“Application Integration” est un ajout récent au catalogue de services de la plateforme Cloud Google (GCP). Il s’agit d’une solution d’iPaaS (Integration Platform as a Service), composée par Google sur la base de ses Services Managés pour offrir des fonctionnalités que nous retrouvons traditionnellement dans les solutions d’intégration pure players (#Boomi #MulesoftAnypoint #Snaplogic, …) (bibliothèque de connecteurs techniques/applicatifs, environnement de développement, mappings, …).
Quelles sont les caractéristiques du service “Application Integration” ?
Sous quelle forme se présente le service et comment s’intègre-t-il avec les autres technologies de la plateforme GCP ?
Interface de la plateforme et modèle de déploiement
La plateforme permet de concevoir graphiquement les flux d’intégration entre applications à l’aide :
des déclencheurs d’un traitement à effectuer (« triggers »),
des opérations de mapping et traitements techniques (« tasks »),
des conditions d’exécution de ces opérations et les contrôles d’embranchements conditionnels (« forks » et « joins »).
“Application Integration” est un service full managé de Google Cloud Platform. Pour l’heure un déploiement en mode hybride ou On-Prem n’est pas possible.
Modèle de facturation par typologies de connecteurs
Le service comprend une bibliothèque de connecteurs technologiques / applicatifs permettant de s’interfacer avec différentes applications, composants de l’écosystème Google ou tiers (progiciels du marché, bases de données open source, systèmes de messaging…).
Ces « Integration Connectors » fonctionnent sur un modèle de paiement à l’usage, selon différentes modalités. Ainsi la facturation s’effectue en fonction des éléments suivants :
Le nombre de nœuds de connexion utilisés
Un connecteur provisionne un nœud à la création d’une connexion, ce dernier va traiter les transactions. Un accroissement du nombre de transactions entraînera ainsi une augmentation du nombre de nœuds provisionnés. Ceci en fonction du nombre de transactions traitées par seconde et de la bande passante réseau utilisée par la connexion
Le nombre de nœuds actifs mesuré par minute sera facturé, et un nœud est facturé pour au moins une minute.
La facturation liée à la provision de nœuds diffère selon 2 catégories de connecteurs :
Les connecteurs pour des services Google (BigQuery, Pub/Sub et Spanner…)
Les deux premiers nœuds de connexion provisionnés sont gratuits.
Chaque nœud suivant est facturé 0,35 $ par heure.
Les connecteurs pour l’interfaçage avec des applications tierces (ServiceNow, Salesforce…)
Chaque nœud est facturé 0,70 $ par heure.
Les quantités de données traitées par les connexions
Les quantité de données mesurées incluent les requêtes et les réponses
L’utilisation gratuite inclut 20 Go de données traités par les connexions par mois
Chaque Go supplémentaire est facturé à 10 $ par Go
La version de connecteur actuellement proposée
Les connecteurs en « Preview », ne comportant pas toutes les fonctionnalités prévues, n’étant pas rattachées à un assistance et un contrat de service, ne sont pas facturés
Les connecteurs en « disponibilité générale », couverts par un contrat de service et incluant une assistance sont facturés à l’usage.
A titre d’exemple, on peut donc distinguer les connecteurs suivants :
AlloyDB, BigQuery ou encore Pub/Sub – pour des services Google et en disponibilité générale
Cloud Storage et Cloud Spanner – pour des services Google et actuellement en Preview
MongoDB, Snowflake, ServiceNow, etc. – pour des applications autres et en disponibilité générale
Zendesk, Splunk ou encore ElasticSearch, etc. – pour des applications autres et en Preview
Intégration avec des outils/environnements de développement tiers
Comme évoqué précédemment, la plateforme fournit une interface graphique pour construire des flux d’intégration en Drag & Drop, mais il est également possible d’intégrer des traitements spécifiques supplémentaires.
Google Cloud Functions est un service de la plateforme GCP permettant de créer des fonctions déclenchées sur évènement.
La « Cloud Function Task » permet d’interagir avec des Cloud Functions crées sur GCP (seul l’environnement d’exécution Python est supporté par le service Application Integration pour l’implémentation des fonctions).
L’exécution de la Cloud Function sera intégrée à la séquence d’exécution du flux d’intégration sur Application Integration.
Automatisation de parties de workflow de développement de flux
Duet AI est un service Google proposant un assistant virtuel, intégré à l’interface d’”Application Integration”. L’assistant est ainsi intégré dans le workflow de développement du flux d’intégration, suggérant un mapping à l’aide d’inputs en langage naturel, sur l’intégration à implémenter :
Inputs : traitements à réaliser, applications source et cible, event qui déclenche une opération, etc.
Outputs :
Production d’un mapping par défaut,
Production de document de spécifications et de cas de test fonctionnels.
En point notable, nous remarquons qu’”Application Integration” est avant toute chose une solution full GCP. Pas d’hybridation, cette modalité d’instanciation à date n’est dévolue qu’à APIGEE dans le catalogue de GCP sur les briques d’intégration.
La solution Apigee est-elle pour autant le point d’entrée unique d’une architecture hybride ? C’est en tout cas l’impression que cela nous donne à date.
Néanmoins, nous saluons l’effort de Google d’aller sur le marché de l’iPaaS, sans offre équivalente sur le marché des clouders Azure / AWS. Ces derniers proposent à ce stade, à couverture fonctionnelle comparable en matière d’intégration, des services / modules distincts plutôt qu’un applicatif packagé (logic apps, lambda, step functions…).
