Isolation et sécurité des locataires
Périmètres de sécurité, encapsulation réseau, isolation du stockage, gestion des utilisateurs, transit de niveau 2, microsegmentation et supervision des locataires dans les déploiements multi-locataires VergeOS.
Le modèle d'isolation de VergeOS
La multi-location de VergeOS repose sur isolation architecturale — et non sur une simple séparation basée sur des politiques. Chaque locataire est un centre de données virtuel (VDC) entièrement encapsulé, avec sa propre pile réseau, des volumes de stockage exclusifs et une frontière administrative indépendante. Cela contraste avec les plateformes qui s'appuient sur des VLAN, des pools de ressources ou des règles RBAC pour séparer les locataires au sein d'un plan de gestion partagé.
Le modèle d'isolation repose sur quatre piliers :
Encapsulation réseau
L'encapsulation réseau est le fondement de l'isolation des locataires. Lorsqu'un locataire est créé, VergeOS provisionne automatiquement un réseau virtuel qui agrège et encapsule tout le trafic de ce locataire. Du point de vue du locataire, il s'agit de son réseau physique — il ne peut ni voir ni interagir avec le trafic d'un autre locataire.
Fonctionnement
Chaque locataire reçoit son propre réseau DMZ qui sert d'épine dorsale de routage pour tous les réseaux du locataire
Le trafic du locataire est encapsulé aux couches 2 et 3, empêchant la communication inter-locataires au niveau du réseau
Le réseau encapsulé permet aux nœuds du locataire de communiquer en toute sécurité même lorsqu'ils s'exécutent sur différents hôtes physiques
Les locataires peuvent créer un nombre virtuellement illimité de réseaux internes dans leur propre environnement
Pourquoi c'est important
Contrairement à la segmentation basée sur les VLAN — où une balise VLAN mal configurée ou un commutateur compromis pourrait exposer le trafic entre locataires — l'encapsulation réseau de VergeOS offre une isolation réseau zéro confiance par défaut. Un locataire ne peut pas atteindre le réseau d'un autre locataire, même s'ils partagent la même infrastructure physique.
Volumes de stockage dédiés
Chaque locataire reçoit des volumes de stockage dédiés dans le vSAN, présentés au locataire comme s'il disposait de son propre système de stockage. L'isolation est appliquée logiquement via les frontières du système de fichiers du conteneur — un locataire ne peut pas voir ni accéder aux données d'un autre locataire — tandis que le vSAN sous-jacent déduplique les blocs à l'échelle de l'ensemble du cluster pour plus d'efficacité.
Caractéristiques clés :
Provisionnement par locataire — Le stockage est provisionné par niveau (NVMe, SSD, HDD) avec des allocations de capacité spécifiques
Déduplication indépendante — Les statistiques de déduplication de chaque locataire ne reflètent que ses propres données. La déduplication fonctionne au niveau des blocs du vSAN sur l'ensemble du système ; les métriques visibles par le locataire n'affichent que les économies par locataire
Provisionnement fin — Le stockage du locataire est provisionné en mode fin. Un disque VM de 4 To qui ne contient que 200 Go de données consomme environ 200 Go de capacité vSAN (moins les économies de déduplication)
Prise en charge du chiffrement — Le chiffrement vSAN (AES-256, configuré à l'installation) s'applique à toutes les données, y compris les volumes des locataires
Gestion indépendante des utilisateurs
Chaque locataire gère ses propres comptes utilisateurs et son authentification de manière indépendante. Trois modèles d'authentification sont disponibles :
Utilisateurs locaux
L'administrateur du locataire crée et gère directement les comptes utilisateurs dans l'interface du locataire
Petits locataires, environnements autonomes
VergeOS parent (via OIDC)
Le locataire s'authentifie via une application OIDC définie sur le système VergeOS parent, de sorte que les connexions du locataire s'appuient sur l'annuaire d'utilisateurs du parent
Fournisseurs de services gérés qui contrôlent centralement l'accès des locataires
IdP tiers (via OIDC)
Le locataire s'intègre à un fournisseur d'identité externe (Okta, Azure AD/Entra, Google Cloud Identity, etc.) via OIDC
Locataires d'entreprise disposant déjà d'une infrastructure d'identité
L'intégration OIDC est configurée pour chaque locataire lors de la création ou de la modification. Lorsqu'une application OIDC est sélectionnée, le locataire utilise le fournisseur d'identité externe pour l'authentification tout en conservant une autorisation locale (permissions et rôles).
