Infrastructure as Code : industrialiser sans se raconter d'histoires

Gérer une infrastructure à travers des fichiers de définition versionnés, plutôt que par des consoles et des procédures manuelles, change trois choses : l'environnement devient reproductible, chaque modification est tracée et relue, et la dérive de configuration cesse d'être une fatalité.

Ce n'est pas gratuit pour autant. L'infrastructure as code déplace la complexité : elle demande des compétences de développement à des équipes qui n'en avaient pas forcément, et elle échoue quand on commence par migrer avant d'avoir posé les fondations.

Ce que l'on cherche à corriger

L'approche manuelle produit toujours les mêmes symptômes : des serveurs uniques que personne n'ose toucher, une documentation en retard sur la réalité, des environnements de test qui ne ressemblent plus à la production, et une reconstruction impossible en cas d'incident majeur.

L'approche déclarative répond à chacun de ces points, à condition que tout passe par le code — la moindre modification faite à la main dans une console réintroduit la dérive.

Les outils, et ce qu'ils font vraiment

Terraform provisionne l'infrastructure : réseaux, machines, services managés, sur un ou plusieurs fournisseurs. Son intérêt principal n'est pas le langage, c'est le plan d'exécution : savoir exactement ce qui va changer avant de l'appliquer.

Ansible configure ce qui tourne à l'intérieur : paquets, fichiers, services. Sans agent, en YAML, il reste le bon outil pour la configuration post-provisionnement et les opérations récurrentes.

Kubernetes orchestre les applications conteneurisées avec des manifestes déclaratifs. C'est un choix structurant : il apporte l'auto-réparation et la mise à l'échelle, au prix d'une complexité d'exploitation qu'il faut être prêt à assumer.

Ces trois outils ne se remplacent pas, ils se complètent — provisionner, configurer, orchestrer.

Mettre en place : l'ordre compte

Phase 1 — Cadrer

Inventaire de l'existant, identification des dépendances et des contraintes, choix des outils, définition de la trajectoire, et formation des équipes. Cette dernière n'est pas optionnelle : une équipe qui subit l'outillage le contournera.

Phase 2 — Poser les fondations

C'est la phase la plus souvent bâclée, et celle qui coûte le plus cher à rattraper :

• Dépôt Git : structure des projets, stratégie de branches, revue obligatoire.
• Pipeline CI/CD : validation syntaxique, analyse statique, plan automatique sur chaque demande de fusion.
• Gestion de l'état : backend distant, verrouillage concurrent, sauvegarde. Un état Terraform perdu ou corrompu est un incident majeur.
• Gestion des secrets : coffre centralisé, rotation, interdiction stricte des secrets en clair dans le dépôt.
• Supervision : observabilité de l'infrastructure elle-même, pas seulement des applications.

Phase 3 — Migrer progressivement

Par vagues, du moins risqué au plus critique : environnements de développement et de test, puis services non critiques en production, puis applications critiques avec plan de retour arrière, et enfin l'infrastructure historique complexe — celle dont plus personne ne connaît toutes les dépendances.

Bonnes pratiques qui tiennent

Structure. Des modules réutilisables plutôt que du copier-coller entre environnements, une séparation nette des environnements, des conventions de nommage cohérentes.

Sécurité. Moindre privilège, chiffrement des secrets, piste d'audit complète, validation automatique des politiques avant application.

Tests. Validation syntaxique, tests unitaires des modules, tests d'intégration sur environnement jetable, et systématiquement un plan revu avant l'application.

Supervision. Métriques d'infrastructure, alertes proactives, et contrôle de conformité continu — pour détecter les écarts entre l'état déclaré et l'état réel.

Le piège le plus courant

Vouloir tout décrire immédiatement. Une reprise d'infrastructure existante en code se fait par périmètres cohérents, en commençant par ce qui est le plus souvent recréé. Un dépôt contenant 100 % de l'infrastructure mais que personne n'applique par peur de casser la production n'a aucune valeur : l'objectif n'est pas la couverture, c'est la confiance.