“Application Integration” parviendra-t-il à détourner la clientèle des solutions iPaaS pure players ? Nul doute que les actuels clients GCP s’interrogeront.
L’orchestration des parcours client en omnicanal a vocation à combiner pertinemment l’ensemble des canaux afin d’offrir des points de contact les plus pertinents et impactants pour le client. Cette orchestration s’avère de plus en plus complexe avec la multiplication des canaux et l’évolution rapide des usages des clients.
Dès lors,
Quelles sont les attentes des clients et les enjeux pour les entreprises en termes d’expérience client ?
Comment se défaire d’une vision silotée sur les parcours (acquisition, fidélisation, achat, service client) ?
Comment acquérir une bonne connaissance client pour une expérience client optimale ?
Comment parvenir à orchestrer efficacement ses parcours client en omnicanal?
Rhapsodies Conseil, Mercatel, la FEVAD, Retail Tech et Scal-e vous invitent le 12 décembre à échanger avec leurs experts.
Au programme
Une table ronde animée par Charlotte PAGOT, Chef de Projet de Mercatel sur les sujets suivants:
Panorama des tendances Retail par Mike Hadjadj Co-Initiateur de la Retail Tech
Les nouveaux challenges de l’expérience client et les enjeux liés à l’orchestration des parcours : Hajer LAGHA et Bruno TARDY (Rhapsodies Conseil)
Une solution possible à l’orchestration des parcours client en omnicanal : la CDP – Hajer Lagha et Bruno Tardy (Rhapsodies Conseil), Christophe Alves et Matthieu Villain de (Scal-e)
Une illustration avec des cas d’usage concrets (Vue clienteling et parcours paiement simplifié, marketing distribué) – Christophe Alves et Matthieu Villain de (Scal-e)
Lors d’une transformation, il convient de faire un arrêt sur image pertinent afin d’identifier toutes les conséquences des changements/impacts sur les collaborateurs, processus, métiers, autres projets en cours, etc.
Il existe plusieurs méthodes dans cette phase d’évaluation cherchant les impacts sur le SI, les données, les outils, la sécurité, l’organisation, le management, les processus, la sécurité. La plupart ont pour objectif de mieux comprendre les conséquences du changement sur les collaborateurs, afin de les accompagner efficacement en minimisant l’impact sur leur efficience.
La matrice OMOC est un outil servant à évaluer les impacts de changement ; il s’apparente à l’analyse d’impacts, effectuée après la mise en œuvre des changements. Les transformations sont la conséquence d’orientation stratégique, l’OMOC vient par conséquent évaluer la pertinence de la stratégie mise en œuvre.
Comment évaluer si la stratégie est la bonne ?
Il suffit de s’intéresser :
Aux Hommes (compétences, style de management, leviers de motivation),
Aux systèmes (SI, gouvernance, animations, décisions),
À la culture d’entreprise (valeurs, croyances, normes),
Ainsi qu’à sa structure (organisation du travail, métiers, processus).
Et alors l’OMOC ? Quésaco ?
La matrice désigne les 4 axes suivants :
O pour Outils, ou l’ensemble des instruments (systèmes d’information, machines, etc.) utilisés par le collaborateur dans son travail,
M pour Métier, ou l’ensemble des tâches et responsabilités, mais aussi domaines de compétence du collaborateur,
O pour Organisation, ou l’ensemble des processus et procédures, relations managériales et interfaces avec les autres métiers du collaborateur,
C pour Culture ou l’ensemble des valeurs et croyances liées à l’entreprise.
Comment l’utiliser ?
L’analyse des impacts par population se déroule en 4 étapes :
Identifier et caractériser les différentes populations concernées,
Qualifier la nature des impacts par population identifiée,
Évaluer l’intensité de ces impacts,
Créer une synthèse des impacts par population (nous y retrouvons l’OMOC ici).
L’OMOC permet d’avoir une vue systémique du changement, quel qu’il soit. Il s’utilise généralement dans le cadre d’ateliers regroupant les référents des principaux métiers impactés par le changement. On peut par exemple placer l’exercice OMOC à la fin d’un atelier de définition des nouvelles procédures post-changement, ce qui permet aux collaborateurs de se projeter dans la situation cible et donc d’évaluer plus objectivement l’impact du changement.
Chacun des axes est analysé et noté sur une grille de 1 (impact le plus faible) à 4 (impact le plus fort). Le résultat est généralement présenté sous forme de cible (voir exemple ci-dessous), ce qui permet de visualiser rapidement le degré d’impact sur chacun des métiers.
Quelle est la finalité de l’OMOC ?
De ce fait, l’analyse va permettre selon ces 4 axes, de noter et prioriser les axes d’accompagnement de conduite du changement (stratégie de communication, formation, accompagnement). Ainsi, au-delà d’impliquer les collaborateurs en leur donnant un espace d’expression, l’OMOC permet par les résultats de son analyse de construire des plans de communication et formation adaptés aux différentes attentes, elle est quantifiable et facilement diffusable, ce qui permet de garantir de bons indicateurs de suivi.
Et si nous prenions un cas concret ?
Allez soyons fou, pourquoi pas faire une analogie sur un personnage que tout le monde connaît … Je veux bien sûr parler d’Harry Potter, dans le premier film « l’École des Sorciers ».
