Bonnes pratiques Data Center

Depuis l'incendie d'OVH à Strasbourg, beaucoup donnent l'impression de découvrir qu'il doit y avoir de bonnes et de mauvaises pratiques.

Ayant côtoyé des Data Centers et leurs gestionnaires pendant une trentaine d'années, je rappelle ci-dessous ce que j'ai noté en matière de bonnes pratiques. Ceci concerne les Data Centers "usuels".

Photo Ian Battaglia sur Unsplash

Le choix de l'emplacement

Si on a la possibilité de partir d'une feuille blanche et de choisir son emplacement, on préférera en général :

• éviter les zones inondables, les zones touchées en cas de rupture de barrage, les zones soumises à submersions marines,
• s'éloigner des passages de conduites de gaz sous pression, des oléoducs, des autoroutes ou voies de transport où circulent des matières dangereuses, ...
• éviter les zones Seveso ou la proximité d'industries dangereuses,
• ne pas se mettre sur des zones soumises à séisme ou voisines d'éruptions volcaniques ou ayant connu des éboulements de terrains ou effondrements miniers,
• éviter les lieux qui attirent du public pas forcément bien intentionné (proximité d'un monument célèbre, d'une ambassade controversée, d'un stade de foot) 
• faciliter les accès pour les secours (pompiers) et livreurs critiques (de fioul par exemple).

Bref, si on a le choix, on analyse ces risques avant de choisir l'emplacement. Si on va chez un prestataire, on utilise ces critères pour choisir. Les Régions et Départements en France, peuvent fournir des listes de risques à considérer.

Le bâtiment 

Le bâtiment lui-même répond à certaines règles ; en général :

• il passe inaperçu, votre logo ne figure pas sur la façade
• les murs vers l'extérieur sont de plusieurs épaisseurs
• il n'y a pas d'ouvertures telles que des baies vitrées ou soupiraux vers les salles machines,
• il est segmenté en zones disjointes avec des cloisons anti-feu et ayant une indépendance en terme d'alimentation électrique, climatisation et réseau,
• il doit être possible d'arrêter complètement une partie du bâtiment sans arrêter tout le bâtiment,
• aucun bâtiment ne dépend d'un autre pour fonctionner, ceci afin d'éviter les effets domino de perte de bâtiments,
• les fuites d'eaux sont évitées (toilettes et lavabos éloignés, nettoyage au Kärcher de la terrasse sous contrôle) et les effets de condensation en salle évités ou palliés,
• la protection contre la foudre est conforme, les paratonnerres correctement connectés, 
• les accès physiques pour livraison et/ou sortie de matériels sont très surveillés avec des sas d'entrée et des sas de sortie unidirectionnels obligatoirement et éloignés les uns des autres,
• il y a de multiples barrières à l'entrée et à la sortie pour les visiteurs (dotées par exemple de lecteurs de badges et reconnaissance par caméra) des sas unipersonnels permettent éventuellement de bloquer un forcené armé,
• les baies sont fermées mais les systèmes d'ouverture (codes, clés) sont correctement gérés et tracés ; pas de code triviaux ('0000'), ni de clés laissées sur les racks.

Les emplacements de matériels répondent à certaines règles de bon sens :

• on ne met pas dans la même salle des matériels qui sont secours de matériels qui s'y trouvent déjà ; encore moins dans le même rack,
• de même pour les sauvegardes et "redo logs" qui doivent survivre en cas de sinistre,
• on isole les éléments à risque : les batteries ne sont pas en salle serveur, mais dans plusieurs autres salles isolées et spécifiquement climatisées,
• idem pour les onduleurs et générateurs qui ont des alimentations et refroidissements dédiés et adaptés,
• les cuves de fioul sont suffisamment situées en hauteur pour éviter l'inondation, la qualité du fioul est vérifiée...
• on veille à ne pas dépasser un certain niveau de puissance de consommation (kVA/rack) et à répartir les machines qui consomment le plus, afin de ne pas saturer alimentation et refroidissement,
• les divers détecteurs (incendie, chaleur, fumée, humidité, ...) doivent être en nombre suffisants et positionnés judicieusement,
• les moyens informatiques de gestion de crise (système de gestion d'incidents, de ticketing, de gestion de parc, PRA, etc.) sont isolés et protégés, de manière à fonctionner en cas de sinistre, quand on en a le plus besoin.

