Cloud computing : Où sont les standards ?

«L'adoption du cloud computing prendra du temps, mais on y viendra. Les entreprises ont tout intérêt à se recentrer sur leurs métiers et de se débarrasser des problématiques IT » admet Bertrand Morin, responsable de l'offre ABC (AntemetA Business Continuity) chez AntemetA (en illustration principale). Il est évident que le cloud computing fait partie des priorités des décideurs IT dans les entreprises, mais un certain nombre de freins persistent.

Et, sans surprise, le frein le plus cité par les entreprises françaises et européennes reste la sécurité. Les dirigeants IT se heurtent aussi à un autre problème, celui de la pérennité et de l'interopérabilité des offres, deux critères, d'ailleurs très liés à la sécurité. «Il est important pour une entreprise de pouvoir transmettre des données d'un cloud à un autre sans risque » souligne Matthieu Estrade, responsable de l'Innovation chez Bee Ware.

Les offres ne manquent pas sur le marché du cloud (SaaS, PaaS et IaaS compris), c'est aujourd'hui l'effervescence. Citons entre autres Amazon Web Services EC2, Ikoula Cloud Iaas, Google App Engine, l'offre Flexible4Business d'Orange, Cisco, EMC et VMware, IBM Cloud, Microsoft Windows Azure ou encore Infrastructure SI à la demande de SFR, et bien d'autres comme Force.com de Salesforce.com ou les solutions cloud Agarik de Bull et IC2 de Sogeti... Aujourd'hui, la plupart de ces offres reposent sur des architectures assez propriétaires qui peuvent rendre les migrations difficiles en cas de problème ou par exemple un simple changement de fournisseur.

Des organismes peu influents face aux enjeux financiers

La liberté induite par le cloud computing ne doit pas en effet aboutir à une dépendance totale de l'entreprise vis-à-vis du fournisseur de ce service. Le risque est réel...Et pourtant, face à ce constat, des initiatives ont été prises comme par exemple la Distributed Management Task Force (DMTF), l'Open Cloud Consortium ou encore l'Open Cloud Manifesto. Tous ces organismes et associations ont pour but de défendre l'interopérabilité des différentes solutions de cloud via des standards. Ces organismes (on en dénombre plus de 30 dans le monde) comptent généralement de grands noms comme Vmware, Cisco, SAP, EMC, Adobe ou IBM. Mais quel crédit leur accorder ? Les enjeux financiers sont si importants que chacun va défendre ses propres plateformes. Prenons l'exemple d'Amazon avec son offre de cloud computing EC2 qui, de par sa base importante installée, peut se targuer d'être le standard de fait à suivre ...Pour Laurent Letourmy, CEO d'Ysance, le cloud est en phase d'innovation, il faut lui laisser le temps. C'est une révolution, car seul le cloud sait répondre à une montée en charge violente. Laurent Letourmy admet néanmoins qu'une API standardisée faciliterait le transfert des données et des applications d'un cloud à un autre. Dans ce contexte, le cloud computing n'échappera sûrement pas à la guerre des standards. « Ces problèmes d'interopérabilité et de normalisation ne sont pas nouveaux, ils existaient bien avant le cloud. Mais ce dernier a au moins le mérite de soulever ces problématiques dues à une plus grande transparence de la part des fournisseurs ce qui n'était pas le cas avec les hébergeurs et les infogéreurs pour les infrastructures dîtes classiques » conclut  Matthieu Hug, fondateur de RunMyProcess, une plateforme d'interconnexion pour les applications en mode SaaS. Une chose est sûre : outre-Atlantique, on ne se pose pas de questions sur les standards, selon Forrester, les entreprises américaines adoptent massivement le cloud computing et font confiance à leurs fournisseurs. En Europe moins téméraire, le cloud computing passera avant tout par un cloud privé, en quelque sorte une évolution du datacenter des entreprises vers le on-demand.

Dans l'IaaS (Infrastructure as a Service) seul le matériel (serveurs) est dématérialisé. Les clients, sur une simple demande, peuvent démarrer ou arrêter des serveurs virtuels (Linux ou Windows) dans des datacenters, sans avoir à se soucier des machines physiques et des coûts de gestion qui sont liés (remplacement de matériel, climatisation, électricité, etc.). Amazon Web Services avec son architecture EC2, en tant qu'API, est l'un des pionniers du cloud computing au niveau de l'IaaS. De facto, la plate-forme d'Amazon est déjà considérée par certaines entreprises comme un standard. Cela dit, depuis, de nombreuses offres ont émergés (RackSpace, SFR Infrastructure SI à la demande, IBM Cloud, etc...). Mais la crainte autour de ces offres est toujours pour l'entreprise d'être liée à un seul fournisseur et une technologie unique dans l'administration d'un Iaas. « Pour l'entreprise utilisatrice, le choix du Cloud doit être neutre qu'il soit déployé chez Amazon, Rackspace ou chez Bull » précise Stéphane Fermigier, fondateur et chairman de Nuxeo, également président du groupe thématique logiciel libre de Systematic. Pour Gary Chen, analyste à IDC,  le manque de compatibilité entre les différents fournisseurs de cloud freine indirectement l'adoption plus massive de ces technologies. Optimiste, Mathieu Hug, fondateur de RunMyProcess, estime que les API qui permettent d'interagir entre les clouds vont se standardiser...