Petit résumé du premier opus pour ceux qui ne l’auraient pas vu (et je tiens à le dire, c’est une honte) : « Harry Potter, jeune orphelin, a été élevé par son oncle et sa tante dans des conditions hostiles. À l’âge de onze ans, un demi-géant nommé Rubeus Hagrid lui apprend qu’il possède des pouvoirs magiques et que ses parents ont été assassinés, des années auparavant, par le mage noir Lord Voldemort.
Ce dernier avait également essayé de tuer Harry alors qu’il était un bébé, mais le sort a rebondi. En fréquentant pour la première fois le monde des sorciers, accompagné par Hagrid, Harry découvre qu’il y est très célèbre. Il entame sa première année d’études à l’école de sorcellerie Poudlard, où il apprend à maîtriser la magie aux côtés de ses deux nouveaux amis Ron Weasley et Hermione Granger. Au cours de l’année, le trio se trouve impliqué dans le mystère de la pierre philosophale, gardée au sein de l’école et convoitée par un inconnu qu’ils cherchent à démasquer. Ce dernier se révèle être Voldemort, qui habite le corps du professeur Quirrell » (merci Wikipédia).
Dans le monde des sorciers d’Harry Potter, les transformations ne sont pas rares, et tout comme en entreprise, évaluer leurs impacts est essentiel. C’est ici que l’OMOC (Outils, Métier, Organisation, Culture) peut jouer un rôle fascinant. En appliquant cette matrice à l’école de sorcellerie Poudlard, nous pouvons explorer comment chaque aspect de cette institution magique interagit avec les changements et évolue. Reprenons maintenant nos 4 axes et évaluons ensemble les impacts du changement chez Harry Potter :
Outils
Le Pouvoir de la Magie au Quotidien Clairement, ici, Harry Potter ne sait pas se servir d’une baguette magique ou d’un balai volant. Il ne connaît absolument aucun des outils (cf la scène des courses de fournitures scolaires avec Hagrid et l’étonnement d’Harry face à tous les objets dont il a besoin (chaudron, plumes (oui oui, on passe du BIC à la plume). Nous évaluons l’impact des changements sur les outils d’Harry à 4.
Métier
L’apprentissage au cœur de PoudlardLes élèves de Poudlard sont exposés à un large éventail de matières magiques, chacune avec ses propres compétences et défis. Les matières étudiées sont variées : Potions, Sortilèges, Métamorphose, Défense contre les Forces du Mal, Histoire de la Magie, Astronomie et Botanique. Harry Potter ne connaissant même pas l’univers des sorciers ne peut qu’être surpris et apprendre toutes les facettes de ce monde, nouveau pour lui. Nous évaluons l’impact des changements sur le métier d’Harry à 4.
Organisation
Le monde des maisons et des enseignementsLe système des maisons à Poudlard crée un sentiment d’appartenance et d’identité pour les élèves. Le mode de sélection des maisons est intéressant avec le Choixpeau, bien que le souhait de l’élève soit pris en compte. C’est d’ailleurs le cas d’Harry Potter qui craint de finir chez les Serpentards. En termes d’organisation, nous constatons ici que notre protagoniste a du mal à s’habituer à l’organisation, il déroge très souvent, si ce n’est, tout le temps au cadre de référence. Par exemple, il fait perdre plusieurs points à sa maison à force de ne pas respecter les règles de l’école. Il suit le troll, va dans la section de la bibliothèque qui est interdite. Toutefois, cela fait partie du caractère de Harry, l’environnement est nouveau mais il connaît déjà la discipline. Par conséquent, nous évaluons l’impact des changements sur l’organisation d’Harry à 2.
Culture
Les valeurs magiques de PoudlardLa culture de Poudlard est tissée de valeurs telles que le courage, l’amitié et l’acceptation. Harry rencontre de nouvelles personnes. Il s’entoure de deux nouveaux amis, et leurs portraits sont intéressants : Hermione, « l’intello » quipourrait représenter l’arrivée de jeunes diplômés en entreprise, plein d’ambition, il excelle en théorie. Ron, lui, n’est ni pratique ni théorique mais il détient la connaissance empirique du terrain et de l’évolution des mœurs, il a grandi dans une famille de sorciers. Harry ne s’est pas fait que des amis, il fait face à son adversaire, Draco Malfoy, détenteur de la connaissance historique et réformatrice du monde des sorciers. Harry apprend les valeurs fondamentales de ce nouveau monde mais le fait également bouger du fait de ses propres valeurs. Nous évaluons l’impact des changements sur la culture d’Harry à 4.
L’OMOC à Poudlard : L’art de l’évaluation magique
L’application de l’OMOC à Harry Potter nous offre un regard unique sur la manière dont chaque aspect de l’école – les outils magiques, les matières d’études, le système des maisons et la culture – réagit aux changements. Tout comme les sorciers et sorcières utilisent la magie pour naviguer dans leur monde, l’OMOC peut être utilisé pour naviguer dans les défis des changements. En évaluant comment ces quatre axes interagissent et réagissent, l’OMOC peut fournir un aperçu plus clair des conséquences potentielles des transformations à Poudlard.
