Ne découvrez pas l'examen
le jour J

Artifact : bibliothèque centrale d'accords de conformité, rapports d'audit (SOC 2, ISO 27001, PCI DSS) et certifications AWS. Facilite la démonstration de conformité aux régulateurs.

Réponse : EC2 est considéré comme un service web serverless.
Explication : EC2 offre une virtualisation complète de serveurs mais nécessite gestion des instances, ce n’est pas du serverless.

Réponse : Amazon EC2 / AWS Lambda.
Explication : Amazon EC2 et AWS Lambda offrent des ressources de calcul : EC2 pour des serveurs virtualisés, Lambda pour du serverless à la demande.

Réponse : Amazon EC2 et AWS Lambda.
Explication : Les Savings Plans AWS couvrent Amazon EC2, AWS Lambda et AWS Fargate, permettant des économies importantes pour ces ressources.

Security Hub : agrège les résultats de sécurité de multiples services AWS. Fournit un tableau de bord centralisé pour la visibilité complète et l'orchestration des remédiation.

Réponse : Amazon Inspector. Explication : Amazon Inspector est un service automatisé de gestion des vulnérabilités qui analyse continuellement les instances EC2 pour détecter les vulnérabilités de logiciels et l'exposition réseau non intentionnelle. Il contrôle également le respect des bonnes pratiques de sécurité AWS.

Réponse : Sécurité. Explication : Le pilier Sécurité du cadre AWS Well-Architected couvre la protection des informations, systèmes et actifs par le biais d'évaluations des risques et de contrôles de sécurité. Il comprend IAM, les contrôles détectifs, la protection de l'infrastructure, la protection des données et la réaction aux incidents.

Réponse : Ressources élastiques / Réduction des coûts.
Explication : AWS permet d’adapter dynamiquement les ressources (élasticité) et de remplacer les gros investissements (capex) par des coûts variables plus faibles (opex).

Réponse : Capacité à monitorer les systèmes et améliorer les processus de support.
Explication : L’excellence opérationnelle implique d’optimiser les opérations, la surveillance et l’amélioration continue des processus.

Réponse : Permettre la communication entre le VPC et internet. Explication : Une passerelle internet est un composant VPC qui permet la communication sortante vers internet pour les instances avec des adresses IP publiques et autorise les connexions entrantes depuis internet vers ces instances.

Knowledge Base + RAG : approche optimale qui injecte des données contextuelles pertinentes dans le prompt sans réentraîner le modèle. RAG (Retrieval-Augmented Generation) récupère dynamiquement l'information nécessaire, réduisant tokens utilisés et coûts API. Contrairement aux prompts géants (dépassement de limite, coûts élevés), au fine-tuning systématique (coûteux et chronophage), ou au zero-shot (précision insuffisante), cette méthode équilibre efficacité et économie.

Température élevée sans contrôle : augmenter la température accroît l'aléa et la créativité du modèle, rendant les réponses moins prévisibles et plus susceptibles de générer du contenu indésirable ou malveillant. Contrairement aux autres pratiques qui renforcent la sécurité (templates robustes, least-privilege IAM, filtrage des entrées), cette approche aggrave les risques d'injection de prompt en réduisant la cohérence des protections.

Object detection : détecte et classe automatiquement les objets (animaux) dans les images sans annotation préalable, en localisant leurs positions via des boîtes englobantes. Contrairement à l'anomaly detection (qui identifie seulement les cas inhabituels), à la NER (qui extrait du texte) ou à l'inpainting (qui complète des images), seule la détection d'objets combine classification et segmentation spatiale pour catégoriser tous les animaux présents.

CloudTrail vs Bedrock Invocation Logging : CloudTrail enregistre les appels API (qui a appelé, quand, statut), mais pas le contenu des prompts/réponses. Pour capturer le détail des interactions (prompts, réponses, tokens), vous devez activer explicitement l'invocation logging dans Bedrock. Ce sont deux couches de logging complémentaires, pas interchangeables.

Transcription audio → NLP : Amazon Transcribe convertit les appels audio en texte, étape indispensable avant tout traitement NLP. Sans cette conversion, les services NLP (Comprehend, Lex) ne peuvent traiter que du texte. C'est le pipeline standard : Audio → Transcribe → Texte → NLP/Analyse.

Asynchronous Inference : mode conçu pour les requêtes longues (jusqu'à 1 heure) et les gros volumes (jusqu'à 1 Go). Le client soumet la demande et reçoit une URL S3 pour récupérer le résultat ultérieurement. Contrairement à Real-time (synchrone, timeout court), Serverless (pas adapté aux gros payloads) et Batch Transform (données statiques en masse), l'inférence asynchrone offre la flexibilité nécessaire pour les traitements complexes avec réponse différée.

Knowledge Base Bedrock : service managé qui indexe et stocke les documents externalement, puis injecte automatiquement dans le prompt uniquement les passages pertinents via RAG (Retrieval-Augmented Generation). Cela réduit drastiquement la taille des prompts comparé à inclure tous les PDF à chaque appel, limitant donc les tokens consommés et les coûts. Le fine-tuning sur tous les PDF serait coûteux en entraînement et peu flexible face aux mises à jour documentaires.

Résumé génératif à grande échelle : Les modèles de fondation via Bedrock excellent dans la synthèse de contenu complexe et nuancé, bien mieux que les outils de classification. Scalable batch pour traiter des milliers de documents.

Vrai. Une grande fenêtre permet d’inclure davantage de texte (ou de contextes RAG), contrairement à des paramètres comme la température.

Bedrock Invocation Logging : fonctionnalité dédiée qui enregistre les prompts, réponses complètes et métadonnées (latence, tokens, modèle utilisé) dans CloudWatch Logs. CloudTrail capture uniquement les appels API sans payloads. Audit Manager audite la conformité, pas les logs techniques. EventBridge ne capture pas les données d'invocation détaillées.

Openness means the Scrum Team and its stakeholders agree to be open about all the work and the challenges with performing the work. Sharing progress, obstacles, and risks openly — even when the news is not positive — enables stakeholders to make informed decisions and help the team. Transparency is a Scrum pillar (not a value), Courage relates to doing the right thing, and Commitment relates to the team's dedication to goals.

Team Size and Communication Complexity: Scrum Teams exceed optimal effectiveness beyond 10 members due to exponential growth in communication paths. With n people, possible communication pairs equal n(n-1)/2, creating coordination overhead that diminishes agility. Opinions, meetings, and backlog items scale with team size but don't directly cause ineffectiveness; communication complexity is the fundamental constraint.

Sprint Backlog Ownership: The Developers own the Sprint Backlog—it's their commitment and self-management tool. They decide what work to include, how to accomplish it, and adjust it during the Sprint. This differs from the Product Backlog, owned by the Product Owner, ensuring Developers have autonomy in execution.

Answer: The Development Team.
Explanation: The Sprint Backlog belongs to the Development Team. They have the authority to add, remove, and update Sprint Backlog items as needed during the Sprint to achieve the Sprint Goal.

Product Owner Authority: Only the Product Owner possesses the authority to cancel a Sprint, as they control business value priorities and can decide if Sprint goals no longer align with organizational objectives. While the Scrum Master facilitates and Developers execute work, neither has cancellation authority. Stakeholders influence decisions but lack formal power.

Sprint Retrospective Purpose: Inspects the Sprint's process and outcomes to identify improvements. The team reflects on people, interactions, processes, and tools—not product features. Unlike Sprint Review (stakeholder feedback on Increment) or Sprint Planning (creating Sprint Backlog), Retrospective focuses on team performance and continuous process improvement.

Answer: Existing teams propose organization; developers self-organize into teams.
Explanation: Scrum values self-organization. Teams should form organically rather than being assigned by management. Letting existing teams propose structure or developers self-organize both respect Scrum's self-management principle.

Answer: To inspect the product Increment with stakeholders and collect feedback on next steps.
Explanation: The Sprint Review is a collaborative working session where the Scrum Team and stakeholders inspect the Increment and adapt the Product Backlog based on what was learned.

Answer: Unique per product, can contain bugs and risks, emergent and evolving.
Explanation: The Product Backlog is a single, evolving list containing diverse items — features, bugs, risks, technical work — all ordered by the PO.

Answer: Inspect the Increment and adapt the Product Backlog.
Explanation: The Sprint Review is held to inspect the Increment and adapt the Product Backlog in collaboration with stakeholders.

Product Goal commitment: The Product Goal is the overarching commitment associated with the Product Backlog, serving as the long-term objective that guides all backlog refinement and sprint planning. The Product Backlog exists to support the realization of the Product Goal, which describes a future state of the product and provides direction for the entire Scrum Team. Unlike the Sprint Goal (which is a shorter-term commitment for a single sprint) or Definition of Done (which is a quality standard), the Product Goal represents the persistent, strategic vision that evolves as the product develops and stakeholder needs change.

