Entrazure
Trois contraintes propres au secteur
Une fenêtre de changement se mesure en heures de production. Le siège social encaisse une interruption à 2 h du matin. Une ligne qui roule trois quarts, non, et les deux arrêts annuels sont réservés depuis dix-huit mois pour de la mécanique. Chaque étape de migration, chaque bascule d’identité, chaque règle de pare-feu doit être assez petite pour être annulée à l’intérieur d’un quart, parce que le vrai plan de repli n’est pas un script, c’est un directeur d’usine qui demande quand la ligne repart.
La moitié du parc ne peut pas être corrigée, et tout le monde le sait déjà. L’IHM tourne sur une version de Windows validée par le fabricant en 2014, et la réimager annule le support d’une presse qui vaut plus cher que le budget TI de l’année. La réponse n’est pas un programme de mise à niveau. C’est un inventaire exact, une segmentation ferme, des contrôles compensatoires et une décision écrite qui nomme les machines en risque accepté et la personne qui a accepté ce risque. La gouvernance complique le tout : le réseau de cellule appartient aux opérations, le réseau corporatif appartient aux TI, et dans la plupart des groupes les deux n’ont jamais partagé un schéma.
Une usine n’est pas une succursale. La connectivité, c’est un lien de fibre et une relève LTE, la latence vers la région Azure la plus proche est réelle, et l’opérateur au plancher a besoin de l’application à 6 h que le lien tienne ou non. Une architecture qui suppose la bande passante du siège fonctionne à l’usine pilote et casse à la quatrième.
Ce que nous construisons ici
- Une landing zone qui modélise les usines. Groupes d’administration par pays pour la résidence, distribution d’abonnements pour qu’un nouveau site soit provisionné plutôt qu’improvisé, étiquetage imposé par Azure Policy pour que le coût retombe sur le site qui l’a engagé. La landing zone Azure est livrée en Terraform dans votre dépôt, avec les pipelines qui la déploient.
- Azure Arc sur les machines qui ne bougeront jamais. Serveurs d’usine, instances SQL et clusters sous un seul inventaire, anneaux de mise à jour calés sur le calendrier de production, posture Defender for Cloud sur du matériel situé dans un bâtiment à 800 km. Un seul modèle d’exploitation, au lieu d’une équipe infonuagique et d’une équipe de site qui se parlent deux fois par année.
- Un réseau segmenté avec une frontière dessinée volontairement. Topologie hub and spoke, Azure Firewall, Private Link et points de terminaison privés sur chaque service de données, et une ligne documentée entre le parc corporatif et les zones de cellule. Le schéma compte autant que les règles : c’est le premier artefact que l’équipe de sécurité de votre client demande à voir.
- Un seul chiffre pour la production. Historien, MES et extractions ERP déposés dans un lakehouse avec des pipelines Data Factory et un modèle sémantique Direct Lake, pour que le TRG cité par le directeur d’usine et celui cité par les finances soient le même nombre. Ce chantier Microsoft Fabric vaut souvent plus que le projet d’IA qui attend derrière.
- De l’IA sur la paperasse, pas sur le procédé. Document Intelligence sur les certificats de conformité fournisseurs, les rapports d’inspection et les bons de livraison, et de la recherche sur l’historique de maintenance en conservant les permissions d’origine. Notre travail d’ingénierie IA part d’une base de référence mesurée, seule façon de savoir si l’agent s’est payé.
La sortie d’un parc vieillissant sur site est une discipline distincte, avec sa cartographie de dépendances et son plan de vagues : voir migration Azure.
Scénario anonymisé
Scénario anonymisé, pas un client nommé.
Un groupe manufacturier de onze usines dans deux pays a grandi par acquisitions. Chaque site est arrivé avec son domaine, son serveur de fichiers, son chiffrier de production et, dans trois cas, un abonnement Azure acheté sur une carte de crédit corporative. Personne ne peut répondre à deux questions : quelles machines sont exposées à internet, et pourquoi le chiffre de production du groupe diffère de la somme des sites.