Néanmoins, l’ensemble de tous ces bouleversements n’empêche pas Harry Potter de monter en compétence très rapidement et notamment de faire partie de l’équipe de Quidditch (talent inné pour être attrapeur de Gryffondor). Il est l’antithèse de la résistance aux changements, et pourtant, comme nous avons pu le voir, il ne respecte pas les règles de l’organisation, en revanche il détient le soutien de Dumbledore, directeur de l’école des sorciers Poudlard, et pour cela, il garde en tête une stratégie commune avec le directeur, une stratégie difficilement communicable à l’organisation. N’est-ce pas là, la clé d’une stratégie réussie ? Un alignement décloisonné.
L’OMOC – La Clé de la Réussite Magique des Changements
Donc, en conclusion, Harry Potter s’adapte très bien aux changements !
L’OMOC d’Harry Potter dans l’école des sorciers nous permet de mettre en évidence l’ampleur des changements auxquels le personnage fait face. L’ensemble de l’entourage d’Harry Potter l’accompagne dans ces changements, ils le forment, lui expliquent les informations aussi tacites qu’implicites. Le changement radical du monde de vie d’Harry lui permet de se retrouver une « maison » en sécurité. En termes de matrice, des changements aussi radicaux sont rarement constatés. Toutefois, s’ils doivent apparaître, les conséquences s’avèrent le plus souvent tout aussi positives que ce que nous avons constaté pour Harry. Or, l’accompagnement est plus important, le collectif est engagé et aligné, mais le risque reste élevé. Quel défi pour les entreprises !
L’OMOC est trop peu souvent utilisé en entreprise, remplacé par l’analyse d’impacts, ce qui est dommage puisqu’il s’agit d’une évaluation chiffrée, livrable rare en conduite du changement. Associé à l’analyse d’impacts, il permet de suivre dans le temps d’un coup d’œil l’adaptation du terrain aux changements passés ou en cours : idéal pour un reporting en COPIL ou en CODIR.
À Poudlard, comme en entreprise, l’OMOC offre une perspective globale pour évaluer les impacts des transformations. En considérant les outils, les métiers, l’organisation et la culture, nous pouvons anticiper les effets des changements et prendre des décisions plus éclairées. Tout comme Harry Potter s’est adapté aux changements et a grandi en compétences, les organisations peuvent utiliser l’OMOC pour naviguer avec succès à travers les défis et les opportunités du changement constant. Avis à tous les utilisateurs d’OMOC, plus les impacts sont faibles, plus c’est curieux, il serait intéressant de fouiller un peu plus loins pour confirmer ces chiffres.
Dans un monde où l’innovation est un facteur clef de Création et de développement des entreprises, reviennent deux questions : « Comment innover ? », et « Quelle sera la prochaine innovation ? ». Les sujets tels que le machine learning ou les plateformes data sont des incontournables de la décennie, mais des entreprises se lançant sur ces sujets sont parfois confrontées à des freins fondamentaux, faute de s’être posées la question suivante : « Quels sont les prérequis à l’innovation ? ».
Si l’innovation s’entend aujourd’hui quasi-exclusivement dans le cadre du numérique, il est important de se rappeler qu’elle existe depuis que l’humanité a commencé à développer des concepts technologiques, et ce, dans tous les domaines. Et dans ces 6000 ans d’Histoire, on peut trouver des exemples aux résonances contemporaines : des sociétés sont passées à côté d’innovations majeures pourtant à leur portée. Les freins innovatifs fondamentaux ne sont pas récents…
L’histoire de la brouette chinoise
Quoi de plus banal qu’une brouette : ce n’est qu’une plateforme avec des roues, permettant de transporter des charges d’un point A à un point B. C’est encore utilisé de nos jours, que ce soit dans le BTP, ou pour faire son potager. L’évidence de son usage, et sa simplicité de conception nous feraient croire que les brouettes ont toujours existé.
En Europe, les premières traces écrites relevant l’utilisation de brouettes datent d’il y a mille ans. Et, matériaux et détails de proportions mis à part, elles sont en tous points semblables à nos brouettes contemporaines.
En Chine, les choses sont différentes. Les brouettes apparaissent bien plus tôt, et elles ont rapidement évoluées (IIIème siècle après JC) vers une conception différente, bien plus efficace : la roue est placée de manière centrale sous la plateforme de charge. 1
Le poids est bien mieux réparti, et à charge égale, l’opérateur dépense bien moins d’énergie. Compte tenu de la fréquence d’utilisation de cet objet, sur une période aussi longue qu’un millénaire, le gain collectif en productivité est incalculable mais doit être phénoménal. Mais ils ne se sont pas arrêtés là ! Dès le XVIème siècle, des explorateurs et marchands européens rapportent, stupéfaits, la description de brouettes à voile2. L’énergie éolienne est utilisée pour faciliter le transport terrestre, les Chinois sont donc capables de transporter, sur de longues distances et à faible effort, des charges importantes.
Brouette chinoise vs Brouette européenne, pourquoi un tel écart d’innovation ?
Une question semble évidente : pourquoi les Européens, également en recherche d’efficacité, et par ailleurs capables théoriquement d’appréhender ce concept (comme les trébuchets, inventés au XIIème siècle, sont bien plus complexes que ces brouettes en termes de compréhension et d’application de la physique), ne sont pas arrivés aux mêmes conclusions technologiques que les Chinois ?