The Daily Scrum is a 15-minute event for the Developers only to synchronize their work and plan their next 24 hours. The Product Owner has no required role or responsibility during this ceremony, though they may attend as observers if invited. The Scrum Master facilitates the event, not the Product Owner, and status updates are exchanged among Developers, not reported to the Product Owner. Sprint Backlog updates and item approvals happen outside the Daily Scrum through ongoing collaboration.

Answer: Enough so the PO is confident the Increment will meet the intended value.
Explanation: Scrum does not prescribe a fixed percentage of PO time. The PO must invest sufficient time to keep the Product Backlog ready, answer questions during Sprints, and ensure the team understands what constitutes value.

Answer: Story points, burndown chart, Definition of Ready.
Explanation: Only the Daily Scrum (and other Scrum events) are prescribed. Story points, burndowns, and DoR are optional practices.

Answer: The Scrum Team and stakeholders inspect the outcome and figure out what to do next.
Explanation: The Sprint Review is a collaborative working session — not a demo or status report. It inspects the Increment and adapts the Product Backlog based on what was learned and stakeholder feedback.

Ordering criteria should reflect factors that influence value delivery. Value of PBIs is the primary driver. Dependencies between items may require some items to precede others regardless of their individual value. External dependencies (other products, systems, teams) similarly constrain sequencing. Scrum Master availability is irrelevant to business value ordering — the SM facilitates process, not product decisions.

Key concept: The Sprint Goal as a flexible commitment mechanism. The Sprint Goal is a single objective that the Scrum Team commits to achieve during the Sprint, but it intentionally does NOT prescribe the exact Product Backlog items required to accomplish it. This flexibility is foundational to Scrum's empirical approach. During the Sprint, the team may discover that certain items are unnecessary, others need modification, or alternative items better serve the Goal. The Product Owner and Scrum Team can negotiate scope—removing, adding, or reordering items—provided these changes preserve the Sprint Goal's intent and value. This differs from traditional project management where scope is typically fixed at the start. The Sprint Goal remains the stable commitment; the scope (which items are completed) becomes the variable. This design enables teams to respond to learning and changing conditions while maintaining strategic alignment and direction. Without this scope flexibility tied to a fixed Goal, teams would be forced to either abandon their objective or complete unnecessary work.

Dependencies are a legitimate ordering input. If Item B cannot be built before Item A is complete (technical dependency), then A must be ordered higher regardless of B's business value. Similarly, if delivering Item C enables a key stakeholder milestone, that dependency may elevate its priority. The Product Owner must balance value maximization with dependency constraints — ignoring dependencies risks blocked Sprints and wasted effort.

L’alignement stratégique signifie que les projets doivent contribuer aux objectifs globaux de l’organisation et générer de la valeur en cohérence avec sa stratégie.

Alignement stratégique et création de valeur organisationnelle : Le PMBOK 7e édition place la création de valeur au cœur de la gestion de projet, dépassant la simple livraison de livrables. Augmenter la valeur organisationnelle signifie que chaque projet doit être directement connecté aux objectifs métier et aux bénéfices stratégiques attendus. Cette approche reconnaît que la gestion de projet n'est pas une fin en soi, mais un moyen d'accomplir la stratégie organisationnelle. En alignant les livrables et résultats sur les bénéfices attendus, on garantit que les ressources investies produisent un retour tangible : amélioration de la rentabilité, positionnement concurrentiel, satisfaction client ou transformation digitale. Cette perspective holistique contraste avec les trois autres options défaillantes : augmenter la documentation crée de la bureaucratie sans valeur ; réduire les interactions avec les parties prenantes détériore la compréhension des vrais besoins ; mesurer uniquement les délais et budgets ignore complètement l'impact réel du projet. Le PMBOK 7 souligne que l'excellence en gestion de projet réside dans la capacité à traduire la stratégie en résultats concrets et bénéfiques pour l'organisation, une philosophie alignée avec les approches

Processus EVM chronologique : PV (planification initiale des coûts) → AC (dépenses réelles engagées) → EV (travail complété mesuré) → Indices (comparaisons CPI/SPI). Cet ordre logique respecte d'abord la planification, puis la collecte des données réelles, avant d'analyser la performance.

Gestion des ressources et des parties prenantes : Identifier et sécuriser l'engagement des utilisateurs clés dès la phase de planification est essentiel pour éviter les retards. Cette action proactive, alignée avec le PMBOK 7, prévient les risques de disponibilité. Contrairement à l'externalisation (perte de connaissance métier) ou au remplacement par des développeurs (tests moins pertinents), formaliser les disponibilités garantit une implication qualifiée et un calendrier fiable.

Engagement proactif des parties prenantes : L'engagement proactif est un principe fondamental du PMBOK 7e édition qui promeut une communication bidirectionnelle, intentionnelle et continue avec les parties prenantes tout au long du cycle de vie du projet. Cela signifie aller au-delà d'une simple notification d'information pour créer un véritable dialogue où les parties prenantes se sentent écoutées, respectées et impliquées dans la prise de décision. La bonne réponse met l'accent sur deux éléments critiques : la consultation régulière et l'intégration des retours. Consulter régulièrement signifie établir des points de contact planifiés et prévisibles, ce qui renforce la confiance et démontre le respect envers les parties prenantes. L'intégration des retours n'est pas une simple accumulation passive d'opinions, mais une action concrète : montrer comment leurs contributions ont influencé les décisions, les ajustements du projet ou la gestion des risques. Cela ferme la boucle du retour (feedback loop) et valide leur participation. Les autres options échouent à capturer cette essence collaborative : adapter uniquement le message (option 2) sans consultation préalable est une communication à sens unique ; prendre en compte les préoccupations (option 3) est passif sans démonstration d'int

Cycle de vie classique du projet : suit un ordre séquentiel strict où chaque phase prépare la suivante. Le Démarrage autorise le projet, la Planification définit comment le réaliser, l'Exécution produit les livrables, la Surveillance/Contrôle assure la conformité, et la Clôture finalise. Les distracteurs inversent cet ordre logique, rendant impossible une exécution maîtrisée sans plan préalable.

Analyser la cause racine, simuler des scénarios (crashing, fast-tracking) et mettre en œuvre l’option la plus favorable au couple délai/valeur, puis suivre l’effet.

La manière la plus efficace de reconnaître les performances élevées d\'une équipe établie de longue date est d\'adapter la récompense aux objectifs personnels de chaque membre (D). Si une reconnaissance publique (A) ou privée (B) offre une reconnaissance immédiate, elle risque de manquer d\'impact durable. Une simple demande de prime (C), bien que potentiellement appréciée, risque de ne pas répondre aux facteurs de motivation plus profonds.

Une gestion de projet efficace repose sur la motivation des membres de l\'équipe, et la meilleure motivation réside dans la compréhension des besoins et aspirations de chacun. Une récompense personnalisée témoigne de l\'intérêt du chef de projet pour le développement et les objectifs individuels de chaque membre de l\'équipe. Cette approche peut stimuler le moral et renforcer l\'engagement envers le projet et l\'organisation.

Choisir une récompense en adéquation avec les objectifs personnels peut inclure des opportunités de développement de compétences, la participation à une conférence, la direction d\'une nouvelle initiative ou la découverte d\'un domaine d\'intérêt spécifique. Cela démontre que le chef de projet reconnaît et soutient les objectifs de carrière à long terme du membre de l\'équipe. La reconnaissance publique peut faire partie de la récompense, mais ne doit pas être la seule forme de reconnaissance.

De plus, dans un projet de deux ans, supposer que le sponsor puisse facilement accorder une prime revient à ignorer les contraintes et politiques potentielles déjà en place. Une récompense adaptée aux objectifs individuels peut être mise en place sans nécessairement nécessiter de contrepartie financière. Privilégier les opportunités de développement personnalisées produit souvent de meilleurs résultats à long terme qu\'une simple prime financière. Une récompense ciblée renforce les comportements positifs et favorise l\'amélioration continue, ce qui améliore la performance globale de l\'équipe.

Références :

• Institut de gestion de projet (PMI) : https://www.pmi.org/
• « Motivation des équipes de projet » - American Management Association : https://www.amanet.org/ (Rechercher « Motivation des équipes de projet »)

Cette question correspond à l’objectif d’apprentissage FL-3.2.1 (K1) – Identifier les
avantages d’un feedback précoce et fréquent de la part des parties prenantes.

● a) Faux → L’automatisation des tests est indépendante du moment où le feedback est reçu.
● b) Correct → Obtenir des retours rapides des parties prenantes permet d’identifier plus tôt les erreurs, les imprécisions ou les malentendus liés aux exigences ou aux spécifications → cela réduit le coût de correction.
● c) Faux → Le feedback n’a pas pour but de réduire le besoin d’exploration, mais d’améliorer la compréhension dès le début.
● d) Faux → Le retour d’information ne supprime pas les changements, mais facilite leur gestion en les identifiant plus tôt.

