Configurer Azure 100 % gratuit : le guide « zéro frais »

Édition « zéro frais » — niveau débutant, très détaillé. Ce guide reconstruit les fondations d’Azure pour ASFY avec une contrainte stricte : rester sur des services gratuits, sans jamais accepter de frais. Il ne se contente pas de choisir l’offre gratuite au départ : il explique en détail comment Azure protège (et ne protège plus) contre la facturation selon le moment, et donne une liste précise des services qui restent à 0 euro indéfiniment. Portée : les fondations du tenant Azure (hors déploiement applicatif).

À propos des captures d’écran : elles proviennent de la documentation officielle Microsoft Learn (interface en anglais, comptes d’exemple « Contoso »). Les libellés en français du portail sont indiqués dans le texte ; la disposition des écrans peut légèrement évoluer avec les mises à jour du portail.

Prérequis

• Une adresse email que vous contrôlez pour créer le compte administrateur (idéal : une adresse dédiée, par exemple admin@votre-domaine.fr, plutôt qu’une adresse personnelle).
• Une carte bancaire : Azure la demande pour vérifier l’identité, même sur l’offre gratuite. Comme expliqué à l’étape 3, elle ne sera débitée que si vous choisissez vous-même de dépasser les limites gratuites — jamais automatiquement pendant les 30 premiers jours.
• L’accès au Manager OVH pour la zone DNS du domaine asfy.fr (pour l’étape 4).
• Un téléphone pour installer une application d’authentification (Microsoft Authenticator).
• Environ 2 heures pour suivre l’ensemble de ce guide sans se presser : il est volontairement plus long qu’une version standard, car chaque mécanisme de protection contre les frais est expliqué en détail.

Vocabulaire de base (une phrase par terme)

Le schéma ci-dessous montre comment les quatre niveaux d’organisation Azure s’emboîtent.

Repère — la chronologie de la gratuité sur Azure

C’est le schéma le plus important de ce guide : il montre que le niveau de protection contre les frais change avec le temps, même si vous ne faites rien de particulier.

Étape 1 — Créer le compte, en choisissant bien l’offre gratuite

1.1 Aller sur la page d’inscription

Ouvrir azure.microsoft.com/fr-fr/free dans un navigateur. C’est le point d’entrée officiel qui pointe vers l’offre gratuite, contrairement à une inscription depuis le portail généraliste.

1.2 Se connecter avec un compte Microsoft

Utiliser de préférence un compte créé spécifiquement pour ASFY plutôt qu’un compte personnel. Un compte Microsoft ne peut bénéficier de l’offre gratuite qu’une seule fois : ne pas la « gaspiller » sur un compte de test.

1.3 Vérifier l’identité

Azure demande un numéro de téléphone et une carte bancaire. C’est une vérification anti-fraude standard : elle sert à confirmer que vous êtes une personne réelle, pas à autoriser un prélèvement. Tant que le plafond de dépenses (étape 3) est actif, aucun montant ne peut être prélevé sans action explicite de votre part.

1.4 Bien choisir l’offre — point le plus important de cette étape

Confirmer que l’offre sélectionnée est bien « Azure gratuit » / « Free Trial », et non « Pay-As-You-Go ». Les deux sont proposées sur certains parcours d’inscription. Seule l’offre gratuite active le plafond de dépenses de l’étape 3.

1.5 Nommer clairement l’abonnement

Dans le portail, renommer l’abonnement en quelque chose d’explicite, par exemple « ASFY-Gratuit », pour se souvenir qu’il doit rester dans les limites gratuites.

Étape 2 — Sécuriser immédiatement le compte administrateur

2.1 Installer une application d’authentification

Installer Microsoft Authenticator (ou une autre application TOTP) sur un téléphone.

2.2 Activer le MFA sur le compte administrateur

Dans le portail Azure : Microsoft Entra ID → Utilisateurs → sélectionner le compte administrateur → Méthodes d’authentification → Ajouter une méthode → Application d’authentification. Suivre les instructions pour scanner le QR code.

