Ne découvrez pas l'examen
le jour J

Artifact : bibliothèque centrale d'accords de conformité, rapports d'audit (SOC 2, ISO 27001, PCI DSS) et certifications AWS. Facilite la démonstration de conformité aux régulateurs.

Réponse : Amazon DynamoDB. Explication : Amazon DynamoDB est une base de données NoSQL entièrement gérée de type clé-valeur et document qui augmente automatiquement la capacité de débit. AWS gère toute l'infrastructure, les correctifs et la mise à l'échelle — éliminant les frais généraux opérationnels.

Réponse : Amazon Inspector. Explication : Amazon Inspector est un service automatisé de gestion des vulnérabilités qui analyse continuellement les instances EC2 pour détecter les vulnérabilités de logiciels et l'exposition réseau non intentionnelle. Il contrôle également le respect des bonnes pratiques de sécurité AWS.

Réponse : AWS CloudTrail.
Explication : AWS CloudTrail consigne tous les appels d’API et accès sur les ressources AWS du compte.

Réponse : Portée mondiale (Global reach).
Explication : La portée mondiale d’AWS, via ses régions et ses Edge Locations, permet d’améliorer les temps de réponse pour les utilisateurs dispersés géographiquement.

Réponse : Le matériel physique.
Explication : L’analyse TCO doit inclure tous les coûts matériels (serveurs, stockage, réseau, etc.) de l’infrastructure on-premise pour une comparaison équitable.

Réponse : Contacter l’équipe AWS Abuse.
Explication : Pour signaler des abus, il faut contacter l’équipe AWS Abuse, même avec le support Basic.

Réponse : Région AWS. Explication : Une région AWS est un emplacement géographique physique contenant plusieurs zones de disponibilité. AWS dispose de régions en Amérique du Nord, Europe, Asie-Pacifique, Amérique du Sud et Moyen-Orient/Afrique.

Réponse : IaaS.
Explication : Amazon EC2 est un service d’Infrastructure as a Service (IaaS), qui permet de gérer des ressources de calcul virtualisées.

Réponse : Amazon Athena. Explication : Amazon Athena est un service de requête interactif sans serveur pour analyser les données dans S3 à l'aide de SQL standard. Il n'y a pas d'infrastructure à configurer — vous payez uniquement par requête en fonction des données analysées, ce qui le rend extrêmement rentable pour une analyse occasionnelle.

Température élevée sans contrôle : augmenter la température accroît l'aléa et la créativité du modèle, rendant les réponses moins prévisibles et plus susceptibles de générer du contenu indésirable ou malveillant. Contrairement aux autres pratiques qui renforcent la sécurité (templates robustes, least-privilege IAM, filtrage des entrées), cette approche aggrave les risques d'injection de prompt en réduisant la cohérence des protections.

Accuracy (Exactitude) : métrique calculée comme (TP+TN)/(TP+TN+FP+FN), mesurant la proportion globale de prédictions correctes. Elle s'applique bien avec des données équilibrées. À ne pas confondre avec Precision (TP/(TP+FP), faux positifs) et Recall (TP/(TP+FN), faux négatifs) qui évaluent une classe spécifique.

Agents Bedrock : orchestrent les appels aux FM avec des intégrations backend (bases de données, APIs). Permettent au LLM de raisonner, d'exécuter des actions (requêtes DB) et de synthétiser réponses contextuelles. Parfait pour assistant financier multi-système.

L'explicabilité désigne la capacité à comprendre et à interpréter les décisions prises par un modèle d'IA — quelles caractéristiques (features) ont le plus influencé la prédiction, et pourquoi. C'est essentiel pour auditer les décisions à fort impact (crédit, médecine, justice). Les méthodes comme SHAP (SHapley Additive exPlanations) et LIME attribuent un score d'importance à chaque feature. Sans explicabilité, les modèles restent des "boîtes noires" impossibles à auditer ou corriger.

Stable Diffusion XL : modèle de fondation spécialisé dans la génération d'images à partir de texte disponible sur Bedrock. Produit des images haute résolution, supporte les variantes détaillées et les styles personnalisés. Optimal pour la génération en masse d'assets marketing.

Claude 3 + CodeWhisperer : Claude est un LLM hautement capable pour la génération de code structuré et documenté. CodeWhisperer complète avec des suggestions intelligentes en temps réel. Ensemble, ils couvrent la génération et l'amélioration du code source en production.