Chaque condition a 2 résultats possibles → cela donne :
● Condition 1 : 2 branches
● Condition 2 : 2 branches

Total = 4 branches
La bonne réponse est la réponse c)

Cette question correspond à l\'objectif d\'apprentissage FL-4.1.1 (K2) - Distinguer les techniques de test boîte noire, boîte blanche et basées sur l\'expérience.

● a) Faux → Cette description correspond aux techniques de test boîte blanche, qui examinent la structure interne du code pour concevoir des tests couvrant différents
chemins d\'exécution. Les tests boîte noire ne s\'intéressent pas au code source.
● b) Faux → Cette description correspond aux techniques de test basées sur l\'expérience, qui s\'appuient sur les connaissances et l\'expérience des testeurs pour
identifier les défauts potentiels. Les tests boîte noire sont basés sur des spécifications documentées plutôt que sur l\'expérience seule.
● c) Faux → Cette description correspond également aux techniques de test boîte blanche, qui analysent la structure interne et mesurent la couverture (instructions, branches, chemins). Les tests boîte noire ne s\'intéressent pas à la structure interne.
● d) Correct → Cette description caractérise précisément les techniques de test boîte noire. Ces techniques considèrent le système comme une \"boîte noire\" dont le fonctionnement interne est inconnu ou ignoré. Les cas de test sont dérivés des spécifications, des exigences et des comportements attendus, sans connaissance de l\'implémentation.

Cette question correspond à l\'objectif d\'apprentissage FL-2.2.3 (K2) – Distinguer les tests de confirmation des tests de régression.

La bonne réponse est c) 1A, 2B, 3A, 4B.

● 1A) Correct → Le test de confirmation (ou \"retest\") vérifie qu’un défaut corrigé est effectivement résolu.
● 2B) Correct → Le test de régression s’assure que la correction ou une nouvelle fonctionnalité n’a pas causé d’effets secondaires indésirables.
● 3A) Correct → Les tests de confirmation ciblent spécifiquement la correction appliquée et ne testent pas d’autres parties du système.
● 4B) Correct → Les tests de régression sont exécutés à une échelle plus large pourvérifier que le reste du système fonctionne toujours correctement.

Cette question correspond à l’objectif d’apprentissage FL-1.4.1 (K2) – Résumer les différentes activités et tâches de test.

La réponse correcte est a) 1A, 2B, 3C, 4D

● 1A (Correct) → Définir les critères d’entrée et de sortie fait partie de l’analyse des tests.
● 2B (Correct) → La conception des tests consiste à élaborer les cas de test à partir
des exigences et spécifications.
● 3C (Correct) → L’implémentation des tests inclut la préparation de l’environnement et des données de test.
● 4D (Correct) → La clôture des tests implique de vérifier l’exécution des tests et d’analyser les résultats.

Cette question correspond à l\'objectif d\'apprentissage FL-4.2.4 - Utiliser les tests de transition d\'état pour dériver les cas de test..

Analysons les transitions possibles à partir de l\'état \"En attente\" :
● Disponible : En attente → Réservé
● Non Disponible : En attente → En attente
● Changer Véhicule : En attente → En attente
● Annuler : En attente → Terminé

À partir de l\'état \"Réservé\" :
● Disponible : Réservé → Réservé
● Non Disponible : Réservé → En attente
● Changer Véhicule : Réservé → Réservé
● Payer : Réservé → Confirmé
● Annuler : Réservé → Terminé

À partir de l\'état \"Confirmé\" :
● Changer Véhicule : Confirmé → Réservé
● Annuler : Confirmé → Terminé
Maintenant, analysons le chemin de chaque option en partant de l\'état \"

En attente\" :
a) Non Disponible, Disponible, Changer Véhicule, Non Disponible, Annuler : En attente →En attente → Réservé → Réservé → En attente → Terminé Couvre 5 transitions mais aucune transition depuis Réservé vers Confirmé ou depuis Confirmé vers Terminé

b) Disponible, Changer Véhicule, Non Disponible, Disponible, Payer : En attente → Réservé → Réservé → En attente → Réservé → Confirmé. Couvre 5 transitions incluant l\'état
Confirmé

c) Disponible, Changer Véhicule, Disponible, Changer Véhicule, Non Disponible : En attente → Réservé → Réservé → Réservé → Réservé → En attente Couvre seulement 3
transitions uniques

d) Non Disponible, Annuler, Changer Véhicule, Disponible, Payer : En attente → En attente → Terminé → (impossible de continuer car Terminé est un état final) Séquence invalide après la deuxième transition

L\'option b) offre la meilleure couverture car elle couvre 5 transitions et atteint l\'état \"Confirmé\", qui n\'est pas couvert par les autres options valides.

Cette question correspond à l’objectif d’apprentissage FL-1.4.1 (K2) – Résumer les différentes activités et tâches de test.
La bonne réponse est : d) 1C, 2B, 3D, 4A

● 1C) : Correct : La planification sert à préparer le cadre du test
● 2B) : Correct : La conception permet de définir les données, cas et conditions de test
● 3D) : Correct : L’exécution vérifie le résultat réel par rapport à l’attendu
● 4A) : Correct : Clôturer = évaluer, nettoyer, archiver, analyser les résultats

Cette question correspond à l’objectif FL-5.4.1 (K2) – Résumer la manière dont la gestion de configuration soutient les tests.
● a) Faux → Ce n’est pas un rôle de la configuration mais de la stratégie de test.
● b) Correct → Le cœur de la gestion de configuration, c’est le suivi des versions, des liens entre livrables et des artefacts.
● c) Faux → Ce n’est ni toujours souhaitable, ni une responsabilité de la configuration.
● d) Faux → Les spécifications sont sous contrôle de gestion produit.

Cette question correspond à l’objectif d’apprentissage FL-1.5.3 (K2) – Distinguer les avantages et les inconvénients de l\'indépendance du test.

● a) Correct → Une équipe trop indépendante peut manquer d’informations essentielles sur le produit et son contexte d’utilisation.
● b) Faux → Une plus grande objectivité est un avantage, et non un inconvénient.
● c) Faux → Une séparation trop marquée peut au contraire augmenter les conflits entre testeurs et développeurs.
● d) Faux → Une équipe totalement indépendante n’accélère pas forcément les tests, cela dépend de l’organisation en place.

Cette question correspond à l’objectif d\'apprentissage FL-2.1.4 (K2) - Résumer la façon dont DevOps pourrait avoir un impact sur le test.

La bonne réponse est c) i, ii, iv ont une influence significative ; iii non.

● i) Correct → DevOps nécessite un équilibre entre tests automatisés et manuels.
● ii) Correct → Les cycles de livraison rapides imposent des tests rapides et efficaces.
● iii) Faux → DevOps ne se limite pas aux tests de non-régression, d’autres types de tests sont nécessaires.
● iv) Correct → Assurer la stabilité de l’environnement de test est crucial en intégration continue.

Security awareness training reduces the human element of risk — the most common attack vector. Phishing simulations send realistic fake phishing emails to employees; those who click are redirected to training. This builds muscle memory for recognizing phishing. Social engineering awareness sessions teach employees to recognize pretexting, tailgating, and vishing. Patch management is a technical control. Firewall configuration is a technical control. Training targets behavior and awareness, not technical systems.

IDS (Intrusion Detection System) monitors traffic and alerts on suspicious activity but takes no action — it is passive. IPS (Intrusion Prevention System) is inline and can actively block malicious traffic in real time. IDS generates alerts that humans must act on (risk: alert fatigue). IPS can block threats automatically (risk: false positives blocking legitimate traffic). A NIDS monitors network traffic; a HIDS monitors a single host's logs and files. Modern solutions often combine both as IDPS (Intrusion Detection and Prevention System).

Steganography: the technique of hiding data (code, text, or messages) within digital media like images, audio, or video files. Unlike encryption which makes data unreadable, steganography conceals data's very existence. Symmetric/asymmetric encryption scramble data readability, while hashing creates fixed-length fingerprints—neither hides content within images.

Answer: DLP (Data Loss Prevention).
Explanation: DLP tools monitor outbound communications and apply content inspection policies. They can detect PII patterns (SSNs, credit card numbers) in emails and attachments, blocking or alerting when sensitive data is being exfiltrated accidentally or intentionally.

Defense in Depth with Jump Servers: A jump server (bastion host) placed behind a firewall on a segmented network, combined with VPN gateway access, creates multiple security layers. This approach restricts direct exposure to administrative tools, requiring attackers to compromise multiple controls sequentially. Changing ports or using proxies provides only obscurity (ineffective against determined threats), while domain policies alone lack network isolation. VPN + jump server architecture implements proper segmentation and controlled access principles.

Separation of Duties (SoD) divides critical tasks among multiple individuals so no single person can complete a sensitive process end-to-end. In finance: one person initiates a payment, a different person approves it, and another executes it. This prevents fraud, errors, and insider threats. It's related to dual control (two people required simultaneously, like a nuclear launch). Least privilege limits what each role can access. Job rotation reduces risk of long-term fraud by rotating who performs each role.