2.3 Créer un compte de secours (break-glass)

Créer un second compte administrateur, utilisé uniquement en cas de blocage total (perte du téléphone). Lui donner un mot de passe long et unique, l’exclure de toute politique MFA future, et noter ses identifiants hors-ligne dans un endroit sûr.

2.4 Définir un mot de passe unique et fort pour le compte principal

Ne jamais réutiliser un mot de passe déjà utilisé ailleurs.

Étape 3 — Comprendre le plafond de dépenses (spending limit)

C’est le mécanisme central de ce guide. Le comprendre en détail permet de savoir exactement à quel moment votre protection change.

Comment il fonctionne pendant les 30 premiers jours

Dès la création d’un compte gratuit, Azure active automatiquement un plafond de dépenses égal au crédit offert (200 $). Ce plafond n’est pas une simple alerte : c’est un blocage technique. Tant qu’il est actif, il est impossible d’être facturé plus que ce crédit, quoi que vous fassiez dans le portail.

Ce qui se passe si vous atteignez le plafond

Les ressources que vous avez déployées sont automatiquement retirées de production : les machines virtuelles sont arrêtées et désallouées, les comptes de stockage passent en lecture seule. Azure envoie un email de notification. Aucune facture supplémentaire n’est émise.

Ce qui se passe au bout de 30 jours, même sans atteindre le plafond

Le crédit expire. L’abonnement et ses services sont désactivés. Pour continuer à utiliser Azure — y compris pour utiliser uniquement des services gratuits — vous devez mettre à niveau l’abonnement vers Pay-As-You-Go.

La conséquence pratique pour ce guide

Comme il n’existe pas d’interrupteur Azure global pour un blocage à vie, la stratégie « zéro frais » après le jour 30 repose sur trois piliers, détaillés plus loin : n’utiliser que des services dont le SKU gratuit n’a pas de date d’expiration (étape 8), activer des alertes de budget à seuils très bas (étape 9), et, idéalement, une coupure automatique complémentaire (étape 10).

Étape 4 — Relier Microsoft Entra ID au domaine asfy.fr

Cette étape est gratuite quel que soit le type d’abonnement : Microsoft Entra ID de base (sans licence P1/P2) ne coûte jamais rien, y compris en Pay-As-You-Go.

4.1 Ouvrir les domaines personnalisés

Portail Azure → Microsoft Entra ID → Domaines personnalisés → Ajouter un domaine personnalisé. Saisir asfy.fr.

4.2 Récupérer l’enregistrement TXT fourni par Azure

Azure affiche un enregistrement DNS de type TXT à créer, avec un nom et une valeur uniques au tenant ASFY.

4.3 Ajouter cet enregistrement dans la zone DNS OVH

Manager OVH → Web Cloud → Noms de domaine → asfy.fr → Zone DNS → Ajouter une entrée → type TXT. Coller exactement le nom et la valeur donnés par Azure.

# Exemple d'enregistrement tel qu'affiché par Azure (valeurs à copier depuis le portail) :
Type  : TXT
Nom   : @ (ou asfy.fr selon l'interface OVH)
Valeur: MS=msXXXXXXXX
TTL   : 3600 (valeur par défaut, convient)

4.4 Attendre la propagation puis vérifier

La propagation DNS prend généralement quelques minutes à quelques heures. Revenir sur le portail Azure et cliquer sur Vérifier.

Étape 5 — Activer la sécurité de base du tenant

5.1 Activer les paramètres de sécurité par défaut

Microsoft Entra ID → Propriétés → en bas de page, Gérer les paramètres de sécurité par défaut → activer « Paramètres de sécurité par défaut » (Security Defaults). Cette fonctionnalité est entièrement gratuite : elle n’exige pas de licence Entra ID P1/P2.

5.2 Vérifier le score de sécurité

Microsoft Entra ID → Vue d’ensemble. Cette lecture est gratuite et donne une photographie de l’état de sécurité du tenant.

Étape 6 — Organiser les ressources dès le départ

Un tenant Azure sans organisation devient vite illisible, et il devient difficile de repérer une ressource qui aurait été créée avec le mauvais SKU (payant au lieu de gratuit).

6.1 Adopter une convention de nommage

Format recommandé : <type>-<projet>-<environnement>-<région>. Exemple : rg-asfy-free (groupe de ressources).

6.2 Créer un groupe de ressources dédié au périmètre gratuit

Par exemple rg-asfy-free. Isoler dans ce groupe uniquement des ressources dont le SKU est gratuit (étape 8). Si un jour une ressource payante est nécessaire pour un test, la créer dans un groupe séparé (rg-asfy-test-payant) pour ne jamais mélanger les deux périmètres.

6.3 Appliquer des tags systématiques

Chaque ressource devrait porter au minimum : Projet=ASFY, Environnement=Gratuit, Proprietaire=Admin-IT. Les tags permettent de filtrer les coûts par périmètre dans Cost Management et de repérer immédiatement une ressource hors périmètre.

Équivalent Azure CLI des étapes 6.2 et 6.3 (facultatif, le portail suffit) :

# Alternative en ligne de commande (Azure CLI), pour les utilisateurs à l'aise avec le terminal
az login
az account set --subscription "ASFY-Gratuit"

az group create \
  --name rg-asfy-free \
  --location francecentral \
  --tags Projet=ASFY Environnement=Gratuit Proprietaire=Admin-IT

az group list --output table

Étape 7 — Choisir la bonne région

7.1 Retenir France Central (Paris)

Le choix de la région n’a aucun impact sur la gratuité d’un service : un SKU gratuit reste gratuit dans n’importe quelle région où il est proposé. France Central est recommandée pour des raisons de conformité RGPD/CNIL (données hébergées sur le territoire européen) et de latence, pas de coût.

Étape 8 — Rester strictement sur les services « toujours gratuits »

Azure propose plus de 65 services avec un montant gratuit chaque mois, sans limite de temps, disponibles quel que soit le type d’abonnement (y compris Pay-As-You-Go). C’est le pilier le plus important pour tenir la promesse « zéro frais » au-delà du jour 30. Le tableau ci-dessous détaille les services les plus utiles pour un usage ASFY, avec leurs quotas vérifiés sur la documentation officielle Microsoft.

D’autres services sont également cités comme toujours gratuits par Microsoft, avec des quotas qui évoluent plus souvent : Azure Functions (plan Consommation, un volume d’exécutions gratuit chaque mois), Azure DevOps (5 utilisateurs, dépôts Git illimités), Azure Automation (minutes d’exécution gratuites chaque mois), Azure Monitor / Log Analytics (volume d’ingestion de journaux gratuit chaque mois). Comme ces quotas précis changent plus souvent que ceux du tableau ci-dessus, vérifier le chiffre exact sur azure.microsoft.com/pricing/free-services avant de s’appuyer dessus.

Étape 9 — Budgets et alertes renforcés

9.1 Créer un budget à seuil très bas

Portail Azure → Cost Management + Facturation → Budgets → Ajouter. Contrairement à un usage professionnel classique, fixer un montant volontairement bas, par exemple 5 euros par mois : sur un périmètre 100 % gratuit, atteindre ce montant signifie presque toujours qu’une ressource a été créée avec le mauvais SKU.

9.2 Multiplier les seuils d’alerte

Ajouter des seuils rapprochés : 20 %, 50 %, 80 % et 100 % de ces 5 euros, chacun envoyant un email à l’adresse administrative. Plus les seuils sont rapprochés, plus vite l’anomalie est repérée.

9.3 Vérifier manuellement chaque jour pendant les trois premières semaines

Portail → Cost Management → Analyse des coûts. Une vérification quotidienne pendant la phase de découverte permet de repérer une dérive avant qu’elle ne s’accumule sur un mois entier. Ensuite, un contrôle hebdomadaire suffit une fois l’environnement stabilisé.

9.4 Activer Azure Advisor

Portail → Advisor → onglet Coûts. Signale automatiquement les ressources sous-utilisées ou mal dimensionnées.

Étape 10 — Automatiser une coupure de sécurité (avancé, optionnel)

Cette étape va plus loin qu’un simple email d’alerte : elle déclenche une action automatique lorsqu’un seuil de budget est atteint. Elle est optionnelle mais recommandée compte tenu de l’objectif « zéro frais ».