Pass-through de couche 2 vers les locataires
Dans certains scénarios, un locataire a besoin d'un accès direct de couche 2 à un VLAN physique — par exemple, pour se connecter à un lien WAN dédié, à un réseau de stockage physique ou à des applications héritées nécessitant une adjacence L2.
VergeOS fournit Réseaux de couche 2 des locataires (versions récentes de VergeOS) pour un pass-through VLAN simplifié :
Fonctionnement
L'administrateur de l'hôte se rend dans Locataires → [Locataire] → Réseaux Layer2 → Nouveau
Sélectionne le réseau externe de couche 2 (VLAN) à faire passer
Active le pass-through
VergeOS crée automatiquement trois composants dans le locataire :
Un Interface NIC sur le nœud du locataire connecté au VLAN
Un Réseau physique (infrastructure backend)
Une Réseau externe auquel les VM du locataire peuvent se connecter
Liste de vérification
Hôte
Le réseau de couche 2 apparaît dans la liste Layer2 Networks du locataire, Activé = ON
Tenant
Les réseaux Externe et Physique apparaissent dans la liste Networks du locataire
Infrastructure
Les ports du commutateur physique transportent le VLAN vers les bons nœuds
Connectivité
Une VM de test sur le réseau Externe du locataire peut atteindre les périphériques du VLAN
Restrictions importantes
VLAN réservés
VLAN 1, 100, 101 et 102 sont réservés au trafic interne de VergeOS et ne peuvent pas être utilisés pour le pass-through de couche 2.
Ne pas étiqueter le réseau externe du locataire
Le réseau Externe créé dans le locataire est déjà étiqueté pour le VLAN correct. Ne pas pas ajouter de balise VLAN au réseau Externe côté locataire — c'est une erreur de configuration courante qui rompra la connectivité.
Procédure de suppression
La suppression d'un réseau de couche 2 du locataire nécessite un ordre précis :
Désactiver le réseau de couche 2 côté hôte
Supprimer le réseau de couche 2 côté hôte (l'interface NIC est automatiquement supprimée)
Dans le locataire : supprimez le Externe réseau d'abord, puis le Physique réseau
Supprimez toujours le réseau Externe avant le réseau Physique dans le locataire. Le réseau Externe référence le réseau Physique comme interface, donc inverser l'ordre provoquera une erreur.
Micro-segmentation au sein des locataires
Chaque locataire peut mettre en œuvre sa propre stratégie de micro-segmentation en utilisant les mêmes outils réseau disponibles au niveau de l'hôte :
Réseaux internes — Chaque réseau interne est un segment isolé et sécurisé par défaut. Aucun trafic n'entre ni ne sort tant que des règles explicites n'ont pas été ajoutées.
Règles réseau — Règles de pare-feu granulaires (Accept, Drop, Reject), NAT/PAT et routes statiques par réseau
Alias réseau — Regrouper des adresses IP ou des plages CIDR pour simplifier la gestion des politiques
Miroir de port — Répliquer le trafic d'un réseau vers une interface NIC de VM pour analyse
Cela permet les principes zéro confiance au sein de chaque locataire — les charges de travail sont isolées par défaut et communiquent uniquement via des chemins explicitement autorisés.
Garanties de ressources
L'allocation des ressources des locataires est appliquée au niveau de la plateforme :
CPU et RAM — Les cœurs et la RAM attribués aux nœuds du locataire sont des allocations dédiées ; le système hôte prend en compte les ressources des nœuds du locataire dans sa planification
Stockage — Le stockage provisionné par niveau définit la capacité du locataire. Bien que le stockage provisionné ne constitue pas une limite stricte, des alertes de journal sont déclenchées lorsqu'un locataire approche de son seuil
Bande passante réseau — Une limitation de débit peut être appliquée par règle réseau pour le façonnage du trafic
Surveillance des locataires depuis le parent
Le système hôte (parent) conserve une visibilité complète sur les opérations des locataires sans violer l'isolation des locataires.