End of Support: the stage when a vendor stops releasing patches and updates for a device or software. A legacy device no longer receiving updates enters this phase, significantly increasing security risks from unpatched vulnerabilities. Unlike End of Life (physical discontinuation), End of Support focuses specifically on the cessation of maintenance and security updates.

Network Segmentation: isolating legacy IoT devices into separate network zones restricts lateral movement of attacks. This is optimal for legacy systems because patching may be unavailable, replacement takes time, and insurance doesn't prevent breaches. Segmentation provides immediate containment without modifying vulnerable devices.

Regular backups: A backup is a copy of data stored separately from the original. Hardware failures (drive crashes, corruption) destroy primary data; backups restore it. Antivirus prevents malware, firewalls block network attacks, and encryption secures data confidentiality—none recover lost data from failed hardware.

Geolocation policy: A security control that restricts access to resources based on users' geographic location or IP address origin. Organizations implement geolocation policies to comply with legal requirements and prevent unauthorized access from high-risk countries. Unlike encryption (protects data in transit/rest), data masking (hides sensitive information), or data sovereignty regulations (legal frameworks), geolocation policies actively enforce access restrictions at the authentication layer.

Azure Cosmos DB : base de données NoSQL native du cloud, conçue pour supporter plusieurs modèles de données (documents, clé-valeur, graphe, colonnes). Elle offre une réplication automatique et transparente across régions géographiques avec garanties de latence faible et haute disponibilité via SLA. Contrairement à PostgreSQL (relationnel), Blob Storage (objet) ou SQL Managed Instance (SQL traditionnel), Cosmos DB combine flexibilité multi-modèle et distribution mondiale.

Réponse correcte : Dans un schéma en étoile, les tables de faits contiennent les mesures quantifiables (ventes, quantités, revenus) tandis que les tables de dimensions fournissent le contexte descriptif (dates, produits, régions) pour analyser ces mesures. Cette structure permet une analyse efficace des données d'entreprise. Pourquoi les autres réponses sont incorrectes : • Les tables de faits ne stockent pas nécessairement des données historiques uniquement ; elles peuvent contenir des données actuelles aussi. • Les deux types de tables servent principalement en OLAP, bien qu'elles puissent avoir des usages en OLTP. • L'indexation n'est pas une différence définitionnelle entre ces deux types de tables ; les deux peuvent être indexées.

La clause WHERE : filtre les lignes d'une table selon des conditions spécifiques AVANT le regroupement. Elle s'applique aux enregistrements individuels. À ne pas confondre avec HAVING (filtre après regroupement), ORDER BY (tri des résultats) ou GROUP BY (agrégation de données).

Azure Blob Storage (Binary Large Object) est le service de stockage objet d'Azure, optimisé pour les fichiers non structurés. Il propose trois niveaux d'accès : Hot (accès fréquent, coût stockage élevé), Cool (accès peu fréquent, coût moindre), Archive (stockage long terme, accès très rare, coût minimal). Il supporte jusqu'à 190 TB par blob et des milliards de blobs par compte de stockage. C'est la base du Data Lake Azure et des backups Azure.

Azure Database for MySQL : service Azure entièrement managé spécialisé dans l'hébergement de bases de données MySQL. Il offre automatisation des sauvegardes, mises à jour, haute disponibilité et sécurité intégrée, sans gestion d'infrastructure serveur. À distinguer d'Azure SQL Database (SQL Server managé), Azure Cosmos DB (NoSQL distribuée) et Azure Table Storage (stockage clé-valeur).

Réponse : Une vue. Explication : Une vue est une requête SQL enregistrée qui peut être réutilisée par d'autres utilisateurs. Elle stocke la définition de la requête (et non les données) et présente le résultat sous la forme d'une table virtuelle, y compris les colonnes calculées. D'autres utilisateurs peuvent interroger la vue comme s'il s'agissait d'une véritable table.

SELECT DISTINCT : Cette clause SQL filtre les résultats en éliminant les doublons, retournant uniquement les valeurs uniques. Elle est essentielle pour analyser les données sans répétition (ex : liste des clients distincts). À différencier de SELECT UNIQUE (syntaxe SQL Server inexistante), SELECT ONLY (pas une commande SQL standard) et SELECT FILTERED (qui requiert une clause WHERE).

Azure Databricks est une plateforme Spark managée développée en collaboration avec Databricks (créateurs de Delta Lake, MLflow). Elle excelle dans les cas avancés : ML/MLOps, feature engineering complexe, streaming Delta. Azure Synapse Analytics Spark est intégré dans le workspace Synapse, facilitant la collaboration entre SQL et Spark au sein d'un même outil. Databricks est souvent préféré pour les data scientists avancés ; Synapse Spark pour les équipes data engineering qui travaillent déjà dans l'écosystème Synapse. Les deux supportent Python, Scala et R.

Réponse : Il y a un délai notable entre l'ingestion des données et l'obtention des résultats. Explication : Le traitement par lots collecte les données sur une période et les traite en groupe selon des intervalles planifiés. Cela introduit intrinsèquement une latence — les résultats ne sont disponibles qu'après l'exécution du lot, ce qui le rend inadapté aux exigences en temps réel.

Réponse correcte : La Controlling Area est une unité organisationnelle qui peut englober un ou plusieurs Company Codes et constitue le cadre pour la comptabilité analytique interne (Controlling). Elle permet de regrouper les coûts et les performances indépendamment de la structure juridique/financière. Pourquoi les autres réponses sont incorrectes : La première option est fausse car la Controlling Area n'est pas identique au Company Code - elle peut le chevaucher ou en englober plusieurs. La troisième option confond avec le Plant, qui est une unité de production distincte. La quatrième option est incorrecte car la Controlling Area concerne la comptabilité de gestion interne, non la consolidation de groupe.

Réponse : PMW s’appuie sur des formats de support de paiement ; DMEE permet de modéliser la structure du fichier ; PMW peut générer des fichiers SEPA XML selon le format cible.
Explication : PMW/DMEE forment le cadre de génération de supports bancaires pour F110.

Un compte de rapprochement en SAP FI est un compte du Grand Livre qui est automatiquement lié aux comptes auxiliaires (clients/fournisseurs). Son rôle principal est de garantir que le total des écritures dans les comptes auxiliaires correspond exactement au solde du compte de rapprochement, assurant ainsi l'intégrité des données. Les autres options sont incorrectes car : résumer les écritures fiscales relève des comptes de résultat spécifiques, les éliminations inter-sociétés utilisent des écritures manuelles ou des processus de consolidation, et la réévaluation des devises est traitée par des processus séparés de valorisation des devises, non par les comptes de rapprochement.

Réponse correcte : La 'Variante de Période de Saisie' contrôle précisément quelles périodes comptables sont ouvertes ou fermées pour la saisie d'écritures dans chaque société. C'est un mécanisme de contrôle d'accès aux périodes qui permet de bloquer les saisies dans certaines périodes tout en gardant d'autres ouvertes pour les ajustements ou corrections. Pourquoi les autres réponses sont incorrectes : L'assignation d'une variante d'exercice fiscal à une société est le rôle de la 'Variante d'Exercice Fiscal', non de la Variante de Période de Saisie. La définition de la séquence des activités de clôture concerne le processus de clôture lui-même, non cette variante. Enfin, le lien entre la société et la zone de contrôle de gestion s'établit dans la configuration organisationnelle, indépendamment de la Variante de Période de Saisie.

Réponse : F.14
Explication : FBD1 crée les documents récurrents ; F.14 exécute leur comptabilisation périodique.

Réponse : Accruals/deferrals + FX + GR/IR + F.13 + revue des comptes
Une check-list de clôture mensuelle FI inclut typiquement : les régularisations (accruals/deferrals), la valorisation des devises étrangères (FX), le nettoyage du compte GR/IR (MR11), le lettrage automatique (F.13), et la revue/validation des comptes avant publication.

Réponse : L'élément WBS ne peut pas être modifié une fois l'immobilisation capitalisée ; il est disponible pour la saisie dans la fiche immobilisation. Explication : L'activation de l'élément WBS avec les paramètres « bilan » et « identique » signifie que le WBS devient une affectation permanente des comptes pour la présentation au bilan. Une fois qu'une immobilisation est capitalisée, l'élément WBS est verrouillé pour assurer la cohérence de l'intégrité des rapports.

Réponse : Un plan de comptes opérationnel
Pour créer et étendre des comptes G/L, chaque code société doit être associé à un plan de comptes opérationnel (Operating Chart of Accounts). C'est l'affectation indispensable qui détermine quels comptes sont disponibles pour ce code société.

