High-Level Design — VMware Cloud Foundation 9.1

Document d'Architecture Macro

---

Propriété	Valeur
Version	0.1 — Draft
Basé sur	VMware Cloud Foundation 9.1 (Broadcom)
Audience	Architectes Infrastructure & Cloud
Statut	En cours de rédaction
Date	Juin 2026
Auteur(s)	À compléter
Reviewer(s)	À compléter

---

Table des Matières

1. Objet et Périmètre
2. Références et Sources
3. Vue d'ensemble VCF 9.1
4. Principes Directeurs d'Architecture
5. Architecture Physique
6. Architecture Logique
7. Management Domain
8. Workload Domains (VI Domains)
9. Architecture Réseau — NSX
10. Architecture Stockage — vSAN
11. Architecture Sécurité
12. Opérations & Management (SDDC Manager / Aria)
13. Connectivité Hybride & Multi-Cloud
14. Sizing & Capacity Planning

📁 Prérequis & Ports → ../installation/prerequisites
📁 Recueil client → ../installation/recueil-client
📁 Chemins d'upgrade & runbooks → ../installation/upgrade-paths
📁 Risques & points d'attention → ../support/risks

---

1. Objet et Périmètre

1.1 Objectif du document

Ce document constitue le High-Level Design (HLD) de l'architecture VMware Cloud Foundation 9.1. Il est destiné aux architectes infrastructure chargés de préparer, dimensionner et valider une implémentation VCF dans un environnement on-premises ou hybride.

Il ne s'agit pas d'un Low-Level Design (LLD) : les paramètres fins de configuration (IP, VLAN, noms d'objets) feront l'objet de documents dédiés en phase suivante.

1.2 Périmètre

Dans le périmètre	Hors périmètre
Architecture VCF Management Domain	Configuration détaillée des switchs physiques
Workload Domains (VI)	Intégrations applicatives métier
Réseau NSX (overlay)	Active Directory / LDAP (prérequis externe)
Stockage vSAN ESA/OSA	Sauvegarde applicative (couche applicative)
Sécurité périmétrique NSX / vDefend	DR applicatif
Lifecycle Management (LCM)
Aria Suite (Opérations, Automatisation, Logs)

1.3 Public cible

• Architectes Cloud / Infrastructure
• Équipes Réseau & Sécurité
• Équipes Stockage
• Équipes Opérations

---

2. Références et Sources

🔒 Les liens marqués [🔒 Broadcom Docs] nécessitent une connexion préalable au Portail Broadcom Support (compte gratuit). Une fois connecté, les liens fonctionnent directement.

Source	Description	URL
Broadcom Documentation Portal	Documentation officielle VCF 9.x	🔒 docs.broadcom.com — VCF
VCF 9.1 — Documentation complète	Index de toute la doc VCF 9.1	🔒 VCF 9.1 Documentation
VCF Release Notes / BOM	Versions composants VCF 9.1	🔒 VCF 9.1 Release Notes
VCF Planning & Preparation	Prérequis et sizing officiels	🔒 VCF 9.1 Planning Guide
NSX Reference Design Guide	Architecture réseau NSX	🔒 docs.broadcom.com — NSX
vSAN Design Guide	Architecture stockage vSAN	🔒 docs.broadcom.com — vSAN
VCF Validated Solution Guides	Solutions validées Broadcom	🔒 VCF Validated Solutions
VMware Compatibility Guide (VCG)	Compatibilité matérielle — accès libre	compatibilityguide.broadcom.com
Broadcom Ports & Protocols	Matrice des ports VCF — accès libre	ports.broadcom.com — VCF
Arun Nukula Blog	Blog du Product Manager VCF Broadcom — upgrade paths, runbooks — accès libre	arunnukula.com
Frank Denneman Blog	Architecture vSphere/vSAN — accès libre	frankdenneman.nl

---

3. Vue d'ensemble VCF 9.1

3.1 Qu'est-ce que VCF 9.1 ?

VMware Cloud Foundation (VCF) est la plateforme SDDC (Software-Defined Data Center) intégrée de Broadcom. Elle regroupe dans un seul produit :