OpenStack, une offre universelle d'IaaS

Face à ce constat, de nombreux acteurs poussent à plus d'interopérabilité dans le nuage et d'API ouvertes. Comment ? En exploitant les ressources qu'offre l'Open Source. C'est par exemple le cas avec l'américain RackSpace en partenariat avec la Nasa (Plateforme Cloud Nebula), concurrent d'Amazon sur l'IaaS qui ont lancé, l'été dernier OpenStack. « À long terme, OpenStack pourrait s'imposer comme un standard de fait» lance avec confiance Guillaume Plouin, responsable cloud chez Octo. OpenStack qui se veut une alternative aux IaaS propriétaires dont l'EC2 d'Amazon, est un projet Open Source (pile de logiciels libres sous licence Apache 2.0 fonctionnant sous du matériel standard) donnant aux clients les moyens de déplacer des charges de travail d'un prestataire de services cloud à l'autre sans être verrouillé. Rackspace et la NASA ont d'ailleurs des soutiens de poids pour le projet OpenStack. On trouve ainsi AMD, Intel, Dell, Citrix et de dizaines de petites entreprises qui développent des services de gestion de surveillance de cloud et d'autres outils. Même Microsoft se montre intéressé, l'éditeur de Redmond a d'ailleurs noué un partenariat en octobre dernier avec Cloud.com, l'éditeur de solutions de gestion des infrastructures pour qu'OpenStack supporte Windows Server 2008 R2 Hyper-V. Plus récemment, Cisco a annoncé son entrée dans ce projet pour rendre plus facile la configuration de ses commutateurs dans cet environnement. OpenStack n'est pas le seul représentant des offres clouds Open Source. À ses côtés, on compte également d'autres projets comme DeltaCloud de Red Hat ou encore Eucalyptus, une API universelle qui propose aux entreprises de créer leurs propres nuages informatiques (cloud privé), basés sur leur infrastructure informatique. Cette API est intégrée dans Ubuntu Server et Debian, écrit en langage C, Java et Python. Eucalyptus intègre aussi les interfaces de programmation d'Amazon Web Services.

CompatibleOne, des API ouvertes pour un cloud computing made in France

Si les entreprises outre-Atlantique ne ménagent pas leurs efforts pour rendre les clouds computing plus interopérables,  la France montre aussi  un vif intérêt à l'interopérabilité de ces plates-formes qu'elles soient publics, privés ou hybrides. C'est notamment le cas du projet Compatible One initié par les pôles de compétitivité Systematic (Ile de France) et SCS (Solutions communicantes sécurités- pôle situé dans la région Paca) dont l'objectif est de fournir un « cloudware » de type IaaS (et aussi PaaS) 100% open source à faible coût. Compatible One doit donc fournir  les outils technologiques nécessaires visant à faciliter la portabilité d'un nuage à l'autre.

Plusieurs acteurs sont d'ores et déjà séduits par cette initiative, Bull/Agarik, Prologue, Enovance, Mandriva, Nuxeo, l'institut Télécom, l'INRIA, etc.  « Compatible One est un projet sur deux ans, d'un coût total de 10 millions d'euros » précisait, lors de son lancement l'été dernier, Jean-Pierre Laisné, directeur de la stratégie Open Source de Bull et président d'OW2 (association dédiée à l'interopérabilité).

Qu'elles soient européennes ou américaines, toutes ces initiatives autour de l'interopérabilité des IaaS est une préoccupation majeure des entreprises qui pèse dans leur décision d'adopter ou non le cloud computing...