Une zone de dépréciation en SAP Comptabilité des Actifs est une vue de valorisation qui permet de maintenir des valuations parallèles du même actif pour différents objectifs comptables (livre comptable, fiscal, IFRS, etc.). Chaque zone de dépréciation a ses propres règles de dépréciation et ses propres comptes de destination, permettant une conformité simultanée avec plusieurs normes comptables. Les autres options sont incorrectes : une zone physique correspond plutôt à un lieu de stockage d'inventaire, le centre de coûts est un concept de contrôle de gestion distinct de la valorisation des actifs, et la catégorie de durée de vie utile est une caractéristique de la classe d'actifs, non de la zone de dépréciation.

Réponse : Une écriture d’ajustement de valeur en plus de l’amortissement planifié lorsque la valeur recouvrable diminue.
Explication : Elle corrige la valeur comptable indépendamment de la clé d’amortissement.

La séparation des trois pouvoirs : fondement de la démocratie française établi par la Constitution. Le pouvoir législatif (Parlement) crée les lois, le pouvoir exécutif (Président, Gouvernement) les applique, et le pouvoir judiciaire (tribunaux) les interprète. Cette séparation empêche la concentration du pouvoir et protège les libertés individuelles. Deux, quatre ou cinq pouvoirs ne correspondent pas à la structure constitutionnelle française.

Le mandat présidentiel est de 5 ans (quinquennat) depuis la révision constitutionnelle de 2000 (référendum approuvé par 73% des votants). Avant, il était de 7 ans (septennat). La Constitution limite à 2 mandats consécutifs (article 6), mais sans limitation des mandats non consécutifs (de Gaulle et Mitterrand ont exercé deux mandats). Le Président est élu au suffrage universel direct depuis 1962 (révision initiée par de Gaulle, adoptée par référendum). L'élection se fait en 2 tours si aucun candidat n'obtient la majorité absolue au premier tour.

La laïcité à l'école publique signifie que l'enseignement est neutre, sans instruction religieuse obligatoire. Depuis la loi du 15 mars 2004, les élèves ne peuvent porter de signes religieux ostensibles (voile islamique, kippa, grande croix) dans les écoles, collèges et lycées publics. Les enseignants sont soumis à un devoir strict de neutralité depuis 1886. L'école laïque vise à former des citoyens libres, capables de raisonner indépendamment de toute influence religieuse. Les établissements privés sous contrat appliquent des règles différentes.

Séparation des pouvoirs : La République française repose sur trois pouvoirs distincts pour éviter la concentration du pouvoir. Le pouvoir exécutif (Président, Gouvernement) applique les lois ; le pouvoir législatif (Parlement) les vote ; le pouvoir judiciaire les interprète. Cette répartition garantit l'équilibre démocratique et protège les libertés individuelles.

Statut de l'UE : La Norvège, bien que située en Europe et étroitement liée à l'UE par l'Espace économique européen, n'en est pas membre. Elle a refusé l'adhésion par référendum. Portugal, Grèce et Slovaquie sont tous des États membres de l'Union Européenne.

L'Armistice de 1918 : accord signé le 11 novembre 1918 mettant fin aux combats de la Première Guerre mondiale. Cette date commémore la cessation des hostilités et honore les soldats morts pour la France. À ne pas confondre avec le 14 juillet (fête nationale) ou 1789 (Révolution française).

Le Président de la République est le chef de l'État en France. Il est élu au suffrage universel direct pour un mandat de 5 ans (quinquennat). Il incarne l'unité nationale, garantit les institutions, nomme le Premier ministre, préside le Conseil des ministres et est chef des armées. Le Premier ministre est le chef du gouvernement (rôle distinct). Le Président du Sénat assure l'intérim si la présidence devient vacante.

Liberté, Égalité, Fraternité est la devise officielle de la République française, inscrite dans la Constitution de 1958. Adoptée lors de la Révolution française, elle symbolise les trois valeurs fondatrices : la liberté individuelle, l'égalité de tous devant la loi, et la fraternité comme lien de solidarité entre les citoyens. Travail, Famille, Patrie était la devise du régime de Vichy (1940-1944) et non de la République.

Constitution de 1958 : texte fondamental qui organise les institutions de la République française et définit le fonctionnement des pouvoirs publics. Contrairement au Code civil (droit privé) ou au Code pénal (droit criminel), seule la Constitution établit la structure de l'État. La Déclaration des Droits de l'Homme énonce des principes, mais ne crée pas les institutions.

Rôle du Premier ministre : Chef du gouvernement, il dirige l'administration et applique la politique nationale définie par le Président. Il n'est pas élu par les citoyens (contrairement aux distracteurs) mais nommé par le Président. Il ne préside pas le Sénat ni ne contrôle les juges.

Réponse : Offre de service.
Explication : Une offre de service est un ensemble de produits et services proposé à un consommateur. Le package (ordinateur + logiciels + licences + support) constitue une offre de service complète et packagée.

Réponse : L\'amélioration continue.
Explication : L\'amélioration continue est la responsabilité de chacun dans l\'organisation, pas seulement d\'une équipe dédiée. Chaque employé doit contribuer à l\'identification et à la mise en oeuvre des améliorations.

Réponse : 1 et 4.
Explication : La résolution d\'un problème implique l\'amélioration continue (identifier et éliminer la cause) et le contrôle des changements (implémenter la correction de manière contrôlée et sécurisée).

Réponse : Déterminer qui est le consommateur du service dans chaque situation.
Explication : Lors de l\'application du principe \'Privilégier la valeur\', la première étape est d\'identifier qui est le consommateur, car la valeur est toujours définie du point de vue du consommateur du service.

Réponse : Le centre de services.
Explication : Le centre de services constitue le point de contact unique (SPOC) entre le fournisseur de services et les utilisateurs pour toutes les communications, demandes et incidents.

Réponse : L\'utilisateur ou son représentant autorisé.
Explication : En ITIL 4, ce sont les utilisateurs (ou leurs représentants autorisés) qui soumettent des demandes de services, car ils sont les consommateurs directs des services fournis.

Réponse : Elle permet de diriger l\'incident vers la zone de support appropriée.
Explication : La catégorisation des incidents permet de les acheminer rapidement vers la bonne équipe de support, ce qui accélère leur résolution et améliore l\'efficacité du processus.

Réponse : Maximiser le nombre de changements informatiques réussis en vérifiant que les risques sont correctement évalués.
Explication : Maximiser les changements informatiques réussis en évaluant correctement les risques est un objectif central de la gestion des services, que le centre de services contribue à atteindre en coordonnant les demandes.

Réponse : Habilitation des changements.
Explication : En ITIL 4, l\'habilitation des changements est responsable du déplacement des composants vers les environnements de production, garantissant que les changements sont correctement contrôlés et autorisés avant mise en production.

Réponse : Comprendre comment chaque élément contribue à la création de valeur.
Explication : Le principe \'Opter pour la simplicité\' demande de comprendre comment chaque élément contribue à la valeur, en éliminant ce qui n\'en apporte pas et en évitant la complexité inutile.

• Dynamics 365 Sales est une solution SaaS conçue pour :

  • Gérer les prospects et clients

  • Suivre les opportunités commerciales

  • Centraliser les interactions avec les clients

• Elle ne nécessite pas de déploiement d’infrastructure, tout est géré dans le cloud par Microsoft.

  🎯 À retenir pour l’examen MS-900 :

  • Dynamics 365 Sales = SaaS pour la gestion commerciale complète

  • Azure SQL ou Functions = nécessitent une application personnalisée pour gérer les ventes.

  • Power BI = visualisation des données, pas gestion opérationnelle des ventes.

• Customer Key permet à une organisation de :

  • Utiliser et gérer ses propres clés de chiffrement

  • Contrôler le cycle de vie des clés (création, rotation, révocation)

  • Répondre aux exigences réglementaires strictes (comme le RGPD)

Cela donne un contrôle renforcé sur le chiffrement des données Microsoft 365.

❌ Pourquoi les autres réponses sont incorrectes :

• A. Azure PIM → Gère les rôles administratifs temporaires, pas les clés de chiffrement.

• B. Customer Lockbox → Permet de contrôler l’accès des ingénieurs Microsoft aux données, mais ne gère pas les clés de chiffrement.

• C. Azure Information Protection → Sert à classifier et protéger les documents, mais ne donne pas le contrôle des clés de chiffrement au niveau service.

🎯 À retenir pour l’examen MS-900 :

• Customer Key = contrôle des clés de chiffrement par le client

• Customer Lockbox = contrôle de l’accès support Microsoft

• PIM = gestion des privilèges

• AIP = classification et protection des données

• Reminder (Rappel) permet d’envoyer une notification à une heure précise, même si l’application n’est pas ouverte.

• C’est la fonctionnalité qui déclenche une alerte automatique à 8h chaque matin.

  🎯 À retenir pour l’examen MS-900 :

  • Reminder = notification à une heure précise

  • Recurrence = répétition de la tâche

  • Les deux peuvent être combinés, mais pour recevoir une alerte à 8h, il faut activer le rappel.