Amazon Comprehend : service NLP entièrement géré qui analyse automatiquement les sentiments (positif/négatif/neutre) et extrait les entités dans du texte, sans nécessiter de ML expertise. Contrairement à Polly (synthèse vocale), Rekognition (vision) et Lex (chatbots), Comprehend se concentre spécifiquement sur l'analyse textuelle intelligente pour les avis, commentaires et documents.

Traduction automatique neural : Amazon Translate utilise la traduction neuronale massive pour 15+ langues avec contexte préservé. Scalable en temps réel, moins cher et plus rapide que modèles fondations génériques pour ce cas d'usage spécifique.

Prompting efficace : technique consistant à formuler des instructions claires et des exemples (few-shot) pour contrôler le style de génération sans modifier le modèle. Contrairement au fine-tuning ou au pré-entraînement coûteux, le prompting exploite les capacités existantes du modèle pré-entraîné. C'est la solution la plus économique pour adapter la voix et le ton marketing.

Température et stabilité des LLM : la température contrôle le caractère aléatoire de la génération. Une température basse (< 0.5) rend le modèle déterministe en favorisant les tokens les plus probables, idéal pour des tâches précises comme la classification de sentiments. À l'inverse, augmenter la température ou Top-K amplifie la diversité et l'imprévisibilité, inadapté ici. Les consignes systèmes structurent le comportement.

Réponse : 15 minutes.
Explication : Le Daily Scrum est limité dans le temps à 15 minutes, quelle que soit la taille de l'équipe. Cela permet de maintenir la réunion centrée sur la coordination pour les 24 prochaines heures plutôt que sur la résolution détaillée des problèmes.

Objectif de la Sprint Review : Un événement formel au cours duquel la Scrum Team inspecte l'Incrément et adapte le Product Backlog avec les parties prenantes. Le Product Owner invite les parties prenantes clés à fournir des retours, favorisant la transparence et la collaboration essentielles au succès du produit.

L'Ouverture signifie que la Scrum Team et ses parties prenantes s'accordent à être transparentes sur l'ensemble du travail et des difficultés rencontrées dans sa réalisation. Partager ouvertement les avancées, les obstacles et les risques — même lorsque les nouvelles ne sont pas positives — permet aux parties prenantes de prendre des décisions éclairées et d'aider l'équipe. La Transparence est un pilier de Scrum (et non une valeur), le Courage est lié au fait de faire ce qui est juste, et l'Engagement est lié à la dévotion de l'équipe envers ses objectifs.

Nature du Product Backlog : Le Product Backlog est un artefact vivant et dynamique qui évolue continuellement tout au long du cycle de vie du produit. Il n'est jamais « complet » — les éléments sont affinés, repriorisés et ajoutés au fur et à mesure que les besoins des parties prenantes et les conditions du marché évoluent. Le Sprint Planning s'appuie sur l'état actuel du Backlog, mais le raffinement et les mises à jour se poursuivent au-delà, ce qui fait de la notion de complétude une idée reçue sur les caractéristiques du Backlog.

Réponse : Sprint Retrospective.
Explication : La Sprint Retrospective est l'événement Scrum explicitement requis par le Scrum Guide. Le Daily Scrum, la Sprint Planning et la Sprint Review sont également obligatoires, mais la Retrospective est spécifiquement décrite comme un événement requis permettant à l'équipe d'inspecter et d'adapter son processus.

Objectif de la Sprint Review : Il s'agit d'un événement d'inspection au cours duquel la Scrum Team et les parties prenantes examinent le travail accompli afin de recueillir des retours et d'identifier les adaptations à apporter aux Sprints futurs. Cela diffère des évaluations de performance (qui n'en sont pas l'objet) ou des activités de planification (qui font l'objet d'événements distincts), et cet événement s'appuie sur la Definition of Done plutôt que de la mettre à jour.

La transparence dans Scrum : le processus émergent et le travail réalisé doivent être visibles pour ceux qui effectuent ce travail et pour ceux qui en bénéficient. Cela favorise une prise de décision éclairée et la responsabilisation. Contrairement au simple reporting à la direction ou à la confidentialité interpersonnelle, la transparence porte sur la visibilité du travail réel et du processus.

Réponse : Les équipes existantes proposent une organisation ; les développeurs s'auto-organisent en équipes.
Explication : Scrum valorise l'auto-organisation. Les équipes doivent se former naturellement plutôt que d'être constituées par le management. Laisser les équipes existantes proposer une structure ou laisser les développeurs s'auto-organiser respecte tous deux le principe d'auto-gestion de Scrum.