Tableau de bord de tous les locataires
Le tableau de bord de tous les locataires fournit une vue d'ensemble de tous les locataires avec :
Indicateurs d'état — Nombre de locataires et de nœuds de locataire sous tension
Listes des plus fortes consommations — Utilisation CPU, RAM, stockage et réseau classée par locataire
Liens rapides — Cliquez sur n'importe quel locataire pour accéder à son tableau de bord individuel
Tableau de bord individuel du locataire
Le tableau de bord de chaque locataire affiche :
Utilisation du CPU, de la RAM et du stockage dans des graphiques par intervalles de 5 minutes
battement à 5 secondes statistiques pour la surveillance en temps réel
Entrées de journal avec les erreurs mises en évidence en rouge
Métriques de stockage — Valeurs utilisées, provisionnées et allouées
Rapports d'utilisation pour la facturation
VergeOS stocke les statistiques d'utilisation par locataire pour prendre en charge la facturation au 95e percentile:
Accédez au tableau de bord du locataire → Historique
Sélectionnez une période de filtrage (mois, plage personnalisée)
Cliquez sur Appliquer pour générer des graphiques montrant la moyenne, le maximum et le 95e percentile
Exporter au format CSV pour l'intégration à la facturation
Vous pouvez aussi configurer un abonnement (Système → Abonnements → Nouveau) avec :
Type de cible : Tableau de bord des locataires
Type : Planifié
Profil : Utilisation des locataires
Cela fournit des rapports d'utilisation automatisés par e-mail selon la planification configurée.
Exposition des instantanés
Lorsque l' option Exposer les instantanés système est activée pour un locataire, celui-ci peut parcourir les instantanés disponibles de l'hôte et télécharger en libre-service son propre instantané de locataire à partir des horodatages d'instantanés du fournisseur. Cela permet aux locataires de restaurer leurs propres systèmes sans intervention de l'administrateur de l'hôte.
Audit et alertes
Les abonnements peuvent déclencher des alertes e-mail en cas d'erreurs d'état du locataire, d'avertissements ou de dépassement de seuil
Les rapports planifiés peuvent envoyer aux administrateurs des résumés quotidiens/hebdomadaires du tableau de bord
Le L'API peut exporter les données d'utilisation des locataires vers des systèmes de facturation ou de surveillance externes
Instantanés et restaurations des locataires
Chaque locataire peut être instantané et restauré indépendamment :
Instantanés par locataire — L'hôte peut prendre des instantanés de locataires individuels sans affecter les autres locataires
Instantanés contrôlés par le locataire — Les locataires peuvent gérer leurs propres planifications d'instantanés et politiques de rétention au sein de leur VDC
Restauration granulaire — Restaurer un locataire entier, des VM individuelles ou des données spécifiques à partir de n'importe quel point d'instantané
Réplication DR — Les instantanés des locataires peuvent être répliqués vers des sites distants via la synchronisation de site, avec des politiques DR par locataire
Bonnes pratiques
Par défaut, utiliser l'encapsulation
Utilisez l'encapsulation réseau intégrée de VergeOS pour tous les locataires. Ne configurez le pass-through de couche 2 que lorsqu'un besoin spécifique d'accès direct au VLAN existe.
Documenter les affectations VLAN
Conservez une documentation claire indiquant quels VLAN sont transmis à quels locataires, y compris les identifiants VLAN, les usages et les configurations des ports de commutateur.
Réseau au moindre privilège
Au sein de chaque locataire, partez de réseaux internes sécurisés par défaut et n'ouvrez l'accès que via des règles de pare-feu explicites. Suivez les principes zéro confiance.
Surveiller les seuils de stockage
Configurez des abonnements pour alerter lorsque le stockage d'un locataire approche des limites provisionnées. Le provisionnement fin signifie que l'alloué peut largement dépasser l'utilisé — surveillez « utilisé » pour suivre la consommation réelle.
Utiliser OIDC pour les locataires d'entreprise
Pour les locataires d'entreprise disposant déjà d'une infrastructure d'identité, configurez l'intégration OIDC plutôt que de gérer des comptes utilisateurs locaux dans chaque locataire.
Ordre de suppression L2
Lors de la suppression du pass-through de couche 2, désactivez et supprimez toujours d'abord côté hôte, puis nettoyez le réseau Externe avant le réseau Physique à l'intérieur du locataire.
Mis à jour
Ce contenu vous a-t-il été utile ?