L’hypothèse seule de la force des habitudes semble trop générique et supporte mal l’effort du temps. Ce frein culturel est réel, mais des dizaines de générations successives auraient dû en venir à bout. On peut proposer, parmi d’autres (modèle agraire, rapport culturel aux déplacements…), une hypothèse portée par le concept de « Dette d’infrastructure« .
L’innovation requiert autant l’intelligence et la capacité de réalisation que le contexte lui permettant d’exister. Cet exemple de la brouette chinoise met en lumière un défaut fondamental d’infrastructure de l’Europe médiévale par rapport à la Chine. Le gain en masse déplaçable (grâce à l’emplacement central de la roue), puis en distance parcourable (grâce à la voile) nécessite d’avoir des routes suffisamment solides pour accepter ce surplus de charge, et suffisamment longues pour que la volonté de parcourir de longues distances ait du sens. Or, jusqu’à la révolution industrielle, le point culminant du réseau routier européen a été atteint lors de l’Empire Romain. Réseau caractérisé par deux aspects : peu de dessertes “locales” et une infrastructure très lourde, potentiellement plus durable mais nécessitant des travaux d’entretiens massifs. Or, la chute de l’empire a marqué la fin des programmes d’entretiens, et de constructions de nouvelles routes. Le réseau chinois se basait, lui, sur un maillage local plus dense, et sur des infrastructures plus légères, et les dynasties continentales successives ont permis la pérennité d’une administration capable de garantir un entretien au long cours. 3
On se rend alors compte, qu’avant même d’avoir l’idée nécessaire pour développer une brouette performante, il eut été nécessaire de maintenir l’infrastructure routière en bon état, et qu’une amélioration potentielle des brouettes seule ne peut être un motif raisonnable et suffisant pour remettre à niveau l’infrastructure.
Les conclusions modernes liées à la gouvernance des données
Cet exemple historique peut sûrement être extrapolé par chacun dans son appréhension du secteur du numérique. Qu’il s’agisse d’infrastructure technique, logicielle, ou également de capital humain (Formation, culture d’entreprise), maintenir un haut niveau sur ce « fond » permet de saisir les progrès ponctuels que constituent les ruptures technologiques et innovantes.
Une entreprise peut rencontrer des difficultés à créer des modèles de machine learning pertinents, de la BI qualitative, ou encore une plateforme data ne se transformant pas en capharnaüm désorganisé, sans que cela soit du à des manques de compétences sur le projet, mais à cause des défauts structurels du patrimoine de données et d’une gouvernance défaillante ou inexistante. La temporalité longue de cet exemple nous renvoie aussi à l’approche de l’acquisition des compétences et des bonnes pratiques : préférer des formations et des acquis durables, réguliers, plutôt que des actions « coup de poing » permettant de répondre à un besoin dans la précipitation. Ou encore, privilégier l’agilité et la durabilité dans les infrastructures.
Plutôt que d’être réactive aux tendances, l’entreprise profondément innovante saura maintenir un haut niveau d’infrastructure, afin de pouvoir accueillir le plus facilement possible la prochaine brique innovante. Tout comme les brouettes, les applicatifs finaux que sont les modèles de ML, la BI, ne sont que des appendices portés par une infrastructure dont la qualité est déterminante, qu’il s’agisse d’un réseau routier, ou d’un patrimoine de données. Et pour garantir la vision stratégique de cette infrastructure, une autorité transverse durable est nécessaire, qu’il s’agisse d’un empire ou d’un Data Office.
2 van Braam Houckgeest, A.E. (1797). Voyage de l’ambassade de la Compagnie des Indes Orientales hollandaises vers l’empereur de la Chine, dans les années 1794 et 1795.3 https://www.landesgeschichte.uni-goettingen.de/roads/viabundus/the-dark-ages-of-the-roman-roads/
La question peut paraître saugrenue, car nous sommes habitués à dire que ce sont les chinois qui nous copient, et qu’en termes de libertés individuelles la Chine n’est pas nécessairement un modèle souhaité en France. Néanmoins, la Chine pense sur le temps long, avec une accumulation de plans quinquennaux qui au final peuvent s’étaler sur plus de 10 ans. Et le sujet de leur souveraineté numérique au sens large en fait clairement partie.
Pour revenir au sujet du cloud souverain, il est clairement d’actualité, avec l’amendement du député Philippe Latombe qui a été accepté, obligeant les opérateurs d’importance vitale pour la France à utiliser du cloud souverain plutôt que non souverain.
Mais avant de se comparer à la Chine, revenons aux basiques en retournant à l’étymologie du mot « souveraineté ».
Source : Pexels – Kevin Paster
La souveraineté, une proposition de définition.
Étymologiquement, et dans son sens premier, est souverain celui qui est au-dessus, qui est d’une autorité suprême.
Cela s’applique ainsi logiquement à un État, qui lui-même est chargé de défendre les intérêts français, que l’on parle de citoyens mais aussi d’entreprises. Citoyens, qui expriment leur souveraineté populaire (au sens rousseauiste du terme) dans le cadre d’élections.
Mais appliquons cela à ce qu’on entend alors par “cloud souverain”.
Ainsi, en déclinant cette idée de souveraineté au cloud, dont les clients potentiels sont l’état, les entreprises, les individus, il s’agit de placer l’état en garant des intérêts des citoyens et des entreprises, qui se mettent sous la coupe des lois françaises, lois assumés par tous par le mécanisme de souveraineté populaire.