• Compute : VMware vSphere 9 (ESXi + vCenter)
• Réseau : VMware NSX 9
• Stockage : VMware vSAN 9 (ESA prioritaire)
• Management & Automation : SDDC Manager, Aria Suite
• Sécurité avancée : vDefend (ex-NSX Advanced Threat Prevention)
• Lifecycle Management : Fleet Lifecycle + SDDC Lifecycle (VCF 9.1)

VCF 9.1 introduit des évolutions majeures par rapport aux versions 5.x, notamment autour de l'autonomie opérationnelle (AI-driven operations), le support natif des workloads GPU/AI, et l'intégration renforcée avec Aria.

3.2 Nouveautés clés VCF 9 / 9.1

Domaine	Nouveauté
vSphere 9	Autonomous Operations, ESXi Next-Gen kernel, vCenter redesign
vSAN ESA	vSAN Express Storage Architecture généralisé, compression adaptative
NSX 9	Distributed Firewall amélioré, intégration native vDefend
SDDC Manager	Interface unifiée, API-first, déploiement simplifié
AI/GPU Workloads	Support natif workloads IA (vGPU, GPU passthrough, AI clusters)
Aria Suite	Aria Operations 9 avec ML-based anomaly detection
Nouveau LCM (9.1)	Fleet Lifecycle + SDDC Lifecycle remplacent le Fleet Management Appliance 9.0.x
Licensing	Modèle VCF subscription unifié (Core + Add-ons), License Server dédié

3.3 Composants VCF 9.1

Composant	Rôle
VCF Operations	Optimisation des performances, capacity planning, remediation intelligente
VCF Operations Cloud Proxy	Communication sécurisée entre sites distants et VCF Operations
VCF Operations for Networks	Visibilité réseau et analytics (ex-Aria Operations for Networks)
VCF Services Runtime	Plateforme Kubernetes pour héberger les composants de management conteneurisés
Fleet Lifecycle	Orchestrateur du cycle de vie des composants de management (remplace Fleet Mgmt Appliance)
SDDC Lifecycle	Moteur d'exécution du Fleet Lifecycle
Salt RaaS / Salt Master	Gestion de configuration centralisée à l'échelle (SaltStack)
Real Time Metrics / Store	Métriques en temps réel et leur stockage haute fréquence
Log Management	Collecte et indexation centralisées des logs (ex-Aria Log Insight)
Telemetry Acceptor	Collecte de télémétrie pour le support proactif Broadcom
VCF Automation	Provisioning self-service et IaC
Software Depot	Stockage des binaires pour installation, upgrade et patch
License Server	Gestion des licences VCF Fleet
Identity Broker	SSO plateforme VCF, intégration Okta, Ping et autres IdP
SDDC Manager	Cerveau de VCF : déploiement, LCM, inventaire, passwords, certificats
vCenter	Gestion vSphere (un par domaine)
NSX Manager	Plan de contrôle réseau (cluster de 3 nœuds)
ESXi	Hyperviseur Type-1

3.4 Positionnement des éditions

Édition	Composants inclus	Usage cible
VCF Standard	vSphere, vSAN, NSX Base, SDDC Manager	SDDC classique
VCF Advanced	+ NSX Advanced, vDefend, Aria Operations	Sécurité & Ops avancées
VCF Enterprise	+ Aria Suite complète, HCX, Tanzu	Cloud hybride & multi-cloud

---

4. Principes Directeurs d'Architecture

#	Principe	Justification
P1	Infrastructure as Code	Déploiement reproductible via APIs SDDC Manager / Terraform
P2	Résilience par conception	Pas de SPOF : HA, vSAN FTT, NSX Edge clustering
P3	Séparation Management / Workload	Isolation du plan de management pour sécurité et LCM
P4	Scalabilité horizontale	Extension par ajout de hosts ou de Workload Domains
P5	Sécurité Zero-Trust	Micro-segmentation NSX, chiffrement vSAN, vDefend
P6	Lifecycle Management centralisé	Toutes mises à jour orchestrées par Fleet Lifecycle / SDDC Manager
P7	Observabilité native	Aria Operations intégré dès J0
P8	Standardisation	Profils de configuration standard (Network Profiles, Storage Policies)