Le portail My Account permet aux utilisateurs de :

• Voir leurs informations personnelles et licences attribuées

• Gérer leurs méthodes d’authentification (MFA)

• Se déconnecter des sessions actives

• Gérer leurs appareils

⚠️ En revanche, attribuer des licences à d’autres utilisateurs est une tâche administrative réservée aux administrateurs via le centre d’administration Microsoft 365.

❌ Pourquoi les autres réponses sont incorrectes :

• A. Viewing license assignments → Oui, les utilisateurs peuvent voir les licences qui leur sont attribuées.

• B. Updating phone number for MFA → Oui, ils peuvent modifier leurs informations de sécurité.

• D. Signing out of all sessions → Oui, ils peuvent se déconnecter de toutes leurs sessions.

🎯 À retenir pour l’examen MS-900 :

• My Account = gestion personnelle du compte

• Attribution de licences = rôle administrateur uniquement

• Copilot Chat dans Microsoft Teams peut analyser les conversations et générer des tâches.

• Limitation actuelle : il peut créer des tâches dans Microsoft Planner, mais ne prend pas encore en charge la création directe de tâches dans Microsoft To Do.

• Cela signifie que si vous demandez à Copilot de convertir des éléments d’action en To Do, la commande ne fonctionnera pas directement.

• Dans Teams, la messagerie vocale est liée à la boîte aux lettres Exchange Online.

• Même sans licence Phone System, Teams peut délivrer les messages vocaux dans la boîte aux lettres Exchange Online.

• Les autres options :

  • B : Teams Premium ajoute des fonctionnalités avancées, pas nécessaire pour la messagerie vocale basique.

  • C : Phone System est requis uniquement pour passer/recevoir des appels via le PSTN.

  • D : Power Automate ne gère pas la messagerie vocale Teams nativement.

• Les abonnements Microsoft 365 peuvent être renouvelés automatiquement avec des méthodes de paiement directes comme :

  • Carte de crédit

  • Prélèvement bancaire

  • PayPal

• La facturation par invoice (facture) nécessite un paiement manuel pour chaque période, donc le renouvellement automatique n’est pas possible.

Dans Exchange Online, Microsoft assure automatiquement :

• La haute disponibilité (High Availability) grâce à la réplication native des bases de données de boîtes aux lettres entre plusieurs serveurs et centres de données.

• La reprise après sinistre (Disaster Recovery) grâce à l’architecture distribuée et redondante de Microsoft 365.

Pour répondre aux exigences réglementaires de conservation :

• Litigation Hold permet de conserver les e-mails d’une boîte aux lettres, même s’ils sont supprimés par l’utilisateur.

• Cela garantit l’intégrité et la disponibilité des données à des fins légales ou réglementaires.

👉 Ensemble, ces fonctionnalités assurent la disponibilité continue et la conservation réglementaire des données.

• Une attaque Golden Ticket consiste à forger des Ticket Granting Tickets (TGT) pour obtenir un accès illimité aux services Active Directory.

• Defender for Identity déclenche une alerte spécifique Golden Ticket attack detection lorsqu’il détecte ce type de manipulation du compte KRBTGT.

• Les autres alertes :

  • Pass-the-Ticket detection : utilisation frauduleuse d’un ticket existant, pas sa création.

  • DCSync attack detection : vol des informations d’Active Directory via des requêtes LDAP sur le contrôleur de domaine.

  • Lateral movement path mapping : cartographie des déplacements latéraux dans le réseau, pas la création de tickets.

• Microsoft Defender for Endpoint permet :

  • Détection automatique des menaces sur les endpoints

  • Investigation automatisée des incidents

  • Actions de remédiation automatiques pour contenir et corriger les menaces

• Les autres options ne gèrent pas directement l’investigation et la remédiation automatique :

  • A : PIM gère les rôles à privilèges temporaires.

  • B : Secure Score propose des recommandations de sécurité, pas de remédiation automatique.

  • D : Mailbox hold conserve les emails pour conformité, pas pour gérer des incidents de sécurité.

• DLP (Data Loss Prevention) dans Microsoft Purview :

  • Permet d’identifier automatiquement les informations sensibles, y compris les PHI

  • Empêche le partage accidentel ou non autorisé dans Teams, SharePoint, OneDrive et Outlook

  • Fonctionne en temps réel, donc même si Copilot est utilisé, les données sensibles ne sont pas exposées

• C’est la solution la plus efficace pour protéger les données sensibles tout en autorisant l’usage normal de Copilot.

• Problème : les applications legacy utilisent souvent des protocoles d’authentification non sécurisés (ex : IMAP, POP3, SMTP Auth)

• Ces protocoles contournent Conditional Access, ce qui crée une surface d’attaque importante

• Solution Microsoft recommandée pour Zero Trust :

  • Bloquer la legacy authentication dans Conditional Access

  • Appliquer MFA et autres contrôles modernes uniquement sur les applications et utilisateurs qui supportent les protocoles modernes

  • Réduire considérablement le risque de compromission des identités

• App Service Authentication / Authorization (Easy Auth) :

  • Permet de forcer l’authentification Azure AD sans modifier le code de l’application

  • Prend en charge MFA, Conditional Access et Single Sign-On

  • Fonctionne pour tous les utilisateurs qui accèdent à l’application

• Avantages :

  • Aucun développement requis → répond à la contrainte “sans modifier le code”

  • Intégration directe avec Azure AD

  • Compatible avec politiques MFA et Conditional Access

• Scenario : appliquer MFA aux guests externes, sans dépendre de la configuration du tenant partenaire.

• Conditional Access (CA) permet de :

  • Créer une politique ciblant uniquement les utilisateurs invités (User type = Guest)

  • Exiger MFA avant l’accès à vos ressources Microsoft 365 ou Azure

  • Fonctionner indépendamment du tenant d’origine de l’utilisateur → aucun changement requis côté partenaire

• C’est la meilleure pratique Microsoft pour sécuriser l’accès externe tout en restant compatible avec Zero Trust.

• Azure AD / Entra PIM distingue :

  • Attribution de rôle : l’administrateur se voit attribuer un rôle (souvent par IT ou via JIT)

  • Activation de rôle : l’utilisateur active le rôle pour l’utiliser

• Exiger MFA sur l’activation de rôle :

  • Garantit que chaque activation est sécurisée par MFA, indépendamment de l’état de session existant

  • Respecte le principe du moindre privilège et de Zero Trust pour les rôles privilégiés

• Sécurité renforcée pour les comptes administratifs, même avec sessions existantes

• Customer-Managed Keys (CMK) pour Cosmos DB :

  • Permet de chiffrer les données au repos en utilisant vos propres clés stockées dans Azure Key Vault

  • Offre contrôle total sur la gestion et la rotation des clés

  • Supporte les exigences de conformité et réglementaires (HIPAA, GDPR, etc.)

• Différence avec les autres options :

A. Client-side encryption

• Chiffrement côté client → les données sont chiffrées avant envoi à Cosmos DB

• Plus complexe à gérer, mais pas nécessaire si vous voulez CMK au repos côté service

C. Transparent Data Encryption (TDE) avec service-managed keys

• Chiffrement automatique par le service

• Vous ne contrôlez pas les clés → ne répond pas à l’exigence de CMK

D. Column-level Always Encrypted

• Disponible pour SQL Server / Azure SQL Database

• Pas applicable à Cosmos DB

Pour assurer la conformité de toutes les ressources Azure avec le CIS Benchmark :

• Azure Policy permet de définir et appliquer des règles sur les ressources Azure.

• Une initiative (initiative definition) regroupe plusieurs policies liées à un objectif, ici : le CIS Benchmark.

• Déployer cette initiative au niveau du Management Group :

  • Assure que toutes les souscriptions enfants héritent des règles

  • Centralise la gouvernance

• Cette approche est scalable et alignée avec les Azure Landing Zones et le Cloud Adoption Framework (CAF).

• Dependabot est une fonctionnalité de GitHub Advanced Security qui :

  • Scanne automatiquement les dépendances open-source dans vos projets

  • Identifie les vulnérabilités connues via des bases CVE (Common Vulnerabilities and Exposures)

  • Propose des mises à jour sécurisées dans les workflows CI/CD

• Avantages :

  • Fonctionne directement pendant le build ou le merge

  • Intégré dans GitHub Actions, donc parfait pour les déploiements Azure App Service

  • Permet d’empêcher les vulnérabilités de production

• Microsoft Defender for Cosmos DB fournit :

  • Détection en temps réel des activités suspectes sur les bases Cosmos DB

  • Alertes pour :

    • Accès depuis des localisations géographiques inhabituelles

    • Tentatives de connexion ou d’exfiltration de données

    • Activités anormales des comptes ou clés d’accès

• Avantages clés :

  • Intégration avec Microsoft Sentinel pour investigations et réponses automatisées

  • Complète les mesures de chiffrement et d’accès, mais ajoute la détection comportementale

• Microsoft Sentinel Playbooks (basés sur Logic Apps) permettent de :

  • Automatiser la réponse aux incidents (SOAR – Security Orchestration, Automation, and Response)

  • Déclencher des workflows de restauration depuis les backups dès qu’un incident est détecté

  • Réagir rapidement et de manière cohérente face à un ransomware

• Cela offre un processus automatique de containment et de récupération, exactement ce que demande le SOC.

