FinOps pour startups : votre première semaine avec AAA Sentinel, du premier compte au rituel du lundi

« On optimisera les coûts quand on aura grandi. » C'est une décision raisonnable dans les premiers mois d'une startup : il y a un produit à construire et la facture cloud est encore petite. Le problème, c'est que les habitudes qu'on ne prend pas au début coûtent beaucoup plus cher ensuite, quand des centaines de ressources n'ont plus de propriétaire et que personne ne se souvient à quoi chacune servait. Dans cet article, nous présentons les bases du FinOps utiles dès le premier jour et comment les mettre en route en une semaine avec AAA Sentinel.

Le FinOps en deux minutes

Le FinOps est la pratique qui consiste à piloter les dépenses cloud avec des données et des responsables, comme n'importe quelle autre dépense de l'entreprise. Il ne s'agit pas seulement de couper : il s'agit de savoir à quoi on dépense, de décider si cela en vaut la peine et que quelqu'un réponde de chaque poste. La FinOps Foundation l'organise en trois phases qui se répètent en cycle :

• Informer : voir combien on dépense, pour quoi et qui dépense.
• Optimiser : supprimer le superflu et ajuster ce qui est surdimensionné.
• Opérer : en faire une habitude, avec des alertes, des revues régulières et des responsables.

Pourquoi commencer tôt

Tant que la facture est petite, chaque habitude coûte peu à mettre en place et évite des problèmes difficiles à défaire plus tard :

• Taguer dès la première ressource ne coûte presque rien ; taguer des centaines de ressources héritées est un projet.
• Les ressources oubliées (disques non montés, IP inutilisées, snapshots de disques qui n'existent plus) s'accumulent en silence, et chacune facture tous les mois.
• Repérer un pic de dépenses le jour où il apparaît coûte bien moins cher que de le découvrir sur la facture du mois suivant.
• Quand un investisseur demandera combien coûte l'infrastructure et pourquoi, vous aurez la réponse, données à l'appui.

Comment AAA Sentinel vous aide : l'essai de 30 jours

À l'inscription, vous disposez de 30 jours de l'offre Pro complète, sans carte bancaire. C'est largement assez pour mettre en place tout ce que décrit cet article :

• Jusqu'à 5 comptes cloud AWS, Azure ou Google Cloud, connectés en lecture seule.
• Un scan automatique quotidien, et des scans manuels quand vous en avez besoin.
• Toutes les règles de détection du gaspillage, le résumé des économies, les recommandations de réservations et de rightsizing, et le simulateur.
• Des alertes par e-mail, Slack, Microsoft Teams ou webhook, et le résumé périodique par e-mail.

Cas pratique : la première semaine d'ACME

ACME est une startup fictive avec un seul compte AWS et une seule personne, la CTO, qui s'occupe de l'infrastructure. Voici le plan qu'elle suit pendant sa première semaine avec AAA Sentinel, et celui que nous allons parcourir étape par étape :

Étape 1 (jour 1) : connecter le compte en lecture seule

Dans Mes comptes cloud → Connecter un compte, choisissez le fournisseur sous « Quel fournisseur cloud ? ». Avec AWS, l'assistant comporte trois étapes :

• « Étape 1 — Créer le rôle IAM » : cliquez sur « Ouvrir CloudFormation dans AWS ». La console s'ouvre avec la stack FinOpsSentinelConnector déjà configurée, External ID de votre organisation compris. Cochez la case par laquelle AWS vous demande de confirmer que la stack crée des ressources IAM, puis créez-la. L'utilisateur AWS qui la crée doit pouvoir créer des rôles IAM. Cliquez ensuite sur « J’ai créé le rôle ».
• « Étape 2 — Copier l'ARN du rôle » : une fois la stack terminée, copiez l'ARN du rôle depuis l'onglet Outputs de CloudFormation et cliquez sur « J’ai l’ARN ».
• « Étape 3 — Connecter le compte » : collez l'ARN, saisissez le « Nom du compte » et cliquez sur « Connecter le compte ».

Si votre cloud est Azure ou Google Cloud

L'assistant est équivalent, lui aussi en lecture seule :

• Azure : « Étape 1 — Créer le principal de service » avec le rôle Reader pour l'inventaire et Cost Management Reader pour les coûts ; vous collez ensuite ses identifiants et nommez le compte.
• Google Cloud : « Étape 1 — Créer un compte de service » avec des rôles de lecture, puis « Étape 2 — Uploader le compte de service » avec son fichier JSON. L'« Étape 3 — Coûts réels (optionnel) » connecte l'export de facturation vers BigQuery si vous l'avez.

Étape 2 : le premier scan

Une fois le compte connecté, revenez à Mes comptes cloud et cliquez sur « Scanner ». Le scan peut prendre jusqu'à 2 minutes. Ensuite :

• Un scan automatique a lieu chaque jour au petit matin (à 04:00 UTC) : les résultats restent à jour sans que vous fassiez quoi que ce soit.
• Vous pouvez lancer des scans manuels quand vous changez quelque chose, jusqu'à 2 par jour et par compte.
• Ce que vous corrigez dans le cloud disparaît des résultats au scan suivant.

Étape 3 (jour 2) : lire Résultats actifs

Résultats actifs est la liste de tout ce que le scan a trouvé. Chaque résultat indique la sévérité, la ressource, le compte et les « Économies/mois » estimées ; en l'ouvrant, vous voyez la « Recommandation » : quoi faire et pourquoi. L'essentiel est de décider, pas seulement de lire. Chaque résultat a un statut :

• « Ouvert » : en attente de décision.
• « Accepté » : vous allez agir.
• « Écarté » : vous l'avez examiné et c'est voulu, par exemple un disque que vous gardez exprès.
• « Résolu » : vous l'avez déjà corrigé.

Ce qu'ACME a trouvé

Voici le premier scan d'ACME. Les chiffres sont un exemple calculé avec des tarifs publics approximatifs d'us-east-1 ; dans votre compte, la plateforme affiche sa propre estimation dans « Économies/mois » :

• Les trois premières lignes sont du gaspillage : environ 51 US$/mois supprimés en un après-midi. ACME les marque « Accepté » et les supprime.
• L'instance sous-utilisée se révèle être un environnement de test d'un client parti. Elle est supprimée : 121 US$/mois de plus.
• Les ressources sans tags n'économisent rien en elles-mêmes, mais ce sont celles dont personne ne connaît le propriétaire. La règle demande au moins deux tags parmi Environment, Project, Owner, CostCenter ou Team.

Étape 4 (jour 3) : le Résumé des économies

Le Résumé des économies rassemble tout le potentiel du compte : le « Total économies/mois » et les « Économies annuelles », le « Détail des économies potentielles » et les « Top actions rapides », les optimisations au plus grand impact immédiat. De là, on accède à trois analyses de plus, de l'offre Pro et incluses dans l'essai :

• Instances réservées : quelles instances stables réserver sur 1 ou 3 ans. Aujourd'hui, cela couvre les instances EC2 et les bases RDS d'AWS.
• Rightsizing : les instances EC2 qui peuvent descendre d'une taille selon leur usage réel.
• Simulateur d'économies : des scénarios comme éteindre le développement la nuit ou déplacer des données S3 vers Glacier, pour chiffrer l'économie avant d'agir.

Étape 5 (jour 4) : alertes et résumé hebdomadaire

Pour ne pas avoir à vous connecter pour vérifier, choisissez dans Alertes → Canaux d'alerte où recevoir les notifications : e-mail, Slack, Microsoft Teams ou un webhook. Puis passez en revue deux blocs :

• « Seuils de détection » : par défaut, une alerte part si les dépenses augmentent de 20 % ou plus, et aucune si la dépense totale est inférieure à 5 US$. Vous pouvez aussi choisir d'être averti de chaque nouveau résultat critique ou élevé.
• « Résumé périodique » : il est désactivé au départ. Choisissez « Hebdomadaire », le « Jour de la semaine » et l'« Heure d'envoi (UTC) ». Vous recevrez par e-mail, pour chaque compte, le coût mensuel, le nombre de résultats, les économies potentielles, les alertes de la période et les scans effectués.

Le rituel du lundi : 30 minutes

Avec le résumé hebdomadaire qui arrive le lundi à la première heure, la revue tient en une demi-heure :

• Lisez le résumé : le coût mensuel a-t-il changé ? Y a-t-il eu des alertes dans la semaine ?
• Ouvrez Résultats actifs et décidez pour chaque nouveau résultat : accepter, écarter ou résoudre. N'en laissez aucun « Ouvert » sans raison.
• Choisissez une seule action pour la semaine, celle qui a le plus d'« Économies/mois » ou la plus simple, et donnez-lui un responsable.
• Vérifiez que les nouvelles ressources arrivent taguées. Si elles apparaissent dans « Ressources sans tags », parlez à qui les a créées.

Quand passer à une offre payante

Avant la fin de l'essai, décidez si vous voulez continuer à scanner. Voici ce qui change entre les deux offres (prix mensuels, taxes comprises) :

• Pro suffit tant qu'une seule personne gère le cloud : l'offre n'inclut pas de membres d'équipe.
• Business se justifie quand vous voulez inviter l'équipe avec des rôles (finance, approbateurs, lecture) ou que l'Agent IA exécute des actions approuvées, comme éteindre les environnements de développement la nuit.

Ce qu'il ne fait pas encore

Pour savoir à quoi vous attendre :

• Il ne gère pas les budgets cloud. Pour un plafond mensuel avec alerte, utilisez les budgets de votre fournisseur (AWS Budgets, budgets Azure ou Google Cloud) et laissez à AAA Sentinel les pics et le gaspillage.
• Les recommandations de réservations couvrent EC2 et RDS d'AWS ; il ne recommande ni Savings Plans ni réservations Azure ou Google Cloud.
• Il n'analyse pas les clusters Kubernetes.
• La détection d'anomalies par service et la répartition des coûts par équipe relèvent de l'offre Business.

Check-list de la première semaine

Une fois tout cela fait, vous aurez l'essentiel du FinOps en place avant que la facture devienne un problème :

• Premier compte connecté en lecture seule et premier scan terminé.
• Chaque résultat a un statut : accepté, écarté ou résolu.
• Gaspillage supprimé et première action de rightsizing décidée.
• Canal d'alerte configuré et seuils revus.
• Résumé périodique hebdomadaire activé pour le lundi matin.
• Tags Environment et Owner sur toutes les nouvelles ressources.
• Décision prise sur l'offre avant la fin de l'essai.