Superviser et reprendre
L’observation par tenant
Section intitulée « L’observation par tenant »Chaque enregistrement — métrique, journal, trace — porte son tenant. La supervision offre donc une vue par tenant et une vue d’ensemble, sans reconstitution. Un incident reste circonscrit au tenant concerné, et une dégradation ne se dilue pas dans une moyenne.
Trois sources alimentent cette vue : des métriques, des journaux structurés et corrélés, sans données personnelles inutiles, et des traces distribuées sur les parcours synchrones.
| Périmètre | Ce qui est suivi | Ce que cela permet de voir |
|---|---|---|
| Trafic web | erreurs, latence, rejets | une dégradation de parcours avant qu’elle soit signalée |
| Bases de données | connexions, verrous, requêtes lentes, sauvegardes | l’épuisement d’une réserve de connexions, qui précède la panne |
| Bus d’événements | âge du plus ancien message, retard par consommateur, volume | un consommateur qui décroche, avant que l’écart devienne un rattrapage |
| Orchestration | réplicas, redémarrages, capacité restante après perte d’un nœud | si la résistance à la perte d’un nœud tient encore |
| Déploiement | versions déployées, état des migrations | les écarts de version entre tenants |
| Métier | fichiers en attente, opérations bloquées, anomalies | un incident métier que la technique ne voit pas |
Chaque alerte porte une consigne et une équipe. Une alerte sans destinataire ni geste attendu produit du bruit plutôt que de la vigilance.
Le volume de télémétrie croît avec le nombre de tenants. Il se maîtrise par une rétention différenciée et un échantillonnage des traces, plutôt qu’en renonçant à la dimension tenant.
La sauvegarde et la reprise
Section intitulée « La sauvegarde et la reprise »Une installation se reconstruit depuis sa description et ses sauvegardes, sans savoir-faire non écrit.
Sont sauvegardés, tenant par tenant, les bases de données, les configurations, les contrats et les artefacts ; l’infrastructure elle-même se reconstruit depuis sa description versionnée. Un export chiffré est conservé indépendamment de l’hébergement, de sorte que la perte d’un environnement, ou la défaillance d’un hébergeur, n’entraîne pas celle de la plateforme.
La reprise couvre également les boîtes d’envoi et les consommateurs d’événements, dont le rattrapage suit une procédure documentée, au même titre que les modes dégradés.
Le niveau de redondance se règle par tenant, selon les objectifs retenus : bases en haute disponibilité sur plusieurs zones, déploiement multi-zone des composants critiques. L’infrastructure étant propre à chaque tenant, une panne chez l’un n’immobilise pas les autres.