Deployment Manager est l'outil GCP d'Infrastructure as Code qui permet de définir des ressources GCP dans des fichiers de configuration YAML/JSON/Python et de les provisionner dynamiquement. C'est la solution recommandée par Google pour ce cas d'usage.

Standard pour les 30 premiers jours (consultés fréquemment) puis Archive directement (consultés rarement sur 3 ans) est la solution la plus économique. Nearline a un minimum de facturation de 30 jours — inadapté ici. Archive minimise les coûts pour les données rarement accédées.

Le Shared VPC (VPC partagé) est la solution GCP recommandée pour permettre à plusieurs projets de communiquer via le même réseau. Il nécessite une organisation GCP et permet une gestion centralisée du réseau.

App Engine permet de diviser le trafic entre différentes versions de la même application directement depuis la console GCP. C'est la méthode native et recommandée pour les déploiements canary dans App Engine, sans créer d'applications séparées.

La bonne pratique est d'accorder les permissions sur la ressource cible (crm-databases-proj) au compte de service de la source (web-applications). Donner bigquery.dataViewer dans crm-databases-proj permet l'accès en lecture aux datasets. Project Owner donne trop de permissions.

La méthode correcte est de d'abord créer le projet avec gcloud, puis de déployer l'application dans ce projet. gcloud ne crée pas automatiquement un projet lors du déploiement, et 'copier' une application App Engine déployée n'est pas une fonctionnalité native.

La commande gcloud deployment-manager deployments update met à jour un déploiement existant de manière incrémentale, en ne modifiant que les ressources qui ont changé, ce qui évite les interruptions de service inutiles.

MongoDB Atlas via Google Cloud Marketplace offre un environnement MongoDB entièrement géré avec SLA de support officiel. C'est la différence clé avec une installation manuelle : la gestion des mises à jour, des sauvegardes et du support est assurée par MongoDB.

Créer un budget séparé pour chaque projet avec une alerte à 500$ permet de surveiller chaque développeur individuellement. Un seul budget global ne permettrait pas d'identifier quel développeur dépasse le seuil.

La commande gcloud auth activate-service-account --key-file=chemin/vers/clé.json authentifie gcloud avec le compte de service. Toutes les commandes gcloud ultérieures s'exécutent sous l'identité de ce compte de service.

Correct: Options 2, 3, and 5 - Effective Scrum Masters use coaching, training, and stakeholder education to help organizations adopt Scrum sustainably. Option 1 violates change management principles; Option 4 contradicts Scrum's collaborative values; Option 6 extends events beyond their intended purpose, diluting their effectiveness.

Version control tools alone cannot resolve collaboration and dependency issues; these are fundamentally organizational and process problems requiring communication, planning, and proper backlog refinement. Technology is a tool, not a solution for human collaboration challenges in Scrum.

Arranging a triage meeting with project managers would be the least helpful because it removes decision-making from the Scrum Team and the organization's proper governance. The Scrum Master should instead consult the Development Team, prioritize impediments, and escalate to management about impact—keeping accountability within the Scrum Team first.

Correct: Options 1 and 4 - The Daily Scrum's purpose is team synchronization, not individual recognition tied to task completion, which creates dysfunctional behavior. Steven should coach both the PO on recognizing team achievements and the team on reclaiming the Daily Scrum's intent. Option 3 is incorrect—Scrum Masters facilitate all events. Option 2 misses the real issue of recognizing individuals over team goals.

The Scrum Master's role is to coach the team on Scrum principles rather than dictate decisions. The Daily Scrum's purpose is for the Development Team to synchronize work and plan the day—not to report status to the Product Owner. By facilitating understanding of the event's true purpose, Steven empowers the team to self-organize the solution, embodying servant-leadership and transparency.

Options B and C are correct. Unexpected technical debt encountered mid-Sprint reduces velocity (B), and teams can artificially inflate velocity by incurring debt instead of fully completing work (C). Option A incorrectly separates them—technical debt directly impacts capacity for new features. Option D is false: technical debt still consumes capacity and masks true velocity trends.

Correct answers: Options 0 and 1. The Scrum Master should first observe whether the issue surfaces in the Retrospective, creating a safe space for discussion (option 0), and facilitate full-team conflict resolution (option 1). Both approaches respect the team's autonomy and psychology. Option 2 (deference to seniority) stifles healthy debate. Option 4 (team building without addressing substance) ignores the real issue. Private coaching (option 3) alone skips collective learning.

All four options (0, 1, 2, 3) are correct. The Scrum Guide identifies that Scrum helps teams address: complexity and unpredictability of requirements (A), technology stability and complexity (B), team skills and relationships (C), and work timescale (D). Options E and F are not Scrum-addressed risks—governance structures and HR incentives fall outside Scrum's scope.

The Scrum Master should allow the Development Team to self-manage and solve the setup problem themselves. This honors the Scrum value of self-organization and respects the team's authority over how they conduct their events. The Scrum Master removes impediments but doesn't solve every problem for them.

A self-organizing Development Team collaboratively decides how to accomplish their work and owns the creation of their Sprint Backlog reflecting the Definition of Done. Options C and E are correct: Option C shows collaborative re-planning throughout the Sprint (self-organization), and Option E demonstrates the team creating their own Sprint Backlog with DoD compliance. Option A reflects role-based silos (not self-organizing), Option B involves management optimization (external direction), and Option D introduces external people (undermining autonomy).

Réponse : Portabilité.
Explication : C est correct car la portabilité est un attribut non-fonctionnel de faible priorité pour un système de surveillance médicale critique pour la sécurité, normalement lié à des piles matériel/système d\'exploitation certifiées. La disponibilité, la sécurité et la fiabilité ont un impact direct sur le risque patient et les preuves réglementaires.

Réponse : Les métriques enregistrées lors du test de l\'outil de capture-rejouer..
Explication : C est correct car les métriques mesurées de l\'outil de capture-rejouer fournissent les données empiriques directes (taux d\'exécution, temps de création et maintenance des scripts, taux de faux positifs/négatifs, surcharge de configuration/nettoyage) nécessaires pour convertir les tâches de test spécifiées en estimations temporelles fiables et réduire l\'incertitude.

Réponse : Pourcentage des exigences métier exercées.
Explication : La mesure la plus appropriée de couverture de test pour un rapport de progression métier hebdomadaire est le pourcentage des exigences métier exercées. Cette métrique s\'aligne directement avec les priorités métier : valider que le logiciel remplit son objectif et fournit une valeur tangible aux parties prenantes.

Réponse : Prévoir un environnement de test de secours en cas de défaillance de l\'environnement existant pendant les tests.
Explication : C est correct car prévoir un environnement de test de secours est une mesure d\'atténuation proactive et au niveau du projet qui réduit la probabilité et l\'impact d\'une défaillance d\'environnement. L\'atténuation des risques projet consiste en actions anticipées et délibérées réduisant l\'exposition aux menaces identifiées. Un environnement redondant est une mesure classique car une défaillance d\'environnement est un point de défaillance unique fréquent pouvant arrêter complètement les tests et augmenter les coûts.

Réponse : Les critères d\'entrée et de sortie pour chaque phase de test / Les techniques de conception de test à utiliser.
Explication : AC est correct car une stratégie de test défendable prescrit explicitement les techniques de conception de test pour atteindre la couverture et l\'atténuation des risques (C) et les critères d\'entrée/sortie qui gouvernent la progression des phases et les barrières qualité (A). Une stratégie de test robuste est un cadre décisionnel de haut niveau qui détermine comment les objectifs de test seront atteints et comment les risques informent la priorisation et la portée.

Réponse : En fournissant un atelier sur les techniques de conception de tests.
Explication : Un atelier sur les techniques de conception de tests remédie directement à la faible efficacité de détection des défauts en dotant les testeurs de méthodes systématiques et répétables pour dériver des cas de test de meilleure qualité. Les techniques pratiques (partitionnement des équivalences, analyse des valeurs limites, tables de décision, transitions d\'état, techniques d\'appairage) améliorent la couverture et augmentent la probabilité de détection des défauts.

Réponse : Définir les attentes concernant les tâches et les livrables / Canaux de communication clairs / Cultures possiblement différentes.
Explication : BCD est correct. L\'externalisation introduit des ambiguïtés contractuelles sur les livrables, nécessite des canaux de communication robustes et expose le projet à des différences culturelles. La définition précise des attentes, des critères d\'acceptation et des SLA est essentielle pour éviter les dérives de périmètre et les litiges.