Source : Pixabay – The DigitalArtist
Le cloud souverain, une proposition de liste de principes.
Dis comme ça, cela reste flou. Alors soyons plus pratico-pratiques :
Ni l’état, ni les entreprises, ni les citoyens ne souhaitent se faire espionner par une force étrangère, ou par des intérêts privés. Bonjour Edward Snowden.
Tout le monde souhaite que ses données privées, le restent. Bonjour les GAFAM. Bonjour Edward Snowden.
L’état, les citoyens, les entreprises souhaitent que les comportements délictueux exercés en France soient jugés en France. Bonjour les GAFAM. Bonjour Edward Snowden. Bonjour l’état de droit.
L’état, les citoyens, les entreprises souhaitent pouvoir avoir un accès sans soucis à un cloud sécurisé. Bonjour la liberté.
Une réalité éloignée de ces principes
Or, un certain nombre de points ne correspondent pas avec les acteurs étrangers.
Espionnage : Le Patriot act et le FISA, sont très clairs à ce sujet. Si votre clouder est américain, le piratage est légal et assumé. J’omets le Cloud Act, qui à mes yeux relève du « blanchiment » juridique.
Confidentialité : De même, les données considérées comme “privées” peuvent ainsi être récupérées. Sans compter les cookies traceurs et https://www.lebigdata.fr/donnees-anonymes-cnil-data-brokers). Et si vous ajoutez le fait que les protocoles “Internet” qui n’ont pas été créés comme sécurisés. Des palliatifs existent comme par exemple pour le protocole DNS (Protocoles DOH et DOT, DnsCrypt). Néanmoins, l’utilisation de HTTPS ne vous cache pas. Si vous allez sur https://siteinavouable.com, l’information que vous vous y connecter passe en clair, lors du handshake SSL. Il faudrait pour éviter cela que l’extension TLS d’”Encrypted Client Hello” soit généralisée.
Souveraineté aux yeux de la loi : L’extra territorialité des lois américaines n’est plus à prouver. Demandez à Frédéric Pierucci son avis.
Sécurisation : Et si nous passons tous par des routeurs fabriqués par des entreprises américaines, avec des ordinateurs utilisant des processeurs américains, avec un bios contenant des binaires américains pour les craintes, et pour un premier aperçu des possibilités, et le tout sur un système d’exploitation américain, la probabilité que des failles et autres backdoors “connues” seulement des américains existent n’est pas nulle. Et passons sur le simple fait que le trafic internet de votre tante vivant à Nice, se connectant à un site web hébergé à Strasbourg, ne va pas nécessairement longer les frontières françaises tel le nuage de Tchernobyl, laissant ainsi des « portes » d’écoute.
Alors quelle est la réponse de la Chine face à ces enjeux?
Espionnage : Mise en place d’un Great Firewall, perfectible par rapport à ses objectifs mais qui ne facilite pas le travail d’un espion étranger. Ecosystème “Chinese Only”, où aucune société américaine n’opère directement en chine (Voir Salesforce, Azure, Aws), mais par des intermédiaires 100% chinois.
Confidentialité : Pas le soucis majeur des chinois. Vous n’avez rien à cacher à l’état chinois, pas même vos secrets intimes.
Souveraineté aux yeux de la loi : Le fait de devoir passer par un intermédiaire chinois bloque les lois extra-territoriales américaines. Par exemple la société chinoise 21Vianet achète les “logiciels Azure” de Microsoft, pour après revendre de l’Azure en chine. Et comme dans la pratique l’état chinois a accès à tous les serveurs, c’est tout de suite plus pratique pour faire appliquerdes lois, et un “REX” extra-territorial sur TikTok : REX que votre serviteur avait précédemment pressenti.
Sécurisation : Le great firewall aide, transforme l’Internet Chinois en un quasi Intranet, mais n’est pas le seul vecteur de sécurisation. Comme énuméré précédemment, les vecteurs d’attaques sont :
Système d’exploitation : Diverses distributions linux chinoises, existence d’un linux fait par alibaba cloud
Serveur : Lenovo qu’on ne présente plus. De toute manière les fabricants étrangers ne sont pas les bienvenus.
Une utopie réaliste
Par rapport à cette liste à la Prévert, je n’invite pas à restreindre les libertés publiques mais à avoir une politique numérique très ambitieuse. Impossible n’est pas français comme je l’entendais dire dans ma jeunesse, et oui, un autre modèle est imaginable :
Espionnage : Renforcement très fort de l’ANSSI, pour aider encore plus les entreprises à se sécuriser, mais aussi pour sensibiliser. Promotion voir obligation d’utilisation de protocoles et de systèmes sécurisés, Travaux de recherche pour une sécurisation pour tous. Sécurisation des réseaux, y compris télécom afin d’éviter d’être géo-localisable par n’importe quelle agence étatique
Confidentialité : Interdiction des cookies traceurs. Généralisation des protocoles sécurisés. Amendes plus fortes et prisons en cas de négligence de confidentialité, voir de sécurité
Souveraineté aux yeux de la loi : Promotion du SecNumCloud et challenge perpétuelle de sa définition (ce qui est déjà le cas au vu des versions). Aides aux entreprises souhaitant passer la certification. Obligation pour l’état et les organismes d’importance vitales de passer par des clouders de droit et d’actionnariat français (bonjour les OIV)
Sécurisation :
Réseau : Promotion des acteurs français comme Stormshield, certifications de sécurité pour les acteurs qui communiquent leurs codes sources qui seront audités
Processeurs :
Fabrication dans un premier temps de processeurs sous license ARM (contenant quand même des brevets américains https://www.phonandroid.com/huawei-annonce-son-independance-aux-technologies-americaines-pour-2021.html) par une entreprise de droit français ou européen (ST MicroElectronics)
Travaux de recherche sur les plateformes Open Source RISC-V et Open Power et fonds d’investissement pour des startups
Système d’exploitation : Promotion et investissement sur la distribution linux française CLIP-OS, développé par l’ANSSI
Serveur : En soit un serveur consiste en une simple intégration de composants, qu’OVH fait lui même. Concernant le bios, avec un processeur français le problème sera directement résolu. Enfin concevoir des cartes mères n’est pas la chose la plus complexe (Si un ingénieur est capable d’en concevoir en solo…
Plus qu’un cloud souverain, un Internet de la confiance
Comme on peut le voir, je prends le contre pied de la Chine sur la vie privée et la confidentialité, et je cherche à démontrer que l’effort technologique n’est pas un mur infranchissable.