Réponse : Inspecter l'Increment du produit avec les parties prenantes et recueillir des retours sur les prochaines étapes.
Explication : La Sprint Review est une session de travail collaborative au cours de laquelle l'équipe Scrum et les parties prenantes inspectent l'Increment et adaptent le Product Backlog en fonction de ce qui a été appris.

Tests continus dans Scrum : Les tests ont lieu tout au long du Sprint, et non dans une phase séparée à la fin. L'assurance qualité est intégrée aux activités de développement quotidiennes, permettant aux équipes de livrer un Increment potentiellement publiable à chaque Sprint. Cela évite l'accumulation de défauts et garantit une inspection et une adaptation continues.

Concept clé : La responsabilité du Product Owner en matière d'engagement des parties prenantes. Le Product Owner est explicitement responsable d'inviter les parties prenantes à la Sprint Review, car cet événement constitue une opportunité clé d'inspection et d'adaptation permettant de recueillir des retours sur l'Incrément du produit. Le Product Owner gère les relations avec les parties prenantes et détermine qui doit y assister en fonction de la pertinence par rapport au produit, de la valeur métier et des besoins en retours. Bien que le Scrum Master facilite l'événement et que les Développeurs présentent leur travail, ni l'un ni l'autre n'est responsable de l'invitation des parties prenantes. Les managers ne font pas partie du cadre Scrum et n'ont aucun rôle formel dans cette décision.

Réponse : Maximiser la valeur du produit grâce à une gestion efficace du Product Backlog.
Explication : Le Product Owner est responsable de la maximisation de la valeur du produit résultant du travail de la Scrum Team, ainsi que de la gestion efficace du Product Backlog.

Réponse : Prioriser en fonction de la valeur, du risque et du Product Goal, et organiser la collaboration et la clarté.
Explication : Le Product Owner équilibre les besoins des parties prenantes en alignant les priorités sur le Product Goal et en favorisant une collaboration transparente.

Réponse : Lorsque le Product Owner travaille activement sur des éléments du Sprint Backlog, il participe en tant que Developer.
Explication : Lorsqu'un Product Owner effectue également du travail de développement durant le Sprint, il participe au Daily Scrum en sa qualité de Developer, et non dans son rôle de Product Owner.

L'engagement du Product Goal : Le Product Goal est l'engagement global associé au Product Backlog, constituant l'objectif à long terme qui guide l'ensemble du raffinement du Backlog et du Sprint Planning. Le Product Backlog existe pour soutenir la réalisation du Product Goal, qui décrit un état futur du produit et fournit une direction à l'ensemble de la Scrum Team. Contrairement au Sprint Goal (qui est un engagement à plus court terme pour un seul Sprint) ou à la DoD (qui est une norme de qualité), le Product Goal représente la vision stratégique persistante qui évolue au fur et à mesure que le produit se développe et que les besoins des parties prenantes changent.

Réponse : Avoir une transparence totale sur ce qui a été accompli à la fin de chaque Sprint.
Explication : La Definition of Done (DoD) crée une compréhension commune de ce que signifie « terminé ». Lorsque tous les membres de l'équipe la respectent, le PO peut avoir confiance que les éléments « Done » sont véritablement prêts à être livrés — ce qui élimine toute ambiguïté lors des Sprint Reviews.

Concept clé : La vélocité mesure la capacité et la prévisibilité de l'équipe, et non la valeur du produit. La vélocité est un outil de planification qui suit la quantité de travail réalisée par une Scrum Team au cours d'un Sprint, aidant ainsi à prévoir les délais de livraison futurs. Elle répond à la question « Combien pouvons-nous produire ? » plutôt qu'à « Ce que nous avons produit est-il utile ? » La valeur du produit est déterminée par les résultats métier, la satisfaction des clients, l'impact sur les revenus et l'alignement avec l'Objectif du Produit. Une équipe peut avoir une vélocité élevée tout en livrant des fonctionnalités à faible valeur, ou une vélocité plus faible tout en livrant un travail à fort impact. En tant que Product Owner, vous faites la distinction entre la productivité de l'équipe (vélocité) et la valeur réelle livrée (les résultats), en veillant à ce que le travail de chaque Sprint fasse progresser l'Objectif du Produit et crée un impact métier mesurable.

Réponse : Vrai.
Explication : Le Product Backlog est la source unique de vérité pour tout le travail réalisé par la Scrum Team. Tout le travail produit planifié — fonctionnalités, bugs, tâches techniques, expérimentations — doit en être issu.

