Les offres d'ingénieur OpenStack en France s'intitulent « Expert OpenStack », « Leader technique OpenStack » ou « DevOps Expert OpenStack ». Le socle reste le même : Nova pour les machines virtuelles, Neutron pour le réseau, Keystone pour les identités, Cinder et Glance pour les volumes et les images, souvent Octavia pour la répartition de charge, et Ceph pour le stockage. Les questions d'entretien d'un ingénieur OpenStack doivent porter sur ce que la personne a exploité en production. Une installation de démonstration avec DevStack ne compte pas.
Le poste est d'abord un métier de run. Une VM qui ne reçoit pas d'adresse, un volume bloqué en attaching, une file RabbitMQ qui sature ou un cluster Galera qui perd un nœud font partie du quotidien. Un bon profil connaît Linux et le réseau en profondeur : VXLAN, Open vSwitch ou OVN, espaces de noms réseau, iptables.
L'outil de déploiement compte aussi. Kolla-Ansible, OpenStack-Ansible et les distributions d'éditeurs ne s'exploitent pas de la même façon. Une version d'OpenStack sort tous les six mois, et celles en .1 (2025.1 Epoxy, 2026.1 Gazpacho) permettent de sauter une version à la mise à jour. La 2026.2 Hibiscus est sortie le 30 septembre 2026, et Epoxy est déjà passée en statut « unmaintained ». Le récit de la dernière mise à jour en dit long.
Les services OpenStack qu'un ingénieur exploite au quotidien
Nova et Placement
Le service de calcul. Nova place les machines virtuelles sur les hyperviseurs KVM, gère leur cycle de vie, la migration à chaud et les gabarits (flavors). Son ordonnanceur interroge Placement, qui tient l'inventaire des ressources. Un ingénieur expérimenté sait pourquoi une VM tombe en erreur « No valid host ».
Neutron (Open vSwitch ou OVN)
Le réseau virtuel : réseaux des projets, routeurs, adresses flottantes, groupes de sécurité. Il s'appuie sur Open vSwitch avec des agents, ou sur OVN, qui distribue le routage et le DHCP sur les hyperviseurs. C'est une source de pannes fréquente et la partie la plus exigeante du poste.
Keystone
Les identités et le catalogue des services. Il gère domaines, projets, rôles et jetons, et se raccorde à l'annuaire de l'entreprise par LDAP ou par fédération SAML ou OIDC. Les application credentials servent aux scripts et à Terraform.
Cinder et Glance
Cinder fournit les volumes bloc attachés aux VM, Glance stocke les images de démarrage. Avec Ceph derrière, une VM démarre d'une image par clone léger, sans recopier le disque. Les volumes bloqués en attaching ou en deleting reviennent souvent dans le run.
Octavia
Le service de répartition de charge. Il lance des VM HAProxy (les amphorae) ou passe par OVN pour les cas simples. Il demande un réseau de gestion à part et ses propres certificats, ce qui le rend délicat à opérer.
Ceph
Le stockage distribué le plus souvent associé à OpenStack, pour les volumes, les images et le stockage objet compatible S3 (RGW). Son exploitation est presque un métier en soi : placement groups, rééquilibrage, remplacement de disques, marge de capacité.
Kolla-Ansible et OpenStack-Ansible
Les outils de déploiement communautaires. Kolla-Ansible lance chaque service dans un conteneur, OpenStack-Ansible dans des conteneurs LXC ou directement sur l'hôte. Ils pilotent aussi les montées de version. Les éditeurs ont leurs propres outils : Red Hat déploie désormais son OpenStack sur OpenShift, Canonical passe par Sunbeam ou ses charms.
RabbitMQ et MariaDB Galera
La file de messages et la base que partagent tous les services. Quand RabbitMQ sature ou que Galera perd son quorum, l'API répond encore mais les actions restent en attente. Ces deux briques se surveillent autant que les services OpenStack eux-mêmes.
Ironic
Déploie des serveurs physiques comme s'il s'agissait d'instances, par PXE et par les interfaces de gestion des serveurs (IPMI, Redfish). On le croise pour louer du bare metal ou pour installer les hyperviseurs du cloud lui-même.
Le poste consiste à opérer un cloud privé pour des utilisateurs internes, ou pour des clients qui louent des machines virtuelles et du stockage. Les offres françaises associent souvent OpenStack, Ceph, Ansible et Kubernetes, et parlent de plus en plus de cloud souverain. Le profil vient en général de l'administration Linux et du réseau. Certains construisent la plateforme et l'automatisent, d'autres en assurent le run et l'astreinte. Le Certified OpenStack Administrator (COA) de l'OpenInfra Foundation, examen pratique de trois heures valable trois ans, atteste la manipulation des services. L'exploitation à l'échelle se vérifie en entretien.
Les compétences d'exploitation à vérifier chez un ingénieur OpenStack
- Architecture et services OpenStack
- Réseau Neutron : OVS, OVN, VXLAN
- Stockage Ceph, Cinder et Glance
- Déploiement et montées de version
- Exploitation de RabbitMQ, Galera et supervision
- Identités, quotas et isolation des projets
Cinq situations de production pour évaluer un ingénieur OpenStack
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · junior à confirmé
Un utilisateur lance une VM qui passe en ERROR avec le message « No valid host was found ». Que regardez-vous ?
