L'ordre de redémarrage, ce livrable oublié
Le problème
Une organisation restaure ses machines virtuelles dans l'ordre de leur criticité métier. L'application la plus critique démarre en premier — et échoue, parce que l'annuaire d'authentification n'est pas encore là, que le serveur de noms ne répond pas et que la base de données référentielle n'a pas fini sa restauration.
L'ordre de redémarrage n'est pas l'ordre de criticité. C'est l'ordre des dépendances techniques, qui commence toujours par des composants dont personne ne parle en comité.
Les cinq vagues
| Vague | Contenu | Remarque |
|---|---|---|
| 0 — Socle | Réseau, DNS, NTP, annuaire, PKI, gestion des secrets | Sans horloge synchronisée, l'authentification échoue |
| 1 — Plateformes | Hyperviseurs, stockage, sauvegarde, supervision | La sauvegarde doit être disponible avant toute restauration |
| 2 — Données | Bases, référentiels, files de messages | Cohérence inter-bases à vérifier ici |
| 3 — Applications critiques | Services soutenant les activités prioritaires | Dans l'ordre issu du BIA |
| 4 — Reste | Applications différables | Peut attendre plusieurs jours |
La vague 0 est celle qui provoque le plus d'échecs en exercice. Le NTP en particulier : une dérive d'horloge de quelques minutes invalide les jetons d'authentification et fait échouer toute la chaîne, pour une cause que personne ne cherche en priorité.
Le format du livrable
Une liste ordonnée avec, pour chaque élément : le rang, le nom du système, le responsable, la durée estimée, la durée constatée lors du dernier test, et le critère de vérification avant de passer au suivant.
Le critère de vérification est l'élément clé. « Base démarrée » ne suffit pas ; « une requête de contrôle retourne le nombre de lignes attendu » est vérifiable.
Ce que le test révèle
Un test de restauration complet révèle presque toujours trois choses :
- Une dépendance non documentée — typiquement un service technique dont plus personne ne connaît la fonction ;
- Un identifiant ou un certificat expiré, inutilisable parce qu'il n'a jamais été renouvelé dans l'environnement de secours ;
- Un écart entre la durée estimée et la durée réelle, généralement d'un facteur deux à trois.
Ces trois constats justifient à eux seuls le coût du test annuel.
À retenir
- Un service ne redémarre pas seul : il dépend d'une chaîne d'amorçage
- Les services d'infrastructure passent toujours en premier
- L'ordre se teste, sinon il est théorique