Architectures de référence
Des architectures décrites telles qu’elles sont
Pour chaque architecture : ce qui est en service, ce qui est visé, et qui en a la charge. Une architecture visée est nommée comme telle.
Fédération multi-fournisseurs
Les fournisseurs se branchent sur le registre
Plusieurs populations accèdent aux mêmes ressources avec des identités d’origines différentes. LUXIA Identity reste le registre ; chaque fournisseur est un adaptateur remplaçable.
Personnes
- Collaborateurs
- Partenaires
- Prestataires
LUXIA Identity
- Connexions par organisation
- Identité canonique
- Habilitations
- Journal en ajout seul
Gouvernance
- Administrateurs
- Revues d’accès
- Auditeurs
Fournisseurs connectés
- Passkeys LUXIA
- Microsoft Entra ID
- OIDC générique (conçu)
- Niveau de preuve :Vérifié en production
Le fournisseur prouve, le registre décide
Une connexion de fournisseur atteste une identité. Le compte, les droits et l’historique restent dans LUXIA Identity : changer de fournisseur ne les remet pas en cause.
- Niveau de preuve :Vérifié en production
Connexions isolées et coupure d’urgence
Chaque organisation a ses propres connexions, isolées par la base de données. Chaque connexion peut être coupée sans toucher aux autres.
- Niveau de preuve :Vérifié en production
Ce que Microsoft atteste, rien de plus
Une connexion Microsoft Entra ID est enregistrée telle que Microsoft l’atteste. La plateforme ne revendique pas de second facteur qu’elle ne peut pas prouver.
Fournisseurs et protocoles, avec leur niveau de preuve
| Fournisseur ou protocole | Niveau | Précision |
|---|---|---|
| Passkeys (WebAuthn) | Niveau de preuve :Vérifié en production | Comptes locaux LUXIA. |
| Microsoft Entra ID | Niveau de preuve :Vérifié en production | Par locataire, après consentement de son administrateur. |
| Fournisseurs OIDC | Niveau de preuve :Conçu | Moteur générique en cours de revue. |
| Niveau de preuve :Cible | Par le même moteur. | |
| LDAP, Active Directory | Niveau de preuve :Cible | Annuaires d’entreprise. |
| SAML, SCIM | Niveau de preuve :Cible | Après les connexions OIDC. |
Modèles de déploiement
Un modèle en service, deux modèles visés
Choisissez un modèle : le schéma et les six aspects se mettent à jour. Les responsabilités sont précisées par contrat ; seul le modèle opéré existe aujourd’hui.
Architecture d’exécution visée pour les déploiements sur site et souverains
Opéré par Luxia-IT
Le modèle en service aujourd’hui. Luxia-IT exploite la plateforme ; les organisations administrent leurs personnes, leurs droits et leurs revues d’accès.
Navigateurs
- Personnes
- Administrateurs
Plateforme managée
- Fonctions applicatives
- PostgreSQL managé
- Isolation par ligne
- Points de restauration
Fournisseurs
- Microsoft Entra ID
Hors du fournisseur de base de données
- Sauvegardes chiffrées (UE)
- Alerte de sauvegarde
- Responsabilités
- Luxia-IT : infrastructure, mises à jour, sauvegardes. Client : personnes, droits, connexions de fournisseurs, revues d’accès.
- Composants
- Fonctions applicatives managées sans état, PostgreSQL managé avec isolation par ligne forcée, sauvegardes chiffrées hors du fournisseur de base de données.
- Flux
- Navigateur vers application en TLS ; application vers Microsoft Entra ID en OIDC ; application vers base en TLS ; sauvegarde chiffrée vers l’Union européenne.
- Sauvegarde
- Indépendante, chiffrée avec une clé détenue par Luxia-IT, protégée contre la suppression 30 jours. Restauration démontrée le 13 octobre 2026.
- Disponibilité
- Celle de la plateforme managée. Aucun engagement de niveau de service n’est publié.
- Exploitation
- Changements revus, testés, répétés sur copie et vérifiés en production. Alerte de sauvegarde en place ; supervision applicative en conception.
Sur site
Sur l’infrastructure du client. Principe d’architecture retenu : le même code et le même modèle de données. Aucun déploiement de ce type à ce jour.
Réseau interne
- Personnes
- Administrateurs
Infrastructure du client
- Conteneurs applicatifs
- PostgreSQL dédié
- Isolation par ligne
- Versions livrées
Fournisseurs du client
- Annuaire d’entreprise
- Fournisseur OIDC
Services existants du client
- Sauvegarde
- Supervision
- Journaux
- Responsabilités
- Client : infrastructure, application des versions, sauvegardes, administration. Luxia-IT : versions livrées avec leur procédure de retour arrière.
- Composants
- Le même code en conteneurs ; une base PostgreSQL dédiée, avec la même isolation par ligne.
- Flux
- Réseau interne vers application ; application vers les annuaires et fournisseurs du client ; aucune dépendance obligatoire vers Luxia-IT.
- Sauvegarde
- Intégrée aux sauvegardes du client ; restauration à démontrer à la mise en service.
