Migration Windows Server 2003 : Virtualiser ? Vraiment ?

Une VM ne sécurise pas un OS invité

La question se pose car il est tentant de croire (ou de vouloir comprendre) que virtualiser Windows Server 2003 (OS invité) sur un Windows Server plus récent (OS hôte) règle tous les problèmes. En fait il n’en est rien. Bien au contraire. Cette solution garde intactes les problématiques d’obsolescence et de sécurité que pose l’arrêt du support.

« C’est reculer pour mieux sauter », confirme Stanislas Quastana, Architect Infrastructure chez Microsoft France, au MagIT. Virtualiser dans ces conditions permet certes de prendre l’existant et de le conserver, mais « cela ne règle que le problème du matériel ».

Les failles de l’OS qui seront désormais découvertes rendront l’applicatif qui tourne sur le système tout aussi vulnérable que sur une machine physique. La virtualisation ne permet, d’un point de vue sécurité pure, que d’isoler les VMs entre elles et d'isoler l’OS hôte de l’OS invité. Pas de protéger l’OS invité de lui-même. « C’est une solution transitoire, qui n’améliore pas la sécurité », résume Stanislas Quastana.

La virtualisation a un coût additionnel

Pire, l’option peut représenter un surcoût qui peut la discréditer.

Pour mémoire, Windows Server 2012 R2 existe en deux éditions : la Standard et la Datacenter. Les deux ont une parité fonctionnelle stricte, mais la version standard ne permet de ne déployer que deux VM invités (sous Windows). Autrement dit, consolider plus de deux serveurs revient à s’acquitter de plusieurs licences Standard.

Il peut être tentant de passer directement à la Datacenter, sauf que là encore, en fonction du hardware il peut être obligatoire de prendre plusieurs licences. Dans les deux éditions, une licence couvre en effet une seule paire de CPU. Or on trouve plus que régulièrement plus de deux CPUs sur un serveur moderne.

« On estime souvent que la Datacenter est profitable à partir de 8 VMs », constate l'Architect Infrastructure.

Reste la possibilité de virtualiser sur autre chose qu’Hyper-V. Sauf que la possibilié doit être analysée avec beaucoup de précautions par le service juridique dans la mesure où une licence Windows Server 2003 est théoriquement attachée à la carte mère. La migrer vers Hyper-V est une tolérance. Passer à un autre hyperviseur peut donc être véritablement risqué.

« Il ne suffit pas de mettre un serveur dans le Cloud pour le Cloudifier ».

Une autre option, qui découle techniquement de la virtualisation, est la « Cloudification ». Le IaaS public a de nombreux atouts qui séduisent de plus en plus les entreprises (scalabilité, flexibilité, paiement à l‘usage, etc). Pourtant Microsoft n’a pas prévu de chemin simple de Windows Server 2003 vers Azure. Un choix assumé si l’on en croit l’éditeur.

Dans le IaaS, la responsabilité de l'hébergeur s’arrête au niveau de la VM

Stanislas Quastana, Microsoft France

« Microsoft Azure ne supporte que les OS 64 bits », assume Stanislas Quastana. L’argument est ici le même que pour la virtualisation. Ce n’est pas en mettant une image d’un vieux serveur de production dans un Cloud moderne que les problèmes de sécurité et de compliance de Windows Server 2003 seront réglés. « Il ne suffit pas de mettre un serveur ou une application dans le Cloud pour les Cloudifier ».

Pourtant, la concurrence propose ce chemin. Notamment AWS qui a sorti des instances pré-configurées de Windows Server 2003 et des outils d’automatisation de migration.

« C’est de l’opportunisme de la part d’Amazon. Franchement c’est bien joué de leur part… Sauf que cela ne change rien », rétorque l’Architect Infrastructure de Microsoft France. « Cela ne change rien, parce que ce que ne vous reprécise pas AWS dans cette offre, c’est que sa responsabilité en tant qu’hébergeur s’arrête contractuellement au niveau de la VM ». Tout ce qui se passe dans la VM ne le regarde donc pas.

Virtualisation et Cloud finalisent la modernisation de l’existant, mais ne s'y substituent pas

Il n’y aurait donc pas d’autre choix, à la base de tout projet de migration, que de moderniser l'existant. « Si c’est du développement maison, il faut analyser les dépendances et voir s’il est possible de faire simplement du refactoring. Si le ou les développeurs ne sont plus là, ou que le code est dur à entretenir, le risque est important, et il faut certainement envisager de changer complètement », analyse Stanislas Quastana.

« Si l’applicatif est celui d’un éditeur, et que c’est une solution critique, il n’y a aucune excuse de ne pas migrer à une version plus récente de cette éditeur ». Et si l’éditeur n’existe plus, là encore, il est peut-être temps d’utiliser la fin de Windows Server 2003 pour se couvrir et changer de solution.

Bref, ces options séduisantes – consolidation par virtualisation et Cloud – peuvent finaliser une migration, mais elles ne se substituent pas à une incontournable stratégie de modernisation de l’existant. A une exception près, celle qui consiste à passer d’applicatifs d’éditeurs sur site à des versions SaaS de ces mêmes solutions - typiquement un passage d’un Exchange 2003 à un Office 365 en exportant et important l’AD. Mais dans tous les autres cas, VM et Cloud ne règlent (presque) rien.