L’effort pour les DSI, RSSI, architectes, consiste à sensibiliser, mais aussi à promouvoir l’usage de solutions et de clouders certifiés secNumCloud, qui soient bien de droit français. La liste est régulièrement mise à jour.
Et oui, il faut « franciser » son SI. Et/où l' »open-sourcer ».
Sur le sujet de la sécurisation pour tous, être contre c’est être pour que n’importe qui dans la vie réelle puisse écouter ce que vous dites. On me rétorquera que la collecte d’adresse IP est nécessaire pour la lutte contre le harcèlement en ligne par exemple… Alors renforçons les pouvoirs et les moyens de la CNIL. Exigeons de nouvelles certifications plus sévères et plus contraignantes. Ce sujet de collecte d’ip pour des crimes graves (https://twitter.com/laquadrature/status/1658012087447085056) peut être la limite acceptable et contrôlable de notre vie privée et de notre sécurité. Car être contre notre sécurité et notre vie privée c’est être contre la protection de nos intérêts vitaux et économiques (https://twitter.com/amnestyfrance/status/1658449051296186369). La liberté individuelle et la liberté d’entreprendre sont ici parfaitement compatibles, elles vont même de pair. Croire l’inverse, c’est laisser la porte ouverte à tous vents, aux inconnus, aux belligérants. Et nous devons tous comprendre qu’il en va de l’intérêt général.
Qu’en est-il aujourd’hui, le GraphQL est-il réellement une alternative concrète aux APIs standard ?
Mais déjà, qu’est-ce que le GraphQL ?
Le GraphQL se définit par la mise à disposition d’une interface de “requêtage” qui s’appuie sur les mêmes technologies d’intégration / les mêmes protocoles utilisée par les API REST.
Ici, nous restons sur le protocole HTTP et par un payload de retour (préférablement au format JSON) mais la différence principale du GraphQL, pour le client, repose sur le contrat d’interface.
Le contrat d’interface façon GraphQL devient variable, tout comme la réponse. En effet, dans la requête nous pouvons spécifier ce que nous souhaitons recevoir exactement dans la réponse.
Nous mettons ainsi le doigt sur un gros avantage de cette interface GraphQL qui, par essence, va grandement diminuer le “overfetching et le “underfetching” (comprendre ici le fait de récupérer trop peu ou au contraire trop d’informations jugées inutiles dans le contexte) d’API
Autre avantage, ce besoin en données spécifiques pourra être différent à chaque appel et donc permettre une grande flexibilité d’usages à moindre effort.
Le GraphQL s’est fait sa place !
A l’époque de l’écriture de notre premier article, le GraphQL commençait à s’introduire dans certains cas d’usage, très souvent en mode POC et découverte, avec un concept attrayant mais sans preuve réelle de plus value.
Aujourd’hui nous observons une vraie adhésion à ce nouveau mode d’interfaçage, bien que nous en constatons encore des points d’amélioration.
Ce qui est intéressant à remarquer est qu’il se développe sur des métiers très variés. Non seulement au niveau des éditeurs de logiciels mais également dans le cadre de développements spécifiques, de plateformes dédiées.
Les usages à date : quelques exemples
Netflix, qui utilise le GraphQL pour unifier les accès aux différentes APIs.
Dans le retail, Zalando, pour récupérer les informations sur les différents produits et pour gérer les consentements.
MonEspaceSanté, le service lancé par l’ANS en début d’année, et qui effectue de requêtes GraphQL à partir du navigateur.
Le GraphQL comme réponse à un besoin d’uniformisation ?
Avant la naissance du GraphQL, le besoin d’uniformisation de ce type d’interaction était dans la ligne de mire de certains acteurs. Aujourd’hui le GraphQL peut apporter une réponse concrète et standardisée à ces problématiques.
Deux exemples d’envergure :
Microsoft : Microsoft a par le passé essayé de fournir des APIs “flexibles” pour adresser certains cas d’usage. Cette tentative s’est matérialisée par la création de l’OData et de l’API Microsoft Graph.
Ne vous trompez pas, l’objectif reste similaire mais l’approche est, à ce stade, différente. Dans une logique d’uniformisation et standardisation, nous voyons difficilement Microsoft s’affranchir d’une réflexion autour du GraphQL pour atteindre ces objectifs.
