Architecture IA d'entreprise sur Google Cloud

Un prototype d'assistant IA tient en 50 lignes. Le mettre devant 5 000 collaborateurs, avec des documents internes, sans qu'un auditeur ou un RSSI (responsable de la sécurité des systèmes d'information) ne bloque le projet, demande autre chose : une landing zone, c'est-à-dire un socle cloud préparé à l'avance (projets, identités, réseau, chiffrement, journaux, budgets) dans lequel les équipes IA déploient sans réinventer la sécurité.

Cette formation construit ce socle en code, avec un module Terraform complet, et fournit un script Python qui contrôle la posture d'un projet existant en lecture seule.

Fil rouge : un assistant interne (questions RH, procédures, documentation) qui appelle Gemini sur Vertex AI, lit un bucket de documents et s'ouvre aux seuls salariés authentifiés.

Pour qui ?

• Architectes cloud, ingénieurs plateforme, équipes sécurité qui doivent dire « oui, mais proprement » à un projet IA.
• Vous connaissez les bases de Google Cloud (projet, IAM, console) et vous avez déjà lu du Terraform.
• Pour la sécurité spécifique de Gemini Enterprise (connecteurs, Model Armor appliqué à l'application), voyez aussi Sécuriser Gemini Enterprise : cette formation en est le socle d'infrastructure.

Ce que l'on construit

flowchart LR
  U["Salarié (compte Google Workspace / Cloud Identity)"] -->|"HTTPS"| LB["Load balancer externe + IAP"]
  LB --> CR["Cloud Run privé (ingress : load balancer seulement)"]
  CR -->|"sortie VPC directe"| VPC["VPC privé, sortie internet refusée"]
  VPC -->|"Private Service Connect"| API["API Google (restricted)"]
  subgraph P["Périmètre VPC Service Controls"]
    API --> V["Vertex AI (Gemini)"]
    API --> MA["Model Armor"]
    API --> GCS["Bucket documents (CMEK, UE)"]
  end
  KMS["Cloud KMS (clé CMEK, europe-west1)"] -.-> GCS
  V -.-> LOG["Journaux d'audit (bucket de logs, 365 j)"]
  B["Budget + alertes"] -.-> P

Prérequis techniques

• Terraform 1.6 ou plus récent (testé avec 1.16) et le provider hashicorp/google 6.x (testé avec 6.50.0).
• Python 3.10+ et gcloud (pour les identifiants : gcloud auth application-default login).
• Pour aller jusqu'au bout (VPC Service Controls, contrainte de localisation, budget) : un projet dans une organisation et un compte de facturation. Sans organisation, le module se déploie quand même : ces trois blocs sont désactivés par variable.

Programme

Le lab

Tout le code est dans files/ : le module Terraform (versions.tf, variables.tf, un fichier par couche, outputs.tf, terraform.tfvars.example), le script de posture check_posture.py et ses tests.