---

5. Architecture Physique

5.1 Topologie Physique Générale

5.2 Profil des Hôtes ESXi

Profil	Usage	CPU	RAM	Réseau	Stockage
Management Host	Management Domain	2x CPU ≥ 16c	≥ 512 GB	2x 25 GbE (ou 4x 10 GbE)	vSAN : 2x NVMe cache + 4x NVMe capa
Workload Host Standard	VI Workload Domain	2x CPU ≥ 32c	≥ 1 TB	2x 25/100 GbE	vSAN ESA : 4-6x NVMe
Workload Host GPU	AI/ML Workloads	2x CPU ≥ 32c	≥ 2 TB	2x 100 GbE	vSAN ESA + GPU(s) PCIe

Minimum requis : 4 hôtes par domaine (vSAN FTT=1), recommandé 6+ pour FTT=2.

5.3 Architecture Réseau Physique

VLAN / Réseau	Usage	Recommandation
Management Network	ESXi mgmt, vCenter, SDDC Mgr	/24 minimum, routé
vMotion Network	Live migration	/24, faible latence
vSAN Network	Trafic stockage inter-hôtes	/24, MTU 9000, dédié
NSX Overlay (TEP)	Trafic GENEVE overlay	/24, MTU 9000
NSX Edge Uplinks	Connectivité Nord-Sud	Trunk VLAN vers routeurs
OOB Management	iDRAC/iLO, switches	Réseau séparé isolé

---

6. Architecture Logique

6.1 Vue Logique d'Ensemble

6.2 Composants Logiques Clés

Composant	Rôle	Déploiement
SDDC Manager	Orchestrateur central VCF (déploiement, LCM, inventaire)	VM dédiée, Management Domain
vCenter (Management)	Gestion vSphere du Management Domain	VM HA, Management Domain
vCenter (par WLD)	Gestion vSphere de chaque Workload Domain	VM HA, par WLD
NSX Manager Cluster	Plan de contrôle réseau (3 nodes)	VMs Management Domain
NSX Edge Cluster	Passerelles N/S, services réseau avancés	VMs dédiées ou BM
VCF Services Runtime	Kubernetes pour les nouveaux composants conteneurisés	VMs Management Domain
Fleet Lifecycle	LCM des composants de management	Conteneur dans VCF Services Runtime
Aria Operations	Monitoring & performance	Cluster VMs dédié
VCF Automation	Self-service & IaC	Cluster VMs dédié
Log Management	Centralisation des logs	Cluster VMs dédié

---

7. Management Domain

7.1 Rôle et Responsabilités

Le Management Domain est le cœur de VCF. Il héberge tous les composants de management de la plateforme et doit être dimensionné et protégé en priorité.

Règle fondamentale : Aucune VM applicative métier ne doit être déployée dans le Management Domain.

7.2 Composants hébergés

Management Domain
├── SDDC Manager (1 VM)
├── vCenter Server (1 VM, HA via vSphere HA)
├── NSX Manager (3 VMs — cluster actif/actif/actif)
├── NSX Edge Nodes (2 à N VMs selon besoin)
├── VCF Services Runtime (Kubernetes cluster)
│   ├── Fleet Lifecycle
│   ├── SDDC Lifecycle
│   ├── Salt RaaS + Salt Master
│   ├── Software Depot
│   ├── License Server
│   ├── Identity Broker
│   └── Telemetry Acceptor
├── VCF Operations (cluster)
├── VCF Automation (cluster)
├── Log Management (cluster)
├── VCF Operations Cloud Proxy
└── vSAN Witness (si stretched cluster)