Salesforce : Salesforce propose également depuis plusieurs années, une API bas niveau qui pourrait, par ses caractéristiques et son besoin de flexibilité, être adaptée à la technologie GraphQL.
Constat actuel sur les usages du GraphQL
Quand nous regardons les cas d’utilisation de GraphQL, nous pouvons constater qu’il est majoritairement utilisé côté Front-end.
En lien avec ce cas d’utilisation, nous observons également que le GraphQL est souvent vu comme un agrégateur d’API, et pas comme un moyen de requêtage directement lié à une vision pure données.
Mais pourquoi ce type d’usage ?
Nous listons trois arguments principaux pour expliquer la prédominance de ce type de cas d’usage.
La restitution de format est très adaptée au monde du web : une réponse simple, toujours vraie et personnalisable ; le protocole HTTP et des concepts proches des APIs REST, le GraphQL s’adapte très bien aux couches front.
Chaque API derrière GraphQL gère son propre périmètre, si nous faisons la correspondance avec les architectures DDD (Domain-Driven Design), nous pouvons affirmer que l’API bas niveau adresse un domaine particulier, alors que le GraphQL est là pour pouvoir “mixer” ces différents concepts et donner une vision un peu plus flexible et adaptée à chaque cas d’usage. Dans ce cas nous allons faire de l’overfetching sur les couches bas niveaux, et faire un focus utilisation au niveau de la partie frontale.
Le cache, éternelle question autour du GraphQL. Dans ce cas d’usage le cache reste possible au niveau des APIs de bas niveau, qui iront donc moins solliciter les bases de données, alors que sur la couche GraphQL, de par sa variabilité de réponse, nous en avons peut-être moins besoin. Pour rappel, le cache sur une requête GraphQL, bien que possible, devient naturellement plus complexe à gérer et donc perd un peu de son intérêt.
Pourquoi ne faut-il pas limiter le GraphQL à ces usages ?
Pour nous, c’est notre conviction, le GraphQL a de nombreux atouts et doit se développer sur ces usages de prédilection, mais pas que !
UN ARGUMENTAIRE FORT : L’ACCÉLÉRATION DE LA CONCEPTION !
Un des grands atouts de la mise en place d’une API GraphQL reste le côté, si vous m’autorisez le terme, “parfois pénible” de la définition des API Rest : des discussions infinies entre le métier et l’informatique pour définir ce dont nous avons besoin, le découpage, etc.
Une API GraphQL par définition n’a pas une structure ou un périmètre de données définis, mais s’adapte à son utilisateur.
Le GraphQL comme moyen d’accélérer les développements ?
Une évolution de l’API bas niveau n’est plus nécessaire pour satisfaire le front
Un accès unifié aux données par un seul endpoint, sans forcément aller chercher dans les différentes APIs / applications
Tout en exploitant la logique de cache car le front end ne change pas
Et en plus des évolutions dans la gestion des caches permettent aujourd’hui de mettre en cache les données GraphQL
UNE DISTINCTION CLAIRE : ATTENTION AUX CAS D’USAGE !
Nous ne visons certainement pas tous les cas d’usages, mais l’objectif ici est de casser un peu certains mythes.
Si utiliser des mutations (en gros l’équivalent de l’écriture) intriquées, nous l’avouons, peut être très complexe, dans les cas de requêtage de bases de données ayant comme objectif principal l’exposition en consultation, nous disons “pourquoi pas !”.
Vous auriez probablement reconnu le pattern CQRS, avec, par exemple, une Vision 360 Client qui expose les informations avec une API GraphQL.
CÔTÉ TECHNIQUE
Les améliorations dans la gestion des caches, ces dernières années, permettent de gérer ce sujet, tout en restant plus complexe qu’avec une API REST standard.
Attention aux autorisations
Nous n’allons pas nous attarder sur ce sujet, que nous avons déjà traité dans notre précédent article (que nous vous invitons à parcourir ici), mais nous souhaitons le rappeler car il est crucial et extrêmement critique.
Si nous souhaitons traiter les sujets d’accès à la donnée avec une API GraphQL, une logique RBAC avec rôles et droits définis au niveau de la donnée (matrice d’habilitations rôles / droits proche de la donnée elle même) nous semble à ce stade la meilleure solution : N’AUTORISONS PAS L’ACCÈS UNIQUEMENT AU NIVEAU DE L’API, MAIS ALLONS AU NIVEAU DATA !
Conclusion
La technologie continue de s’affirmer, un standard semble se définir et s’étoffe de plus en plus. Dans un monde API qui se complexifie de jour en jour, les enjeux autour de la rationalisation et de l’optimisation des usages API restent au cœur des débats sans pour autant trouver de solution directe et efficace via la technologie REST. Et c’est encore plus vrai quand le besoin de base n’est pas clairement défini…
Le dynamisme apporté par le GraphQL, dans certains cas de figure, permet de simplifier ces discussions en apportant des réponses cohérentes avec le besoin.
Ce n’est pas une solution magique faite pour tous les usages, mais une réelle alternative à considérer dans les conceptions API.
Et vous ? Avez-vous pris en considération cette alternative pour vos réflexions API ?
Ne vous en faites pas, il n’est pas trop tard, parlons-en, ce qui ressortira de nos discussions pourrait vous surprendre.