Une bonne réponseLes journaux de nova-scheduler et de nova-conductor pour savoir quel filtre a écarté les hôtes, puis l'inventaire dans Placement (openstack resource provider) : CPU, RAM et disque disponibles, ratios de surallocation. Il vérifie le gabarit demandé (taille, propriétés, agrégats, zone de disponibilité) et les hyperviseurs désactivés ou hors service. Il sait qu'un échec de création du port réseau peut aboutir au même message après plusieurs tentatives.
Signal d'alerteRedémarrer nova-compute partout, ou « il n'y a plus de place » sans savoir où le vérifier.
Question 2 · confirmé
Une VM démarre mais n'obtient pas d'adresse IP. Comment cherchez-vous ?
Une bonne réponseLa console de la VM pour voir si le client DHCP envoie sa requête, l'état du port Neutron (ACTIVE, binding), puis le chemin. Avec ML2/OVS : l'agent DHCP et son espace de noms (ip netns, tcpdump sur l'interface tap), les flux OVS et le tunnel VXLAN entre l'hyperviseur et le nœud réseau. Avec OVN, le DHCP est servi localement par ovn-controller, et il lit les tables logiques avec ovn-nbctl, ovn-sbctl et ovn-trace. Il vérifie aussi le MTU et les groupes de sécurité.
Signal d'alerteRecréer la VM jusqu'à ce que ça marche, ou ignorer qui sert le DHCP dans cette architecture.
Question 3 · confirmé
Ceph passe en HEALTH_WARN avec des placement groups dégradés après la perte d'un disque. Que faites-vous ?
Une bonne réponseceph status et ceph health detail pour identifier l'OSD tombé et l'état des PG, puis vérifier que la récupération avance et que la capacité restante permet de reconstruire les copies sans franchir les seuils de remplissage (nearfull, full). Ensuite remplacer le disque, recréer l'OSD et suivre le rééquilibrage, en limitant sa vitesse au besoin pour ne pas ralentir les VM. Il sait qu'un OSD plein bloque les écritures des VM.
Signal d'alerteRedémarrer tous les OSD, ou marquer des PG comme perdus pour faire revenir l'état vert.
Question 4 · senior
Votre cloud tourne en 2025.1 Epoxy. Comment préparez-vous le passage à 2026.1 Gazpacho ?
Une bonne réponseCe sont deux versions SLURP, le saut direct est donc possible sans passer par 2025.2. Il lit les notes de version des deux séries, répète la mise à jour sur une préproduction aux options identiques, sauvegarde les bases et la configuration, et suit la procédure de l'outil. Avec Kolla-Ansible : récupération des images, prechecks, upgrade, et passage préalable de RabbitMQ par une version intermédiaire. Il prévoit l'ordre des services, les migrations de base, la fenêtre où l'API peut être indisponible et le plan de retour arrière.
Signal d'alerteMettre à jour tous les paquets d'un coup, ou ignorer ce qu'est une version SLURP.
Question 5 · confirmé
Les créations de VM restent bloquées en BUILD alors que l'API répond. Où cherchez-vous ?
Une bonne réponseDans la chaîne de messages : files RabbitMQ qui grossissent, consommateurs absents, cluster RabbitMQ partitionné, puis services nova-conductor et nova-compute qui ne répondent plus (openstack compute service list). Il vérifie aussi la base Galera (nœuds synchronisés, verrous) et les journaux de l'hyperviseur choisi. Il redémarre un agent précis après avoir compris la cause, pas avant.
Signal d'alerteRedémarrer tous les services de tous les nœuds en même temps.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Questions fréquentes sur le poste d'ingénieur OpenStack
Que vaut la certification COA pour un poste OpenStack ?
Le Certified OpenStack Administrator de l'OpenInfra Foundation est un examen pratique de trois heures, en ligne de commande et sur Horizon, aujourd'hui basé sur la version Caracal. Il reste valable trois ans. Il atteste qu'une personne sait créer projets, réseaux, volumes et instances. Il ne couvre ni le déploiement, ni la montée de version, ni le diagnostic d'une panne de RabbitMQ ou de Ceph. Pour un poste de run, il ne remplace pas le récit d'un incident précis.
Un administrateur VMware peut-il passer sur OpenStack ?
Il connaît la virtualisation, la migration à chaud, le stockage partagé et la haute disponibilité, ce qui aide. L'écart se situe ailleurs : Linux en profondeur, réseau virtuel avec Open vSwitch ou OVN, Ceph, Ansible, et une plateforme faite de dizaines de services qui communiquent par RabbitMQ. Une VM sans adresse IP ou une adresse flottante muette le montrent vite. Le réseau Neutron est la partie la plus éloignée de vSphere.
Combien de temps dure l'entretien technique d'un ingénieur OpenStack ?
Une heure à une heure et demie. Une vingtaine de minutes sur les plateformes déjà exploitées (taille, version, outil de déploiement, astreinte), une demi-heure de questions par thème, puis un cas de vingt minutes sur l'évolution d'une plateforme. Chaque thème se note sur la même échelle, ce qui permet de comparer les candidats. Pour un poste senior, s'y ajoute une discussion détaillée sur une montée de version que la personne a menée.
Un exercice pratique est-il utile pour un poste d'ingénieur OpenStack ?
Oui, s'il ressemble au run. Un petit environnement Kolla tout-en-un avec une panne préparée suffit : une VM sans adresse, un volume bloqué, un service nova-compute arrêté. Ce test technique de trente à quarante-cinq minutes montre les commandes, l'ordre de recherche et la prudence avant de toucher la base de données. La personne dit à voix haute ce qu'elle vérifie et pourquoi.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