Sur le même sujet :

- Le 25 fév 2011 : L'appel à une norme de log pour le cloud ne fait pas l'unanimité

- Le 26 aout 2010 : Red Hat offre son API cloud comme standard ouvert du marché

- Le 13 avril 2010 : Vers un standard de migration des données pour le cloud

Encadré : Hyper-V, ESX et Xen, les trois « standards » d'hyperviseurs au coeur de l'IaaS

« Si les approches sont différentes entre les différents acteurs de l'Iaas, les équipements physiques et virtuels reposent pour la plupart sur des standard de fait » indique Christophe Delaye, directeur de la BU services hébergés de SFR. En effet,  l'architecture x86 pour le matériel s'est généralisée et concernant les machines virtuelles, Microsoft Hyper-V, Citrix Xen et VMware ESX sont les trois grands acteurs à se partager le marché. L'enjeu est stratégique pour ces trois éditeurs, car la virtualisation est au coeur de l'IaaS. Ce n'est pas un enjeu technique, car il existe, de par les différents accords croisés, une multitude d'outils capables de gérer nativement les machines virtuelles issues des trois protagonistes ainsi que les systèmes d'exploitation. « La portabilité entre les différents hyperviseurs est assez facile à réaliser aujourd'hui, le problème de standard ne se pose plus vraiment, il suffit de manipuler les API » ajoute Laurent Letourmy, CEO d'Ysance. L'enjeu est clairement commercial et dans ce domaine, VMware est pour l'heure le leader incontesté avec une forte part de marché, loin devant Microsoft.

C'est sans doute sur les plateformes de développement PaaS (Plateforme as a Service) que l'interopérabilité est la plus défaillante. Concurrence oblige, Microsoft Azure, Google App Engine, Force.com de Salesforce.com ou encore VMware Spring, tous ces fournisseurs de plateformes veulent imposer leurs propres outils de développement, prélude à un standard de fait. Le PaaS représente l'avenir à moyen terme, car il automatise entièrement le déploiement et la montée en charge. Pour Lionel Laské, directeur innovation chez C2S, la SSII du groupe Bouygues,  Il y a, en tout cas, fort à parier que c'est sur le PaaS que va se jouer la principale bataille du cloud mais il tient à préciser qu'il n'y a pas d'interopérabilité entre les plateformes, on est lié à un seul fournisseur. En effet, le développeur réalise une application pour Windows Azure ou une application pour Google App Engine mais pas une application pour ces deux plates-formes. Google App Engine est limité à Java et Python alors que le développement Windows Azure supporte un plus grand nombre de langages comme Java, mais impose au minimum un lanceur en .NET.

Offensive de VMware face à Microsoft Azure

«Nous allons peut-être assister à une polarité java-.Net » lance Lionel Laské.  Un avis que partage Guillaume Plouin (en illustration principale), responsable Cloud chez Octo qui en dehors de .Net juge la plateforme VMware Spring très en avance sur une pile Java PaaS standard. VMware a même présenté son framework Spring comme le meilleur modèle de programmation pour les développeurs Java dans les entreprises. À tel point que même Google a choisi Spring comme modèle de programmation pour Google App Engine. Rappelons que le framework Spring est né sous la forme d'un projet Open Source pour aider les développeurs à structurer rapidement des applications Java, en particulier pour le web. C'est en 2009 que VMware a racheté la société Spring.

Ruby, un langage qui séduit

Il faudra aussi compter sur la plateforme Force.com de Salesforce.com (surtout utilisée par les éditeurs de logiciels indépendants et les entreprises pour développer des applications métiers transactionnelles), qui s'est récemment enrichie du langage Ruby, de plus en plus répandu. En effet, Salesforces.com a racheté la plateforme Paas d'Heroku, une plateforme qui sert déjà de socle à plus de 100 000 applications. « Ruby possède un gros atout pour le cloud, il permet de développer à moindres frais » souligne Guillaume Plouin. Ce rachat devrait également profiter à VMware dans le cadre du récent partenariat (VMforce) conclu entre SalesForce.com et VMware pour le développement Java (framework Spring) en entreprise.

En conclusion, même si les fournisseurs de PaaS tentent d'imposer leurs outils, le manque de standardisation rend les entreprises, pour l'heure, plutôt méfiantes à en croire nos différents intervenants. C'est surtout vrai pour nos entreprises, car en France, on ne juge que par les standards.

«Pour des raisons de coûts, nous avons migré notre plateforme SaleForce.com vers la solution ZohoCRM et il nous a fallu quatre jours pour l'exécuter » indique Mathieu Hug, fondateur de RunMyProcess dont le métier est d'interconnecter différentes applications SaaS. Le plus important est de récupérer toutes les données. Pour cela, RunMyProcess a utilisé les API fournies avec les solutions SaaS. Ces dernières  facilitent l'interopérabilité entre les applications. « C'est le principe des mashups, couramment utilisé dans le Web 2.0» souligne Guillaume Plouin, responsable de l'offre Cloud chez Octo et, d'ajouter «on assiste dans le SaaS à une standardisation des API permettant la réversibilité des données...». Mathieu Hug tient néanmoins à préciser que certaines applications SaaS ne disposent pas d'API, c'est d'ailleurs souvent des applications spécifiques que l'on retrouve dans les petites et moyennes entreprises. Dans ce cas, on est bloqué. « Effectivement, concernant les applications métiers, les entreprises sont très liées à leur fournisseur, c'est normal, elles ont été créées pour répondre à leurs réels besoins» précise Nicolas Odet, responsable marketing et communication de la SSII Hardis qui met l'accent sur la spécificité et la criticité de certaines applications.