Le mandat n’a rien de spectaculaire. Une hiérarchie de groupes d’administration et une distribution d’abonnements, pour que la prochaine acquisition atterrisse à un endroit défini. L’intégration d’environ 300 serveurs dans Azure Arc, ce qui produit le premier inventaire honnête du groupe. La segmentation entre réseaux corporatif et de production sur chaque site, avec les machines patrimoniales isolées et documentées plutôt que passées sous silence. Ensuite seulement le modèle de données de production, parce que la chicane sur les rapports n’a jamais porté sur les rapports. Les correctifs des deux plus vieux sites sont planifiés autour d’un arrêt prévu dans huit mois, et cette contrainte figure au plan dès la première semaine plutôt qu’en semaine neuf.
Le contexte réglementaire que nous prenons comme contrainte
Un manufacturier est rarement encadré comme une banque, et il est pourtant audité en permanence, par ses clients. La norme IEC 62443 structure la segmentation du réseau de production. ISO 27001 et SOC 2 arrivent dès que vous fournissez un grand donneur d’ordres ou un acheteur réglementé. NIS2 s’applique s’il y a une société mère ou des opérations européennes. La Loi 25 couvre les renseignements personnels des employés et des sous-traitants, y compris les images de vidéosurveillance, ce que les groupes industriels oublient régulièrement. En aérospatiale et en défense, le contrôle des exportations dicte quelles régions et quel personnel de soutien peuvent toucher aux données : cela s’impose au niveau du groupe d’administration, pas par une consigne polie. Nous concevons le parc pour que chacune de ces exigences se traduise par un contrôle appliqué, journalisé et exportable, ce qui est l’objet de l’architecture de conformité.
Questions fréquentes
Peut-on faire ce genre de projet sans arrêter la production ?
Oui, à condition de découper le travail selon les fenêtres réellement disponibles. Nous planifions les migrations et les bascules d’identité en étapes réversibles à l’intérieur d’un quart de travail, nous calons toute intervention sur un serveur d’usine sur le calendrier de production plutôt que sur le mardi des correctifs, et les critères d’abandon sont convenus avant l’ouverture de la fenêtre.
Nos automates et nos IHM tournent sur des versions de Windows non supportées. Est-ce bloquant ?
Non, et les remplacer est rarement le bon premier geste : réimager une machine validée par le fabricant peut annuler le support d’un équipement qui vaut plus cher que le budget TI annuel. Nous inventorions ces machines avec Azure Arc, nous les isolons derrière une frontière réseau explicite, nous appliquons des contrôles compensatoires et nous écrivons noir sur blanc lesquelles constituent un risque accepté, et par qui.
Nos usines ont un seul lien internet. Comment on conçoit avec ça ?
En posant comme exigence que le plancher continue de fonctionner quand le lien tombe : traitement local là où le procédé l’impose, intégration en file d’attente avec reprise plutôt qu’appels synchrones, Azure Firewall et Private Link côté corporatif. Quand une donnée ne peut réellement pas sortir du bâtiment, nous le disons au lieu de vous vendre une région.
Nos clients nous envoient un questionnaire de sécurité de 200 lignes chaque année. Est-ce que ça aide ?
Ce questionnaire est un document d’architecture déguisé. Quand la segmentation, la revue des accès, la journalisation et la gestion du changement sont imposées par politique et par pipeline, l’essentiel se répond en exportant des preuves déjà produites. Quand tout est manuel, chaque questionnaire coûte deux semaines à quelqu’un de sénior.
Faut-il une plateforme de données avant de faire de l’IA ?
Il faut un accès gouverné aux données que le modèle va lire. Concrètement : un lakehouse, ou au minimum un modèle sémantique certifié, et une classification des données avant qu’un agent touche à des enregistrements de production. C’est en sautant cette étape que la plupart des projets d’IA industriels s’enlisent au deuxième mois.