Dans les architectures Metro Availability Nutanix, la gestion des pannes est un sujet qui est souvent mal abordé dès la conception. Très régulièrement, je retrouve des environnements sans witness où le mode de gestion des défaillances est positionné en Manual, avec l’argument classique : « on n’a pas de witness, donc on préfère tout contrôler ».
Sur le terrain, c’est presque toujours une mauvaise décision.
Le mode Manual n’est pas un mode “sécurisé”. C’est un mode bloquant, qui transfère la responsabilité de la continuité de service de la plateforme vers l’humain, précisément dans les situations où l’humain est le moins efficace : incidents réseau, pannes partielles, dégradations complexes.
Pour bien comprendre pourquoi, il faut regarder ce que fait réellement la plateforme selon le mode choisi.
Dans un scénario de perte complète du site secondaire (Site B), ou de perte réseau totale vers ce site, le comportement est identique en mode Witness et en mode Automatic Resume : après expiration du délai de rupture automatique (10 secondes par défaut), Metro Availability est désactivé et les écritures reprennent sur le conteneur actif du Site A uniquement, permettant la continuité de service des VMs.
En mode Manual, en revanche, les écritures restent bloquées tant que la connectivité inter-sites n’est pas restaurée ou qu’un administrateur ne désactive pas manuellement Metro Availability. Ce blocage des écritures sur le conteneur actif entraîne un arrêt fonctionnel des VMs. Autrement dit, on transforme un incident potentiellement non bloquant en interruption de service volontaire.
Le même constat s’applique à une perte de connectivité entre les deux sites. Sans witness, le mode Automatic Resume permet, après expiration du timeout, la désactivation automatique de Metro Availability et la reprise des écritures sur le site primaire. En mode Manual, les écritures restent à nouveau bloquées indéfiniment, en attente d’une action humaine.
C’est là que l’erreur de conception apparaît : le mode Manual est souvent perçu comme un moyen de se protéger du split-brain en l’absence de witness. En réalité, il n’apporte pas de protection technique supplémentaire ; il se contente de transférer la décision à l’administrateur.
Le mode Manual permet certes d’éviter un split-brain par choix humain explicite, mais ce comportement n’est pas lié à l’absence de witness. C’est une confusion courante que de considérer le mode Manual comme le mode « naturel » ou « recommandé » lorsqu’aucun witness n’est déployé. En pratique, ce choix introduit surtout une dépendance opérationnelle immédiate, avec un impact direct sur la disponibilité.
Même dans des scénarios plus complexes — perte simultanée de la liaison inter-sites et d’un des liens vers le witness — le mode Automatic Resume reste cohérent. Il privilégie la continuité de service tant qu’un site est en mesure de fonctionner et que le stockage local reste accessible. Le mode Manual, lui, adopte une posture systématiquement conservatrice : blocage des écritures et attente d’une action humaine, y compris dans des situations où la plateforme pourrait reprendre automatiquement sans ambiguïté.
Un autre cas très parlant est celui des incidents de stockage affectant un seul site. En mode Automatic Resume, les écritures ne sont bloquées que si nécessaire, et la reprise peut s’appuyer sur une désactivation automatique de Metro Availability dès que les conditions sont réunies. En mode Manual, une intervention manuelle supplémentaire est systématiquement requise, même après résolution de l’incident, ce qui rallonge inutilement le RTO.
Ce que montrent ces scénarios, c’est que le mode Manual ne doit pas être vu comme une alternative “prudente” en l’absence de witness. Il doit être réservé à des cas très spécifiques, généralement temporaires, où l’on accepte explicitement une interruption de service pour éviter toute ambiguïté : par exemple lors d’opérations de maintenance lourdes ou de tests très encadrés.
En exploitation normale, et en particulier dans les environnements sans witness, le mode Automatic Resume est presque toujours le meilleur choix. Il permet à la plateforme de continuer à faire ce qu’elle sait faire : maintenir la disponibilité tant que les conditions le permettent, sans introduire de dépendance inutile à une action humaine immédiate.
Le witness est souvent la meilleure option lorsqu’il est disponible, car il permet une désactivation automatique et sans ambiguïté de Metro Availability, ainsi que la promotion du site secondaire en cas de perte du site primaire. Mais son absence ne justifie pas de basculer en mode Manual par défaut.
Comme souvent avec Nutanix, le problème n’est pas la fonctionnalité mais la manière dont elle est utilisée. Le mode Manual est trop souvent choisi par réflexe, pour se rassurer, pas parce qu’il répond à un besoin réel. En pratique, il n’apporte pas plus de sécurité ; il introduit surtout un point de blocage supplémentaire exactement là où l’on cherche à éviter toute dépendance humaine.
En Metro Availability, l’architecture doit être pensée pour encaisser les incidents, pas pour attendre qu’un humain décide quoi faire sous pression. Tant que la plateforme est capable de continuer à fonctionner sans ambiguïté, il n’y a aucune raison valable de l’en empêcher. Le rôle de l’architecte n’est pas de reprendre la main à chaque panne, mais de concevoir un système qui n’en a pas besoin.




