. La firme s’occupe du durcissement, des correctifs, des sauvegardes, de la surveillance, de l’hygiène des accès et de la réponse aux incidents.
• Exploitation applicative. La firme déploie le code et gère le pipeline de déploiement.

Demandez à chaque firme candidate quelles couches ses frais couvrent, parce que des devis semblables peuvent décrire un travail différent. La base de connaissances explique ce que fait un fournisseur de services gérés AWS et ce à quoi il ne devrait pas toucher.

Quels types d’entreprises gèrent AWS au Canada ?

Cinq types de firmes gèrent AWS pour des entreprises canadiennes, et chacun convient à un acheteur différent.

Quelles questions sont propres à un acheteur canadien ?

Un acheteur canadien devrait ajouter six questions à l’évaluation générale d’un fournisseur AWS. Elles portent sur la localisation des données, les clauses de l’entente, l’emplacement du personnel, la langue, le fuseau horaire et la propriété. Les questions générales valent dans tous les pays, et la base de connaissances énumère 12 questions pour évaluer une entreprise de gestion infonuagique AWS.

1. Où se trouve chaque copie des données ? AWS exploite des régions au Canada, donc une exigence de résidence n’écarte pas AWS à elle seule. Demandez si la production, les sauvegardes et les journaux resteront dans les régions canadiennes, et qui le documente. Certains services AWS sont mondiaux par conception, et chacun demande une décision consignée. L’article sur la résidence des données au Canada et ce qu’il faut exiger d’un hébergeur énumère ce qu’il faut demander par écrit.
2. Que dit l’entente ? La résidence, la sous-traitance, la notification en cas d’incident de confidentialité et le retour ou la destruction des données ont leur place dans le contrat. Votre responsable de la protection des renseignements personnels a besoin de faits documentés pour prendre ses décisions en vertu de la loi fédérale, la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Il en va de même pour la Loi 25 sur la protection des renseignements personnels, au Québec.
3. Où travaillent les personnes qui ont accès au compte ? Demandez dans quels pays travaillent les ingénieurs qui ont accès à votre compte, et si des sous-traitants interviennent. Demandez aussi où les outils de surveillance et de gestion des billets du fournisseur conservent leurs données.
4. Dans quelles langues la firme travaille-t-elle ? Un appel de vente bilingue ne montre pas comment le soutien fonctionne. Demandez si le bureau de soutien, les rapports d’incident, la documentation et les contrats sont offerts en français, et à quelles heures.
5. Quel fuseau horaire définit la couverture ? Les heures ouvrables à l’heure de l’Est se terminent en milieu d’après-midi à Vancouver. Demandez la fenêtre de couverture par écrit, avec le fuseau horaire indiqué.
6. À qui appartient la firme, et quel droit régit le contrat ? Certains questionnaires de sécurité de clients portent sur la propriété étrangère des fournisseurs. La propriété canadienne de l’opérateur répond à cette question pour la couche d’exploitation seulement, parce qu’AWS est une entreprise des États-Unis. Votre responsable de la protection des renseignements personnels et votre conseiller juridique décident si ce point compte.

Le statut de partenaire AWS compte-t-il dans le choix d’un fournisseur ?

Le statut de partenaire AWS compte dans trois situations, et il compte moins quand le besoin est l’exploitation quotidienne d’un compte existant. AWS anime un réseau de partenaires qui comporte des niveaux et des programmes de spécialisation, et publie un répertoire de ses partenaires. Un titre montre qu’une firme a satisfait aux exigences d’un programme AWS. Il en dit peu sur la façon dont la firme traite un incident de nuit.

La première situation est une politique d’approvisionnement qui exige un niveau de partenaire. La deuxième est un projet qui dépend des programmes de financement qu’AWS offre par l’entremise de ses partenaires. La troisième est la volonté d’acheter AWS auprès d’un revendeur. Dans ces cas, présélectionnez des partenaires AWS et vérifiez chaque niveau revendiqué dans le répertoire d’AWS.

Pour l’exploitation quotidienne d’un compte existant, le modèle d’accès, le processus d’incident et le périmètre écrit pèsent plus lourd qu’un titre.

Comment comparer les accès, la couverture et la réponse aux incidents ?

Comparez les firmes candidates à partir de réponses écrites sur les accès, la couverture, les responsabilités et la sortie. Des assurances verbales sont difficiles à noter, et encore plus difficiles à faire respecter.