7.3 Sizing Management Domain

Composant	vCPU	RAM	Stockage
SDDC Manager	4	16 GB	200 GB
vCenter Server	8-16	32-48 GB	700 GB
NSX Manager (x3)	6	24 GB	300 GB chacun
NSX Edge (x2 min)	8	32 GB	200 GB chacun
VCF Services Runtime (CIDR min 12 IPs)	4/node	16 GB/node	200 GB/node
VCF Operations	16+	64+ GB	2+ TB
VCF Automation	16+	64+ GB	1+ TB
Log Management	8+	32+ GB	variable

Se référer au VCF 9.1 — System Requirements (Broadcom Docs — authentification requise) et au VCF Release Notes / BOM pour les valeurs exactes en VCF 9.1.
ℹ️ L'ancien outil vsizingtools.broadcom.com a été retiré par Broadcom — les exigences de sizing sont désormais intégrées directement dans la documentation officielle VCF Planning and Preparation.

7.4 Protection du Management Domain

• vSphere HA activé sur le cluster management
• vSAN FTT = 1 minimum (RAID-1), recommandé FTT = 2 (RAID-6/RAID-5)
• Sauvegardes SDDC Manager via API (backup natif)
• File-based backup de vCenter et NSX Manager
• Snapshots obligatoires avant tout upgrade de composant

---

8. Workload Domains (VI Domains)

8.1 Concept et Isolation

Un VI Workload Domain est un ensemble cohérent de ressources compute, storage et réseau géré de façon autonome par son propre vCenter, tout en restant sous le contrôle du SDDC Manager.

Avantages :

• Isolation des workloads (prod, dev, DMZ, BU...)
• LCM indépendant par domaine
• Politiques NSX et stockage dédiées
• Scalabilité horizontale

8.2 Types de Workload Domains

Type	Description
VI Domain Standard	Workloads VM généraux
VI Domain GPU/AI	Workloads ML/AI avec GPU passthrough ou vGPU
Stretched VI Domain	Cluster étendu sur 2 sites + witness
VCF on VxRail Domain	Intégration Dell VxRail comme hyperconvergé certifié

8.3 Modèle d'Organisation recommandé

VCF Platform
├── Management Domain          ← Composants plateforme
├── WLD-PROD-01                ← Production Tier 1
├── WLD-PROD-02 (optionnel)    ← Production Tier 2 / DR
├── WLD-NONPROD-01             ← Dev / Test / UAT
└── WLD-DMZ-01 (optionnel)     ← Workloads exposés Internet

---

9. Architecture Réseau — NSX

9.1 Vue d'ensemble NSX dans VCF

NSX fournit la couche réseau et sécurité logicielle complète de VCF. Dans VCF 9.1, NSX est déployé en mode full overlay (GENEVE) sur tous les hôtes ESXi.

9.2 Plan de Transport (Underlay)

• Protocole Overlay : GENEVE (port UDP 6081)
• MTU requis : 9000 octets sur tous les liens utilisés par les TEPs
• TEP (Tunnel Endpoints) : Interfaces VMkernel dédiées sur chaque hôte ESXi
• Transport Zones :
  • nsx-overlay-transportzone → segments overlay (VMs)
  • nsx-vlan-transportzone → VLAN uplinks Edge

9.3 Architecture des Passerelles

Internet / WAN
      │
  [Routeur Physique / Firewall Périmètre]
      │
  [NSX Edge — Tier-0 Gateway]   ← BGP ou Static vers upstream
      │
  [NSX Tier-1 Gateways]         ← 1 par tenant/domaine/application
      │
  [Segments NSX Overlay]        ← Réseaux des VMs
      │
  [VMs Workloads]

9.4 NSX Edge Cluster

Paramètre	Valeur recommandée
Nombre de nodes	2 (HA N+1), 4 pour haute disponibilité
Forme	VM (Large ou Bare-Metal pour performances)
Placement	Management Domain (ou WLD dédié Edge)
Mode HA	Active/Standby (T0 HA) ou ECMP actif/actif
BGP	Recommandé avec routeurs physiques (AS dédié NSX)

