AKS offre un contrôle profond ; Azure Container Apps réduit fortement la charge d’exploitation. Pour un runtime d’agents IA, la question n’est pas de choisir la plateforme la plus impressionnante, mais celle dont l’équipe peut maintenir les contrôles de production dans la durée.
Quand Azure Container Apps est le chemin raisonnable
ACA convient à une équipe unique, à un premier produit, à un laboratoire ou à un environnement sensible aux coûts. L’environnement managé supprime la gestion des nœuds, fournit des règles de scaling intégrées et utilise nativement une identité managée affectée par l’utilisateur.
Une architecture sérieuse peut rester privée : environnement injecté dans le VNet, ingress interne, registre privé, services PaaS accessibles par endpoints privés, secrets dans Key Vault et télémétrie vers Application Insights ou Log Analytics.
Quand AKS devient justifié
AKS prend du sens pour une plateforme multi-équipe, des exigences de politique réseau fines, des besoins Kubernetes existants ou un volume d’observabilité élevé. Workload Identity, OIDC, Cilium, autoscaling et politiques de cluster donnent davantage de contrôle, au prix des mises à niveau, des node pools et d’une surface opérationnelle plus large.
Pour une observabilité LLM auto-hébergée, AKS peut également accueillir une pile complète avec ses dépendances analytiques. Sur ACA, une version simplifiée peut couvrir le tracing et la gestion des prompts, mais les capacités analytiques et le débit doivent être évalués.
Les composants partagés ne changent pas
Quel que soit le compute, les invariants restent les mêmes :
- passage obligatoire par API Management comme AI Gateway ;
- identité dédiée et moindre privilège pour chaque workload ;
- Azure AI, Search, Key Vault et registre sans accès public lorsque le contexte l’exige ;
- DNS privé et réseau testés, pas seulement déclarés ;
- traces corrélées entre gateway, application, modèle et outil ;
- évaluations de qualité et de sécurité avant la promotion.