Accès. Une bonne réponse nomme un rôle dédié de gestion des identités et des accès (IAM) que vous pouvez révoquer. Le compte racine (root) reste chez vous, protégé par l’authentification multifacteur. Les actions du fournisseur apparaissent dans CloudTrail, le journal d’AWS qui consigne l’activité du compte. Une demande d’identifiants d’administrateur partagés est une raison de mettre fin aux discussions.

Couverture et réponse. Demandez qui prend en charge une alerte la nuit, ce que cette personne peut faire sans vous consulter, et dans quel délai un incident reçoit une réponse confirmée à chaque niveau de gravité. Demandez ce qui se passe quand une cible est manquée. Une cible de réponse confirmée diffère d’un délai de résolution : demandez donc auquel des deux le contrat s’engage. Le guide sur le soutien en réponse aux incidents AWS décrit ce qu’exige une vraie couverture de nuit.

Responsabilités. Demandez un tableau qui nomme le responsable des incidents, des correctifs, de la mise à l’échelle et des sauvegardes, comme le décrit l’article sur le partage des responsabilités dans le soutien aux opérations AWS.

Preuves et sortie. Demandez un rapport mensuel caviardé. Demandez ce que vous conservez si vous partez : les runbooks, les diagrammes et le code d’infrastructure devraient rester chez vous. Si des auditeurs vous examinent, lisez le guide sur les preuves que les auditeurs demandent sur AWS. Les critères de l’article sur quoi rechercher chez un fournisseur d’hébergement infogéré valent aussi pour un fournisseur AWS.

Quels facteurs déterminent le coût des services AWS infogérés au Canada ?

Une entente de services AWS infogérés entraîne deux coûts, et parfois un troisième. La facture d’utilisation AWS paie les ressources, et les frais du fournisseur paient les personnes qui les exploitent. Un plan de soutien AWS, s’il est nécessaire, forme une troisième ligne.

Les fournisseurs structurent leurs frais de trois façons.

Sept facteurs font habituellement varier les frais.

• Comptes et environnements. Leur nombre compte, et la production pèse plus lourd que le staging.
• Architecture. La complexité, la redondance et le nombre d’actifs surveillés ajoutent du travail.
• Fenêtre de couverture. Les heures ouvrables, les heures étendues et le 24/7 n’ont pas le même prix, parce que la couverture de nuit et de fin de semaine exige une rotation de garde dotée en personnel.
• Cibles de réponse. Une réponse confirmée plus rapide à chaque niveau de gravité coûte plus cher en personnel.
• Conformité. Les besoins de preuves et de résidence des données ajoutent des tâches récurrentes.
• État de départ. Un compte dont les accès ont dérivé et dont les ressources ne sont pas étiquetées demande d’abord un ménage.
• Heures de projet. Les améliorations qui dépassent l’exploitation quotidienne sont cadrées à part.

Pour comparer les devis, envoyez le même périmètre écrit à chaque firme candidate. Demandez à chacune d’énumérer ses exclusions et d’indiquer la devise de facturation. L’article sur la tarification de l’hébergement cloud infogéré explique ces facteurs.

Quand une entreprise canadienne de services AWS infogérés est-elle le bon choix, et quand ne l’est-elle pas ?

Une entreprise canadienne de services AWS infogérés est le bon choix quand les quatre conditions suivantes sont réunies.

• La production tourne sur AWS, et personne dans l’entreprise n’est responsable des correctifs, des sauvegardes, des accès et des alertes.
• Des clients ou des organismes de réglementation posent des questions sur la localisation des données, les sous-traitants et les clauses contractuelles en droit canadien.
• L’équipe veut un soutien et des contrats en français et en anglais, dans un fuseau horaire canadien.
• La charge utilise des services natifs d’AWS et devrait rester sur AWS.

Un autre choix est préférable dans six situations.

• Une grande entreprise présente sur plusieurs continents est mieux servie par un cabinet-conseil AWS mondial.
• Une entreprise qui veut confier les TI de bureau et le cloud à un seul fournisseur devrait regarder du côté d’un fournisseur général de services TI.
• Une empreinte d’une instance et d’un compartiment de stockage ne justifie pas un contrat d’exploitation. Une revue ponctuelle convient mieux.
• Une équipe dont les ingénieurs assument déjà l’exploitation devrait continuer de gérer le compte. Un fournisseur diviserait la responsabilité, à moins que le périmètre soit explicite.
• Une entreprise dont le travail d’exploitation occupe un poste à temps plein, ou dont le produit est l’infrastructure, devrait embaucher. Un autre article compare l’embauche d’un ingénieur DevOps et l’impartition des opérations.
• Une charge classique qui n’utilise rien de propre à AWS n’a peut-être pas besoin d’AWS du tout. Le cadre de décision de l’article sur le cloud infogéré ou AWS pour une PME traite de cette question.