9.5 Distributed Firewall & vDefend

• DFW : Firewall distribué appliqué au niveau de chaque vNIC de VM
• vDefend : Module IDS/IPS, Network Detection & Response (NDR), Malware Prevention
• Groupes de sécurité : Basés sur tags, attributs VM, cluster vSphere
• Politiques : Modèle Zero-Trust — deny all par défaut, ouvertures explicites

---

10. Architecture Stockage — vSAN

10.1 vSAN ESA vs OSA

Critère	vSAN ESA (Express Storage Architecture)	vSAN OSA (Original)
Disques	NVMe uniquement	NVMe / SSD / HDD
Architecture	Single-tier (pas de cache séparé)	Cache + Capacity tiers
Compression	Adaptative inline	Post-process
Snapshot	Native snapshots hautes perf	Traditionnels
VCF 9.1	Architecture recommandée	Support maintenu

Recommandation VCF 9.1 : vSAN ESA pour tous les nouveaux déploiements.

10.2 Politiques de Stockage (SPBM)

La gestion du stockage vSAN est pilotée par des Storage Policies (SPBM — Storage Policy Based Management) :

Politique	FTT	Méthode	Usage
Gold (Production critique)	FTT=2	RAID-6 (4+2)	DBs, VMs critiques
Silver (Production standard)	FTT=1	RAID-5 (3+1)	Applications standard
Bronze (Non-prod)	FTT=1	RAID-1 (mirroring)	Dev/Test
Management	FTT=1	RAID-1	VMs Management Domain

10.3 Encryption et Sécurité vSAN

• Data at Rest Encryption : Chiffrement vSAN natif (KMIP externe recommandé)
• Data in Transit Encryption : Activation par politique SPBM
• Key Management : Intégration avec KMS externe (HyTrust, Thales, etc.)

---

11. Architecture Sécurité

11.1 Modèle de Sécurité VCF

VCF 9.1 s'appuie sur un modèle Zero-Trust multi-couches :

┌─────────────────────────────────────────────────┐
│  COUCHE 5 — Sécurité Applicative                │  (hors périmètre VCF)
├─────────────────────────────────────────────────┤
│  COUCHE 4 — vDefend (IDS/IPS, NDR, Malware)     │  NSX vDefend
├─────────────────────────────────────────────────┤
│  COUCHE 3 — Micro-segmentation (DFW)            │  NSX DFW
├─────────────────────────────────────────────────┤
│  COUCHE 2 — Sécurité Réseau N/S (Edge FW)       │  NSX Gateway Firewall
├─────────────────────────────────────────────────┤
│  COUCHE 1 — Sécurité Infrastructure             │  vSphere, vSAN Encrypt
└─────────────────────────────────────────────────┘

11.2 Gestion des Identités et Accès

Domaine	Solution recommandée
Authentification	SSO vSphere intégré + Active Directory / LDAP
MFA	Identity Broker (VCF 9.1 natif) ou IdP externe (Okta, ADFS, Ping)
RBAC vCenter	Rôles personnalisés, principe du moindre privilège
RBAC NSX	Séparation rôles NetAdmin / SecAdmin / Auditor
PAM (Comptes privilegiés)	CyberArk / Delinea (recommandé)
Audit & Logs	Log Management (VCF) + SIEM externe

11.3 Conformité et Hardening

• Appliquer les VMware Security Configuration Guides (SCG) pour vSphere, NSX, vSAN
• Activer vSphere Trust Authority pour l'attestation des hôtes ESXi
• Utiliser Secure Boot et TPM 2.0 sur les hôtes physiques
• Désactiver les services ESXi non utilisés (SSH, ESXCLI distant)
• Rotation régulière des mots de passe via SDDC Manager Password Management

---

12. Opérations & Management (SDDC Manager / Aria)

12.1 SDDC Manager — Orchestrateur Central

SDDC Manager est le cerveau opérationnel de VCF :

Fonction	Description
Déploiement	Bringup automatisé (Cloud Builder → SDDC Manager)
LCM	Lifecycle Management : upgrades orchestrés de tous composants
Inventory	Vision globale hosts, domaines, clusters
Password Management	Rotation automatique des mots de passe
Certificate Management	Gestion PKI interne ou intégration CA externe
Backup/Restore	Sauvegarde configuration SDDC Manager
API	API REST complète pour automatisation