- Disponibilité
- Définie par l’infrastructure du client et le dimensionnement retenu.
- Exploitation
- Supervision et journaux intégrés aux outils du client ; mises à jour planifiées avec retour arrière.
Souverain ou isolé
Dans un périmètre fermé, sans dépendre d’un service extérieur. Le cœur est conçu pour fonctionner hors ligne. Aucun déploiement de ce type à ce jour.
Périmètre fermé
- Opérateurs
- Administrateurs
Instance isolée
- Authentification locale
- Habilitations
- Journal local
- Vérification des versions
Systèmes du périmètre
- Applications critiques
Livraison hors ligne
- Artefacts signés
- SBOM
- Registre privé
- Responsabilités
- Client : exploitation complète dans son périmètre. Luxia-IT : versions vérifiables, livrées hors ligne.
- Composants
- Instance isolée, registre d’images privé, journal conservé localement.
- Flux
- Aucun flux vers l’extérieur du périmètre ; mises à jour par artefacts signés, accompagnés de leur nomenclature logicielle (SBOM).
- Sauvegarde
- Dans le périmètre ; restauration démontrée avant la mise en service.
- Disponibilité
- Selon l’architecture du site ; une répartition sur plusieurs zones est décrite dans l’architecture d’exécution cible.
- Exploitation
- Par les équipes du client, avec des procédures écrites.
Tableau comparatif des trois modèles
| Aspect | Opéré par Luxia-IT | Sur site | Souverain ou isolé |
|---|---|---|---|
| Niveau | Niveau de preuve :Vérifié en production | Niveau de preuve :Cible | Niveau de preuve :Cible |
| Responsabilités | Luxia-IT : infrastructure, mises à jour, sauvegardes. Client : personnes, droits, connexions de fournisseurs, revues d’accès. | Client : infrastructure, application des versions, sauvegardes, administration. Luxia-IT : versions livrées avec leur procédure de retour arrière. | Client : exploitation complète dans son périmètre. Luxia-IT : versions vérifiables, livrées hors ligne. |
| Composants | Fonctions applicatives managées sans état, PostgreSQL managé avec isolation par ligne forcée, sauvegardes chiffrées hors du fournisseur de base de données. | Le même code en conteneurs ; une base PostgreSQL dédiée, avec la même isolation par ligne. | Instance isolée, registre d’images privé, journal conservé localement. |
| Flux | Navigateur vers application en TLS ; application vers Microsoft Entra ID en OIDC ; application vers base en TLS ; sauvegarde chiffrée vers l’Union européenne. | Réseau interne vers application ; application vers les annuaires et fournisseurs du client ; aucune dépendance obligatoire vers Luxia-IT. | Aucun flux vers l’extérieur du périmètre ; mises à jour par artefacts signés, accompagnés de leur nomenclature logicielle (SBOM). |
| Sauvegarde | Indépendante, chiffrée avec une clé détenue par Luxia-IT, protégée contre la suppression 30 jours. Restauration démontrée le 13 octobre 2026. | Intégrée aux sauvegardes du client ; restauration à démontrer à la mise en service. | Dans le périmètre ; restauration démontrée avant la mise en service. |
| Disponibilité | Celle de la plateforme managée. Aucun engagement de niveau de service n’est publié. | Définie par l’infrastructure du client et le dimensionnement retenu. | Selon l’architecture du site ; une répartition sur plusieurs zones est décrite dans l’architecture d’exécution cible. |
| Exploitation | Changements revus, testés, répétés sur copie et vérifiés en production. Alerte de sauvegarde en place ; supervision applicative en conception. | Supervision et journaux intégrés aux outils du client ; mises à jour planifiées avec retour arrière. | Par les équipes du client, avec des procédures écrites. |
Continuité
Disponibilité, sauvegarde et reprise
Une sauvegarde ne compte que si sa restauration a été démontrée. Les mesures ci-dessous viennent d’exercices datés.
- Niveau de preuve :Vérifié en production
Restauration démontrée
Exercice du 13 octobre 2026 : base de production reconstruite à partir d’une sauvegarde indépendante, dans un environnement vide. Tables et objets identiques ; base restaurée et vérifiée en 81 secondes ; écart de données mesuré de 2 min 7 s. Ce sont les mesures d’un exercice, pas un engagement.
- Niveau de preuve :Vérifié en intégration
Bascule répétée
Le 18 octobre 2026 : restauration de données réelles dans la région cible, puis bascule de l’application vers une base restaurée.
- Niveau de preuve :Cible
Haute disponibilité
Aujourd’hui, celle de la plateforme managée, sans engagement de niveau de service publié. Une répartition sur plusieurs zones est décrite dans l’architecture cible.
- Niveau de preuve :Cible
Objectifs de reprise (RTO, RPO)
Fixés avec chaque client, puis vérifiés par un exercice de reprise. Aucun objectif n’est publié à ce jour.
Confronter une architecture à vos contraintes
Sécurité, localisation des données, disponibilité, exploitation : nous partons de ce qui existe, et disons ce qui reste à construire.