Les fournitures électriques

Encore un sujet important sur lequel les règles sont nombreuses et indispensables, un extrait :

• si les serveurs nécessitent du 230V alternatif, ils sont branchés directement sur onduleurs qui sont alimentés par batteries (hors salle, vu plus haut),
• si les serveurs sont directement en 12V continu, ils sont sur batteries (idem hors salle),
• donc aucune machine n'est directement branchée sur la fourniture externe (type Enedis),
• les batteries sont chargées par la fourniture externe (Enedis) et en cas d'interruption par des générateurs de courant, ainsi les serveurs sont préservés de toute coupure,
• les voies d'alimentation des serveurs sont multiples et permettent des interventions sans arrêt,
• les voies de fourniture du courant sont multiples, idem
• les disjoncteurs sont dédiés à des zones informatiques limitées (la machine à café ne peut pas faire disjoncter des racks...)
• lors d'une intervention sur les voies électriques, une vérification de bonne remise en état est obligatoire (il est facile de perdre la multiplicité des voies sans s'en rendre compte)
• les générateurs sont maintenus chauds pour démarrer dans les dix minutes maximum ; leur approvisionnement correct en fioul de bonne qualité est surveillé, leur bon fonctionnement testé.
• les points uniques de défaillance sont recherchés régulièrement et éliminés,
• tous les schémas sont tenus à jour et vérifiés.

Il existe bien d'autres règles à suivre, par exemple liées aux métiers et qualifications obligatoires des intervenants.

La lutte anti-incendie

L'incendie est un sinistre assez courant en Data Center. 

Là encore les bonnes pratiques semblent évidentes :

• on ne laisse pas en salle ou proche des salles, des éléments pouvant brûler aisément : cartons, bannettes, sac postaux, palettes, listings, papiers, ...
• on dispose d'un système de détection sensible et efficace que l'on vérifie souvent et qu'on ne désactive pas lors des travaux (avec oubli de le réactiver après), ce système prélève l'air en de multiples points en salle, il repose sur plusieurs sources (chaleur, fumée, produits de combustion),
• on dispose d'un système d'extinction incendie qui limite dans la mesure du possible les effets de destruction (par vapeur, eau ou gaz inerte conforme sous pression), sachant que le feu, lui détruit plus !
• ce système détecte et agit localement au plus près du départ de feu et non sur toute une salle sans distinction,
• la surveillance des détections d'incendie est fine et permet de savoir précisément la zone touchée, afin de rendre l'intervention humaine ciblée et donc efficace,
• la segmentation vue plus haut nous évite de faire cohabiter des éléments sources possible d'incendie avec des serveurs : exemple les batteries ou alimentations électriques séparées,
• les trous dans les murs pour passages de câbles sont vérifiés et comblés pour éviter la propagation incendie d'une salle à l'autre,
• les serveurs "pouvant brûler ensemble" ne sont pas secours les uns des autres,
• les sauvegardes sur disques ou cartouches sont éloignées suffisamment pour ne pas brûler avec les serveurs dont elles ont les données... 
• la sauvegarde de la vie humaine est la priorité N°1.

Le refroidissement

Souvent négligé par les néophytes, il ne faut pas oublier que si un serveur consomme du courant, il produit de la chaleur qu'il va falloir faire sortir du Data Center.

De plus, sortir cette chaleur va consommer du courant.

Voici quelques bonnes pratiques :

• la circulation de l'air froid doit respecter la conception des serveurs : en général ils aspirent de l'air froid par l'avant et rejettent de l'air chaud en arrière,
• si l'air froid arrive par un faux plancher, celui-ci doit permettre un débit correct et livrer l'air froid au pied du rack (trous dans le faux plancher),
• les racks laissent circuler l'air s'ils sont fermés (pas de portes vitrées),
• on ne mélange jamais l'air froid avec l'air chaud, le froid doit être livré au plus près de l'élément à refroidir, le chaud doit être sorti (aspiré par le haut par exemple),
• s'il y a un caloriporteur (eau froide ou glacée) sa circulation doit elle aussi être segmentée et redondante, avec des vannes d'isolement ou multivoies,
• on peut couper la climatisation dans une partie du bâtiment sans devoir l'arrêter partout,
• les sources de froid (ex : pompes à chaleur) sont elles aussi redondantes et prévues en quantité suffisante pour passer les pics de l'été tout en pouvant accepter une panne,
• en cas d'aéroréfrigérant, prévoir une position permettant efficacité et absence de salmonelle, en plein été de canicule en particulier, pensez au bruit pour les riverains,
• les températures de consigne doivent être raisonnables (pas trop froid)
• enfin pour une petite salle, pourquoi ne pas prévoir des éléments de fortune en cas de panne : ventilateur ou climatiseur sur roulettes...
• prévoir que la climatisation doit pouvoir marcher en cas de coupure de courant, surtout si vos serveurs continuent à marcher, sinon vos serveurs vont chauffer et s'arrêter en sécurité ou détériorés,
• il est intéressant de faire des photos en infrarouge pour voir où sont les points chauds de votre Data Center.

Conclusion

Ces règles de bon sens ou bonnes pratiques ne sont pas toutes gratuites ni faciles à mettre en oeuvre si on n'y a pas pensé dès le début.

Toutefois des améliorations progressives sont possibles en regardant les points les plus faibles et donc à risque.

Il faut pour cela une volonté managériale et un contrôle réel.

Gérer un Data Center c'est un métier !