12.2 Aria Suite — Opérations Avancées

Composant VCF 9.1	Ancien nom	Rôle clé
VCF Operations 9	Aria Operations	Monitoring, capacity planning, anomaly detection ML
VCF Automation 9	Aria Automation	IaC, self-service catalog, pipelines CI/CD infra
Log Management	Aria Log Insight	Centralisation et analyse logs
VCF Operations for Networks	Aria Operations for Networks	Visibilité réseau, audit sécurité

📁 Documentation détaillée VCF Automation : ../../vcf-automation/

12.3 Latences Réseau entre Composants VCF

🔗 Source : ports.broadcom.com — Network Diagrams VCF

Lien	Latence max tolérée
Intra-Management Domain (vCenter ↔ SDDC Manager ↔ NSX Manager)	≤ 50 ms
Management Domain ↔ Workload Domain (vCenter WLD)	≤ 100 ms
NSX Edge ↔ composants Management Domain	≤ 150 ms
Entre instances VCF distinctes (multi-site)	≤ 200 ms
VCF Operations Fleet Manager ↔ instances VCF	≤ 300 ms

⚠️ Ces seuils sont bloquants — les dépasser entraîne instabilité du cluster NSX Manager, timeouts vSphere HA, et dégradation des performances vSAN.

12.4 Modèle Opérationnel

J0 — Déploiement      : Cloud Builder → VCF Bringup → SDDC Manager
J1 — Configuration    : Workload Domains, Réseaux NSX, Policies
J2 — Opérations       : VCF Operations (monitoring), LCM (patches), Automatisation

---

13. Connectivité Hybride & Multi-Cloud

13.1 HCX — Migration et Interconnexion

VMware HCX (disponible en add-on VCF Enterprise) permet :

• Migration live (vMotion étendu) vers/depuis VMware Cloud on AWS, Azure VMware Solution, etc.
• Network Extension : Extension L2 vers cloud public
• DR : Réplication et basculement applicatif

13.2 Options de Connectivité Nord-Sud

Option	Description	Usage
BGP via NSX Edge	Peering BGP avec routeurs DC	Recommandé production
Static routing	Routes statiques	Environnements simples
SD-WAN	Intégration VMware SD-WAN (VeloCloud)	Sites distants
Direct Connect / ExpressRoute	Connectivité cloud privée	Hybride cloud

---

14. Sizing & Capacity Planning

14.1 Méthodologie

1. Inventaire des workloads : recenser VMs existantes (vCPU, RAM, stockage, IOPS)
2. Projections de croissance : horizon 3 ans minimum
3. Application des ratios : vCPU:pCPU (recommandé ≤ 8:1 production), RAM overcommit (≤ 1.25:1)
4. Validation via 🔒 VCF System Requirements (Broadcom Docs — connexion requise)
5. Réserve de capacité : Minimum 20-25% headroom en permanence

14.2 Règles d'Or pour le Sizing VCF

Paramètre	Recommandation
Hôtes minimum par cluster	4 (vSAN FTT=1), 6 (FTT=2)
Hôtes maximum par cluster	64 (vSphere) / 32 (recommandé vSAN perf)
Clusters par vCenter	≤ 32 (recommandé)
VMs par vCenter	≤ 35 000 (limites vSphere 9)
NSX Managers	Toujours 3 (cluster odd number)
IPs pour VCF Services Runtime	Minimum 12 IPs contiguës, maximum 30

14.3 Modèle de Capacité (Template)

Ressource	Actuel	J+6 mois	J+12 mois	J+24 mois	J+36 mois
Hôtes ESXi
vCPU total disponibles
RAM total (TB)
Stockage vSAN brut (TB)
Stockage vSAN utilisable (TB)
Nombre de VMs

---

Document d'architecture HLD VCF 9.1 — v0.1 Draft — Juin 2026