Le principe, en trois briques

1. Un budget (étape 9) surveille les coûts.
2. Quand un seuil est atteint, le budget appelle un groupe d’actions (Action Group) Azure Monitor.
3. Le groupe d’actions déclenche une runbook Azure Automation (un script prêt à l’emploi existe dans la galerie Microsoft, « Stop Azure V2 VMs ») qui arrête les ressources concernées.

10.1 Suivre le tutoriel officiel

Microsoft publie un tutoriel complet pas-à-pas pour cette configuration (création du compte d’automatisation, import de la runbook, création du groupe d’actions, rattachement au budget). Plutôt que de reproduire ici des captures d’écran qui deviennent vite obsolètes, suivre : learn.microsoft.com puis rechercher « Manage costs with budgets » (cost-management-billing/manage/cost-management-budget-scenario).

10.2 Pour ASFY, une version simplifiée suffit

Si aucune VM n’est utilisée (recommandation de l’étape 8), il est possible de s’arrêter à l’étape 9 (budgets et alertes) sans mettre en place cette automatisation : le risque principal qu’elle couvre ne s’applique pas.

Étape 11 — Activer une sécurité minimale, plan gratuit uniquement

11.1 Activer Microsoft Defender for Cloud (plan gratuit)

Portail → Microsoft Defender for Cloud. Le plan gratuit (Foundational CSPM) est actif par défaut dès la première visite de cette page, quel que soit le type d’abonnement : il analyse la configuration et propose des recommandations, sans surcoût.

11.2 Consulter le Secure Score

Microsoft Defender for Cloud → Vue d’ensemble. Lecture gratuite, aucune action payante requise pour la consulter.

Étape 12 — Fondations réseau (optionnel)

Cette étape n’est utile que si un service hébergé dans un réseau privé est envisagé. Pour un périmètre 100 % gratuit avec App Service, Static Web Apps ou Azure SQL (étape 8), elle n’est généralement pas nécessaire : ces services fonctionnent sans VNet dédié.

12.1 Créer un réseau virtuel dédié (si besoin réel)

Un VNet et ses sous-réseaux (subnets) sont gratuits en eux-mêmes — seules les ressources déployées à l’intérieur (VM, passerelles) sont facturées. Nommer par exemple vnet-asfy-free.

Vérification — checklist de validation finale

À cocher une fois chaque point vérifié dans le portail Azure :

• Abonnement créé sur l’offre gratuite (Essai gratuit), pas Pay-As-You-Go direct (étape 1.4)
• Compte administrateur sécurisé avec MFA (étape 2.2)
• Compte de secours (break-glass) créé, identifiants stockés hors-ligne (étape 2.3)
• Mécanisme du plafond de dépenses compris : ce qu’il couvre, jusqu’à quand (étape 3)
• Domaine asfy.fr ajouté et vérifié dans Microsoft Entra ID (étape 4.4)
• Paramètres de sécurité par défaut activés, aucune licence P1/P2 en essai (étape 5.1)
• Groupe de ressources dédié au périmètre gratuit avec tags (étapes 6.2-6.3)
• Région France Central retenue (étape 7.1)
• Toute ressource créée utilise un SKU de la liste « toujours gratuit » (étape 8)
• Azure SQL, si utilisée, configurée en « Auto-pause jusqu’au mois prochain » (étape 8)
• Aucune VM, IP publique statique, Load Balancer ou passerelle VPN créée (étape 8)
• Budget à seuil bas (ex. 5 euros) avec alertes multiples configuré (étapes 9.1-9.2)
• Habitude de vérification quotidienne des coûts prise pour les 3 premières semaines (étape 9.3)
• Coupure automatique par budget envisagée si des VM sont utilisées un jour (étape 10)
• Defender for Cloud plan gratuit uniquement, aucun plan payant activé (étape 11.1)

Référence — glossaire rapide

Suite — pour aller plus loin, sans sortir du gratuit

Une fois ces fondations en place, plusieurs services toujours gratuits permettent de faire évoluer l’usage sans jamais engager de frais :

Crédits des captures d’écran : documentation Microsoft Learn, © Microsoft, publiée sous licence CC BY 4.0 — les liens vers les pages d’origine figurent dans la médiathèque du site.