Réponse : Pourcentage de couverture des exigences.
Explication : B est correct car le pourcentage de couverture des exigences quantifie directement l\'adéquation des tests par rapport à l\'objectif déclaré de valider que le système satisfait ses exigences. L\'efficacité du test dans un contexte piloté par les exigences repose sur la mesure objective de la complétude de la couverture des exigences et de la détection des non-conformités.

Réponse : Le pourcentage de couverture de décision atteint durant les tests unitaires. / La disponibilité de la dernière version de l\'outil d\'enregistrement-rejoue (pour tester l\'interface avec le nouvel outil de gestion des tests)..
Explication : Les critères d\'entrée sont des conditions préalables concrètes et vérifiables avant l\'exécution. La couverture de décision des tests unitaires (A) et la disponibilité des outils requis (B) sont des critères d\'entrée classiques, mesurables et directs pour l\'intégration.

Réponse : Organiser une réunion avec la direction générale pour qu\'elle aborde l\'importance d\'une bonne qualité de test pour ce projet.
Explication : D est correct car l\'appui visible de la direction générale élève la priorité organisationnelle des tests, fournit une reconnaissance et supprime les obstacles systémiques. Cela augmente la signification de la tâche et aligne l\'effort individuel avec les objectifs organisationnels, motivant durablement l\'équipe.

A. Immediately send an API request with the update as a synthetic user message, generating an unsolicited assistant response. Incorrect. This creates an unsolicited interruption, which can feel unnatural and confusing in an active conversation. B. Append the status update as a prefix to the next user message before calling the API. Incorrect. This pollutes the user message and mixes system state with user intent, which can lead to misinterpretation. C. Configure the assistant to call a get_order_status tool at the start of every response. Incorrect. This is inefficient and unnecessary, especially when you already have the update via webhook. D. Add the current shipping status to the system prompt before the next API call. Correct. This cleanly injects up-to-date system state into context, allowing the assistant to naturally incorporate it into the next response without disrupting the conversation flow.

A. Define a tool with your target schema as input parameters and have Claude call it with the extracted data. Correct. Tool use enforces strict schema compliance at generation time, ensuring valid, structured JSON that downstream systems can reliably consume. B. Pre-fill Claude's response with an opening brace to force JSON output, then complete and parse the response. Incorrect. This is a fragile workaround and does not guarantee valid or schema-compliant JSON. C. Append instructions like "Output only valid JSON matching the schema exactly" and implement retry logic to re-prompt when JSON parsing fails. Incorrect. Helpful but not reliable--models can still produce malformed or non-conformant JSON. D. Include detailed JSON formatting instructions and the target schema in your prompt, then parse Claude's text response as JSON. Incorrect. Prompt-based formatting alone cannot guarantee strict compliance, especially in edge cases.

A. Verify that 97% accuracy meets requirements for all downstream systems that consume the extracted data. Incorrect. Important, but it doesn't ensure the confidence signal is reliable across different cases--it only checks overall acceptability. B. Analyze accuracy by document type and field to verify high-confidence extractions perform consistently across all segments, not just in aggregate. Correct. Aggregate accuracy can hide weak spots. You need to ensure confidence >90% is trustworthy across all segments, otherwise automation may introduce systematic errors. C. Compare accuracy at different confidence thresholds (85%, 90%, 95%) to find the optimal cutoff that maximizes automation while minimizing errors. Incorrect. Useful for tuning, but only after confirming the confidence signal is consistent and reliable across segments. D. Run a two-week pilot routing 25% of high-confidence extractions directly to downstream systems and monitor error reports. Incorrect. A pilot is valuable, but deploying without validating segment-level reliability first introduces avoidable risk.

A. The coordinator agent receives the web search agent's output and includes relevant findings in the prompt when invoking the document analysis agent. Correct. This follows the standard orchestration pattern where the coordinator manages all data flow, explicitly passing outputs between subagents. B. The agents communicate through an event-driven message queue, with the document analysis agent subscribing to web search completion events. Incorrect. This introduces unnecessary infrastructure complexity and is not the typical agent orchestration model. C. The web search agent directly invokes the document analysis agent, using the discovered sources as parameters. Incorrect. Subagents should not invoke each other directly; this breaks centralized control and observability. D. Both agents access a shared memory store where the web search agent writes findings and the document analysis agent reads them. Incorrect. While possible in advanced systems, this is not the standard or simplest approach; it adds complexity without clear necessity in typical pipelines.

A. Move all tool responses to a vector database with semantic indexing, retrieving relevant portions as the conversation continues Incorrect. This adds unnecessary infrastructure complexity for a short-lived conversational context problem. B. Extract only return-relevant fields (items, purchase date, return window, status) from each existing order response, removing verbose details Correct. This preserves the information needed for the current task while significantly reducing context bloat before additional lookups. C. Have the model generate a natural language summary of each order's key details, replacing structured responses with prose descriptions Incorrect. Natural language summaries are less compact and may omit structured details needed for accurate return handling. D. Proceed with additional lookups without modifying the existing tool output context Incorrect. This worsens context crowding and increases the risk of degraded performance.

A. URLs that users can click to open the document in their browser. Incorrect. URLs are useful for users, but not ideal for agents performing multi-step workflows that require reliable referencing and further operations. B. Structured data containing document IDs and metadata for each result. Correct. This enables the agent to programmatically reference specific documents (via IDs) across multiple steps, making workflows like follow-up queries or document retrieval precise and reliable. C. A JSON array of document titles extracted from the search results. Incorrect. Titles alone are ambiguous and not stable identifiers, making it difficult for agents to reliably act on specific documents. D. More detailed human-readable descriptions including the size and authors. Incorrect. Helpful for users, but still unstructured and not suitable for precise multi-step agent operations.

A. The synthesis agent needs tools that can fetch results directly from the other agents' conversation histories. Incorrect. Agents do not require direct access to each other's histories. Proper orchestration passes outputs explicitly via prompts. B. The synthesis agent's context window is not large enough to hold the combined outputs from both previous agents. Incorrect. If this were the issue, the agent would receive truncated data, not no data at all. The error indicates missing inputs entirely. C. The subagents need to share a single API connection to enable automatic context sharing between invocations. Incorrect. Agent communication does not depend on shared API connections. Context must be explicitly passed by the coordinator. D. The coordinator did not include the outputs from the previous agents in the synthesis agent's prompt. Correct. The synthesis agent can only act on the information provided in its prompt. If prior outputs are not passed, it will report missing research findings.

A. Claude's memory retention is limited to two conversational turns by default, requiring explicit configuration to extend it. Incorrect. There is no fixed "two-turn memory limit" like this; context is determined by what the application sends, not a built-in short memory window. B. The prompt lacks instructions telling Claude to remember information across multiple exchanges. Incorrect. System prompts don't control memory persistence. The model does not "forget" within context unless information is missing from input. C. The verification tool is clearing the agent's internal state after each successful validation step. Incorrect. Tools do not automatically reset conversational context unless explicitly designed to do so--and that would be an application-level bug, not the most likely general cause. D. The conversation history isn't being passed in subsequent API requests. Correct. This is the most likely cause. The model is stateless, so if prior messages aren't included in each request, it behaves as if earlier verification steps never happened--leading to repeated questions like asking for the name again.

A. Add a confirmation step that requires users to type "CONFIRM DELETE" before delete_file executes. Incorrect. This prevents accidental execution but does not improve the agent's tool selection decision. B. Implement server-side validation that rejects delete_file calls for files tagged as backups, returning an error message suggesting archive_file. Incorrect. This enforces policy after the wrong choice is made but does not directly improve initial selection. C. Expand tool descriptions to clarify use cases, adding guidance like "Do not use for backup files" to delete_file. Correct. Clear, specific descriptions directly influence the agent's tool selection reasoning, making it less likely to choose the wrong tool. D. Add few-shot examples to the system prompt demonstrating that requests involving "backup" or "old" should use archive_file. Incorrect. Helpful, but less direct and less reliable than improving the tool descriptions themselves.

A. Log the error server-side and return an empty result to avoid confusing the model Incorrect. This hides critical failure information, making it impossible for the agent to distinguish "no data" from "system failure." B. Throw an exception from the tool handler so the agent framework can catch and log it Incorrect. Exceptions are useful internally, but the agent still needs a structured tool response; raw exceptions don't reliably propagate useful context to the model. C. Return the error message in the tool result content with the isError flag set to true Correct. This is the proper MCP pattern: the tool explicitly signals failure using isError: true, while still providing a readable error message so the agent can decide whether to retry, escalate, or inform the user. D. Return a success response with a "status" field indicating the error type Incorrect. This is misleading because it treats failures as successful responses, which confuses downstream reasoning and tool orchestration. Thank you Thank you for being so interested in the If you have any feedback or thoughts on the bumps, I would love to hear them. Your insights can help me improve our writing and better understand our readers. Best of Luck You have worked hard to get to this point, and you are well-prepared for the exam Keep your head up, stay positive, and go show that exam what you're made of! Feedback More Papers Total: 85 Questions Link: