Mettre un budget par utilisateur pour que personne ne crée trop de machines

Un compte AWS avec une seule personne se contrôle d'un coup d'œil à la facture. Avec quatre ou cinq personnes qui créent des choses, non. Chacune crée « une petite machine pour tester », « une copie au cas où », « une base de données un instant », et aucune ne voit ce que créent les autres. Personne ne dépense beaucoup ; toutes ensemble, la facture double en trois mois. Et quand elle arrive, impossible de savoir à qui appartient chaque euro.

La solution n'est pas d'interdire, mais de donner à chaque personne un chiffre par mois et de rendre visible ce qu'elle a déjà dépensé. C'est la même chose qu'une carte d'entreprise avec un plafond : personne ne le prend mal, et cela évite 90 % des mauvaises surprises.

AWS n'a pas de « budget par utilisateur » en tant que tel. On peut l'imiter avec trois pièces : une balise obligatoire avec le nom de la personne qui crée chaque chose, un budget (Budgets) filtré par cette balise et une politique IAM qui empêche de créer sans balise. Les étapes ci-dessous le montent ; les sections suivantes expliquent comment décider les chiffres et quoi compter.

Pas à pas

1. Choisissez la balise et dites-le à tout le monde

   Choisissez un nom de balise et un format de valeur, et ne les changez jamais : par exemple Propietario avec le nom d'utilisateur IAM de chaque personne (Propietario = ana). Écrivez-le à un endroit que tout le monde voit. À partir de maintenant, tout ce qui se crée (machines, disques, instantanés, bases de données, buckets) porte cette balise.

2. Activez la balise comme balise de répartition des coûts

   Dans la console AWS, menu de votre compte, Facturation et gestion des coûts, rubrique Balises de répartition des coûts. Cherchez Propietario dans la liste des balises définies par l'utilisateur et cliquez sur Activer. Tant qu'elle n'est pas activée, Cost Explorer et Budgets ne peuvent pas filtrer dessus. Elle met jusqu'à 24 heures à apparaître, et seule la dépense postérieure à l'activation est comptée, pas celle d'avant.

3. Créez un budget par personne dans Budgets

   Dans Facturation et gestion des coûts, entrez dans Budgets et cliquez sur Créer un budget. Choisissez Personnaliser, type Budget de coûts, période Mensuelle, montant fixe (par exemple 60 dollars). Dans Filtres, choisissez la dimension Balise, clé Propietario, valeur ana. Nommez-le presupuesto-ana.

   Dans les alertes, ajoutez-en deux : quand la dépense réelle dépasse 80 % et quand la prévision dépasse 100 %, avec l'e-mail de cette personne et le vôtre. Répétez le budget pour chaque personne. Les deux premiers budgets du compte sont gratuits ; au-delà, chacun coûte quelques centimes par jour.

4. Empêchez de créer des machines sans balise

   Dans IAM, Politiques, Créer une politique, éditeur JSON. Une politique de refus comme celle-ci empêche de créer une instance EC2 ou un volume qui ne porte pas la balise Propietario :

   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Deny",
       "Action": ["ec2:RunInstances", "ec2:CreateVolume"],
       "Resource": ["arn:aws:ec2:*:*:instance/*", "arn:aws:ec2:*:*:volume/*"],
       "Condition": { "Null": { "aws:RequestTag/Propietario": "true" } }
     }]
   }

   Attachez la politique au groupe d'utilisateurs. Avec une condition similaire (StringNotEquals sur aws:RequestTag/Propietario et la variable ${aws:username}) vous pouvez imposer que la valeur soit le propre nom d'utilisateur, pour que personne n'attribue ses machines à quelqu'un d'autre. Chaque service a ses actions (rds:CreateDBInstance, lightsail:CreateInstances) ; commencez par EC2 et RDS, c'est là qu'est l'argent.

5. Limitez les tailles qui peuvent être créées

   Un budget prévient, mais ne freine pas une machine à 2 dollars de l'heure créée un vendredi après-midi. Ajoutez une autre politique de refus pour ec2:RunInstances avec la condition ec2:InstanceType hors d'une liste (t3.micro, t3.small, t3.medium...). Qui a besoin de plus grand le demande. Dans RDS, l'équivalent est rds:DatabaseClass.

6. Faites le point une fois par mois

   Dans Cost Explorer, groupez par la balise Propietario. Vous verrez une barre par personne et une autre, « Sans balise », avec tout ce qui a été créé en contournant la règle ou avant de l'instaurer. Cette barre est votre liste de tâches : baliser ou supprimer. Consacrez dix minutes au début de chaque mois et commentez les chiffres avec l'équipe. La transparence fait plus que n'importe quelle politique.

Pourquoi la dépense s'envole avec plusieurs personnes

Ce n'est ni de la mauvaise foi ni de la négligence ; c'est que la console AWS ne donne aucun signal de ce que coûte chaque clic. Créer une machine n'affiche pas le prix mensuel, seulement le type. Un instantané ne prévient pas qu'il est facturé pour toujours. Et chaque personne voit le compte comme « le sien » : elle ne sait pas qu'il y a déjà trois machines de test d'autres collègues qui font la même chose.

Les trois schémas qui coûtent le plus d'argent :

• Créer et oublier. Une machine pour un test de deux jours qui reste allumée trois mois. C'est, de loin, la cause numéro un.
• Les copies « au cas où ». Des instantanés avant chaque changement, que personne ne supprime ensuite.
• La taille par confort. Choisir une machine quatre fois plus grande que nécessaire « pour que ça tourne bien », sans savoir qu'elle coûte quatre fois plus.

Comment fixer le chiffre

Partez de ce qui se dépense déjà. Regardez dans Cost Explorer les trois derniers mois et répartissez-les mentalement par personne (s'il n'y a pas de balises, demandez). En général, une ou deux personnes concentrent presque toute la dépense légitime (production) et le reste est du test et du développement.

Séparez deux choses : le partagé (les serveurs de production, la base de données de l'entreprise) et le personnel (ce que chacun crée pour son travail). Le budget par utilisateur ne s'applique qu'au second. Pour une personne en développement, un chiffre raisonnable se situe entre 30 et 100 dollars par mois : de quoi faire tourner une ou deux petites machines aux heures de bureau et quelques instantanés. Pour quelqu'un qui ne fait que consulter, zéro.

Fixez le chiffre un peu au-dessus de ce que dépense aujourd'hui, de façon raisonnable, la personne qui dépense le plus, et baissez-le au bout de deux mois s'il en reste.

Quoi compter dans le budget de chaque personne

Tout ce que cette personne crée et qui a un coût récurrent :

• Machines EC2 et Lightsail, à l'heure ou au forfait mensuel. Rappelez-vous que dans Lightsail la machine arrêtée est facturée.
• Disques de ces machines, y compris ceux qui restent orphelins quand on les supprime.
• Bases de données RDS et Lightsail, qui sont souvent l'objet le plus cher qu'une personne crée.
• Instantanés, par Go et par mois tant qu'ils existent.
• Buckets S3 : l'espace et, surtout, ce qui en est téléchargé.
• IP réservées et non associées.

Ce qu'il n'est pas nécessaire de compter au début : le transfert de données, les journaux CloudWatch, les requêtes DNS. Ils sont petits et difficiles à attribuer. Concentrez-vous sur ce qui se crée d'un bouton et s'oublie.

Un piège : Budgets compte la dépense cumulée du mois. Ce que quelqu'un a créé le 2 et supprimé le 3 continue de compter même si l'objet n'existe plus.

Ce qu'AWS ne peut pas faire

Il vaut mieux être honnête sur les limites du montage :

• Budgets prévient, ne bloque pas. Il existe des « actions de budget » qui appliquent une politique de refus au dépassement d'un seuil, mais elles sont grossières et arrivent tard : la dépense est déjà faite.
• Les balises dépendent de la bonne volonté des gens. La politique IAM les impose dans EC2 et RDS, mais tous les services ne permettent pas de baliser au moment de la création, et les instantanés automatiques n'héritent pas de la balise du disque.
• Lightsail balise, mais sa console n'oblige pas, et ce qui a été créé avant l'activation de la balise de coût n'est pas compté.
• Cela demande de l'entretien : chaque nouvelle personne, c'est un budget, une valeur de balise et un point mensuel ; chaque départ, c'est nettoyer ce qui lui appartenait.

Malgré tout, c'est bien mieux que rien.

Ce qui peut mal tourner