Les API liées aux web services

Les API SaaS utilisent pour la majorité des cas deux formats de services web Rest (REpresentational State Transfer) et Soap (Simple Object Access Protocol). Les web services Soap utilisent le langage XML et permettent de réaliser des échanges entre un client et un serveur via le protocole HTTP. De leur côté, les web services Rest se limitent à l'utilisation du protocole HTTP pour les entrées/sorties. Ils ne sont pas contraints à utiliser XML comme langage et leurs échanges entre le client et le serveur sont moins verbeux que ceux de SOAP, ce qui les rendent plus simples. On le voit, l'existence d'API, et leur complétude fonctionnelle, est donc un vrai enjeu, un critère de choix absolument stratégique.

La gestion des identités en manque de standards

Le manque de standard et d'interopérabilité des applications pose aussi un vrai problème sur la gestion des identités et des mots de passe. Le problème se pose à deux niveaux selon Matthieu Hug (en illustration principale), au niveau des interfaces et au niveau des API.

Pour les interfaces utilisateurs (pages web, etc.), il y a effectivement une standardisation qui se fait autour du protocole SAMLv2 pour le SSO (Single Sign On) et OpenID/oAuth pour la fédération des identités. Un avis que partage Guillaume Plouin. En revanche, au niveau des API, aucun standard n'existe. « C'est un élément très largement oublié ou passé sous silence, mais critique pour une quelconque interaction automatisée » confirme Matthieu Hug. Et d'ajouter « nous proposons dans RunMyProcess un mécanisme de "coffre-fort d'authentification" qui permet de stocker les éléments critiques de l'authentification de manière sécurisée chez nous, lesquels éléments ne peuvent être utilisés que par notre plateforme pour faire appel aux API suivant le mécanisme indiqué par le client ».  Ce n'est certes pas une norme, mais un mécanisme pragmatique, avec une gestion centralisée et sécurisée. On le voit bien, la portabilité des applications inter-cloud est devenue une étape nécessaire pour faire évoluer l'informatique dans le nuage et rassurer de ce fait les décideurs IT dans les entreprises.

Benoit Huet : Existe-t-il des standards de fait dans le Cloud ?

Alphonso Castro : Ma réponse est oui et non, cela dépend à quel niveau on se place. Sur du bas niveau, tout ce qui touche à l'Internet, oui, il y a des standards comme XML par exemple. En revanche, au niveau du PaaS (Platform as a service), il est difficile, aujourd'hui de migrer des données du cloud computing d'Amazon vers notre plateforme Azure. Toutefois, il faut remettre le cloud dans son contexte, en effet, le cloud est encore considéré comme un marché nouveau, chaque acteur peaufine et défend sa stratégie.

Ce manque d'interopérabilité, est-ce un frein pour les entreprises ?

Bien sûr c'est l'un des freins les plus importants. L'informatique dans le nuage étant hétérogène, il est nécessaire de donner plus d'interopérabilité en adoptant plus de standardisation, d'autant que le marché est à maturité. Les entreprises doivent pouvoir consommer des services web à différents endroits. Microsoft travaille sur le long terme à la normalisation... avec des organismes comme l'Afnor pour la France par exemple. Nous avons déjà pris plusieurs initiatives dans ce sens pour améliorer l'interopérabilité.

Quelles sont ces initiatives prises par Microsoft ?

Nous nous sommes résolument engagés dans une démarche volontariste. Par exemple, autour de Linux. Il faut se souvenir qu'en juillet 2009, Microsoft a contribué au noyau Linux avec 20 000 lignes de codes en GPL V2, en collaboration avec la communauté Linux. Aujourd'hui, presque trois ans plus tard, nous avons beaucoup de composants Open Source pour faciliter l'interopérabilité dans le cloud. Déjà, au niveau de l'IaaS, Hyper-V et System Center peuvent virtualiser et administrer du Linux (support de l'Openstack par exemple) et de l'Unix. Sur le PaaS, Microsoft a investi sur l'Open Source pour les développeurs, notre plateforme Azure supporte les technologies Open Source Ruby, Python, PHP ou encore Java, Et, au niveau du SaaS pour les applications bureautiques, nous supportons le format ODF sur Office...et openXML. Nous continuerons nos efforts d'ouverture face à nos concurrents.