Un fournisseur d’exploitation d’infrastructure ne corrige pas les défauts du code applicatif. Ces incidents reviennent à l’équipe de développement.

Une grille de présélection à apporter aux appels avec les fournisseurs

Notez chaque firme candidate de 0 à 2 sur chacune des 11 lignes ci-dessous. La note 0 correspond à une absence de réponse, la note 1 à une assurance verbale, et la note 2 à une réponse écrite appuyée par des preuves.

1. La firme indique quelles couches elle exploite : la facturation, l’infrastructure, l’application, ou une combinaison.
2. Les accès passent par un rôle dédié et révocable, et les identifiants du compte racine restent chez vous.
3. La fenêtre de couverture est écrite, avec son fuseau horaire.
4. Les cibles de réponse confirmée par niveau de gravité sont écrites, de même que la conséquence d’une cible manquée.
5. La firme documente où se trouvent la production, les sauvegardes, les journaux et les données de ses propres outils.
6. La résidence, la sous-traitance, la notification en cas d’incident de confidentialité et le retour des données figurent dans l’entente.
7. La firme indique où travaille le personnel qui a accès au compte et si elle fait appel à des sous-traitants.
8. Les langues du soutien, des rapports et des contrats sont confirmées, avec les heures.
9. Tout niveau de partenaire AWS revendiqué est vérifié dans le répertoire d’AWS, si vous en avez besoin.
10. Le devis indique le modèle de tarification, les exclusions et la devise de facturation.
11. Les runbooks, les diagrammes et le code d’infrastructure vous appartiennent toujours à la sortie.

Une firme qui obtient 2 aux lignes 2, 4, 6 et 11 a répondu aux questions les plus difficiles à corriger après la signature.

Où se situe Stack Harbor

Stack Harbor est un fournisseur d’exploitation infonuagique gérée (MSP) de propriété canadienne dont le siège est à Montréal, au Québec, comme l’indique sa page À propos. L’entreprise exploite des environnements cloud de production et ne fournit pas de TI de bureau. Elle sert des PME et des agences d’environ 5 à 200 personnes qui exploitent un environnement de production sans avoir leur propre équipe d’opérations 24/7. Stack Harbor travaille en français et en anglais.

Son service d’opérations AWS infogérées s’exerce dans un compte que le client conserve. Le périmètre publié pour ce service énumère les alertes de budget, la stratégie de tagging, l’optimisation de taille des ressources, le ménage IAM, la couverture de supervision CloudWatch et un exercice de restauration testé. Le périmètre écrit de chaque mandat établit quels éléments s’appliquent. Stack Harbor travaille au moyen d’un rôle IAM dédié, le compte racine reste chez le client, et les actions sont tracées dans CloudTrail. L’équipe reprend le code Terraform ou AWS Cloud Development Kit (CDK) déjà en place. L’exploitation continue est assurée par le mandat Opérations Cloud, avec une couverture cadrée en heures ouvrables, en heures étendues ou en 24/7. Dans un scénario type auprès d’une entreprise canadienne de logiciels en techno juridique, le client est resté sur AWS. Le travail a porté sur les runbooks, le ménage des alertes et un passage par étapes à une couverture 24/7.

Stack Harbor ne publie aucun niveau de partenaire AWS. Un acheteur qui a besoin d’un titre de partenaire, des programmes de financement d’AWS ou de la revente d’AWS devrait plutôt présélectionner un partenaire AWS. Stack Harbor ne détient aucun rapport SOC 2 en son nom, et la page Confiance et sécurité expose sa position en matière de conformité. L’accord de niveau de service (SLA) engage Stack Harbor à une disponibilité mensuelle de 99,9 % pour son propre réseau et sa propre infrastructure en tant que service (IaaS), avec un crédit de service comme seul recours. Cet engagement ne couvre pas un environnement hébergé sur AWS. Les énoncés de Stack Harbor sur la résidence des données visent ses propres centres de données de Montréal, et non le compte AWS d’un client. L’entreprise ne publie pas d’heures de soutien en français. Le soutien technique passe par le bureau de soutien, et le téléphone sert à joindre le gestionnaire de compte. Stack Harbor ne publie pas de prix et n’avance aucun pourcentage d’économies. Un devis fixe pour un périmètre écrit suit une évaluation, comme le décrit la page Comment nous cadrons les mandats.

Bâtissez la présélection par type de firme, envoyez le même périmètre écrit à chaque firme candidate et notez les réponses écrites. Privilégiez la firme qui documente le plus clairement les accès, la couverture, la localisation des données et la sortie.