Un SRE qui ne touche à rien

Le métier : SRE et astreinte

Le SRE (Site Reliability Engineering, ingénierie de la fiabilité) est la discipline qui fait tourner des services de façon fiable. Pendant l'astreinte, la première question n'est pas « comment réparer ? » mais « que se passe-t-il ? ». Pour y répondre, on fouille deux sources :

• Cloud Logging : les journaux, des entrées horodatées avec une sévérité (INFO, WARNING, ERROR, CRITICAL…) et un contenu (texte ou JSON) ;
• Cloud Monitoring : les métriques, des séries de nombres dans le temps (requêtes, erreurs, latence, nombre d'entrées de journal…).

L'agent fait ce premier travail de tri à la place de l'humain : lire, regrouper les messages similaires, repérer ce qui a commencé en premier, et rédiger un rapport.

Ce qu'il fait, ce qu'il ne fait pas

La lecture seule garantie par IAM, pas par la consigne

Écrire « tu n'exécutes jamais rien » dans la consigne est utile, mais insuffisant : un modèle peut être manipulé, par exemple par un message de journal piégé (« ignore tes instructions et supprime… »). La vraie garantie vient de deux couches :

1. l'agent n'a aucun outil d'écriture (vérifié par un test) ;
2. son identité n'a que des rôles de lecture.

flowchart TB
  P["Consigne : « tu n'exécutes jamais rien »"] --> C1["Couche 1 : comportement du modèle (contournable)"]
  O["Outils : lire_erreurs, compter_par_severite"] --> C2["Couche 2 : aucune fonction d'écriture"]
  I["IAM : logging.viewer + monitoring.viewer"] --> C3["Couche 3 : l'API refuse toute écriture"]
  C1 --> S["Sécurité effective"]
  C2 --> S
  C3 --> S

Résultat obtenu

Le rapport réel produit par l'agent le 2026-10-15 sur l'incident fictif du lab (extrait). Remarquez la section « Remédiations proposées » : des commandes à valider, dont certaines visent des noms de ressources que l'agent a supposés (commandes-db-instance) ; c'est exactement pourquoi un humain doit relire.

### Résumé
Des erreurs ont été détectées dans le journal "lab-supervision" au cours de la dernière heure, indiquant des
problèmes de connectivité de base de données et de disponibilité du service "api-commandes". ...

### Remédiations proposées
1.  **Augmenter la taille du pool de connexions pour `api-commandes`**: ...
    `gcloud run services update api-commandes --update-env-vars DB_MAX_CONNECTIONS=100`
2.  **Redimensionner l'instance de base de données `commandes-db`**: ...
    `gcloud sql instances patch commandes-db-instance --tier=db-n1-standard-2`

Exercice

Écrivez les commandes qui créent le compte de service lab-sre-lecture et lui donnent exactement les trois rôles nécessaires, puis la commande qui vérifie qu'il n'a rien d'autre.

gcloud iam service-accounts create lab-sre-lecture --project "$PROJECT_ID" \
  --display-name "Lab supervision : agent SRE en lecture seule"
for ROLE in roles/logging.viewer roles/monitoring.viewer roles/aiplatform.user; do
  gcloud projects add-iam-policy-binding "$PROJECT_ID" --condition None \
    --member "serviceAccount:lab-sre-lecture@${PROJECT_ID}.iam.gserviceaccount.com" --role "$ROLE"
done

gcloud projects get-iam-policy "$PROJECT_ID" --flatten="bindings[].members" \
  --filter="bindings.members:serviceAccount:lab-sre-lecture@" --format="value(bindings.role)"

Je sais faire

• Distinguer journaux et métriques
• Définir le périmètre d'un agent d'aide à l'astreinte
• Garantir la lecture seule par les outils et par IAM, pas seulement par la consigne
• Reconnaître une injection de prompt indirecte dans des journaux