Concept clé : La propriété de l'implémentation technique appartient aux Développeurs. Les Développeurs sont seuls responsables de la détermination de l'approche technique, de l'architecture, des modèles de conception et des tâches concrètes nécessaires pour livrer les éléments du Product Backlog. Tandis que le Product Owner définit le « quoi » (les fonctionnalités et les exigences) et que le Scrum Master facilite le processus, les Développeurs conservent une autonomie totale sur les détails d'implémentation. Cette séparation des responsabilités garantit l'excellence technique et la responsabilisation de l'équipe. Ni le Product Owner, ni le Scrum Master, ni les managers externes ne doivent imposer des solutions techniques, car cela nuit à l'expertise des Développeurs et à leur auto-organisation — des principes fondamentaux de Scrum qui permettent une livraison efficace.

Réponse : Faux.
Explication : La Sprint Review est une session de travail collaborative visant à inspecter l'Incrément et à adapter le Product Backlog — ce n'est pas un rapport d'avancement.

Valeur Acquise (EVM) : méthode intégrée combinant portée, calendrier et coûts pour mesurer la performance réelle du projet. Elle permet de comparer le travail réalisé (valeur acquise) au travail planifié (valeur planifiée) et aux coûts engagés, offrant une vision globale et objective de l'état du projet, contrairement aux approches isolées mesurant un seul paramètre.

Collaboration (Problem Solving) : technique cherchant une solution satisfaisant tous les parties (gagnant-gagnant). Elle favorise le dialogue ouvert et l'exploration créative. Contrairement au compromis (chacun perd un peu) ou au forçage (un gagnant), la collaboration résout le conflit en profondeur, alignée avec le leadership collaboratif du PMBOK 7e.

Réponse : Discuter avec le sponsor pour simplifier le rapport et s’assurer qu’il répond aux besoins réels de décision.

Indices de Performance (SPI et CPI) : SPI = 1,0 signifie que la valeur acquise égale la valeur planifiée (délais respectés). CPI = 1,0 signifie que la valeur acquise égale le coût réel (budget respecté). Quand les deux indicateurs valent 1,0, le projet est parfaitement aligné sur le planning et le budget prévus.

Intelligence émotionnelle : capacité à reconnaître et gérer les émotions (siennes et celles d'autrui). Avant d'agir, comprendre le ressenti et les causes réelles du désengagement permet des solutions adaptées et préserve la relation.

Indices de performance (CPI et SPI) : CPI mesure l'efficacité des coûts (Valeur gagnée / Coût réel), SPI mesure l'efficacité du calendrier (Valeur gagnée / Valeur planifiée). Un CPI = 1 signifie dépenses alignées au budget. Un SPI = 0,7 indique que seuls 70% du travail planifié sont complétés, confirmant un retard de calendrier malgré une performance budgétaire conforme.

Gestion des risques techniques : Face à une technologie inconnue, il faut d'abord valider la faisabilité via formation ou proof of concept plutôt que d'ignorer le risque, de sous-traiter aveuglément ou de simplifier sans analyse. Cette approche réduit les incertitudes avant la mise en œuvre.

Hiérarchie des réserves budgétaires en gestion de projet : Selon le PMBOK 7e édition, le budget de projet se compose du budget de base (estimations des coûts des activités planifiées) et des réserves. La réserve de gestion est spécifiquement destinée aux risques connus mais imprévisibles (imprévus gérés au niveau du projet), tandis que la réserve de changement couvre les changements de périmètre approuvés par le client. Lorsqu'un projet risque de dépasser son budget, la première réserve à mobiliser est la réserve de gestion, car elle constitue un coussin financier prévu pour absorber les variations de coûts liées aux risques identifiés durant la planification. Le budget de base ne peut pas être modifié rétroactivement sans approuvation formelle du changement. La réserve de changement ne s'utilise que si des demandes de changement de scope sont acceptées. La réserve de profit (ou marge bénéficiaire) ne doit jamais être utilisée pour couvrir des dépassements de coûts, car elle représente le bénéfice du projet. Cette hiérarchie d'utilisation suit le principe

Gestion des conflits et leadership servile : Selon le PMBOK 7e édition, le domaine de performance "Équipe" exige que le chef de projet adopte un style de leadership servile, mettant l'accent sur la résolution collaborative des conflits plutôt que sur l'autoritarisme. Faciliter une discussion ouverte permet d'identifier les causes profondes des tensions, de favoriser la compréhension mutuelle et de renforcer la cohésion d'équipe. Cette approche respecte les valeurs agiles de communication transparente et d'amélioration continue. Les conflits non gérés peuvent escalader et dégrader la performance du projet. Ignorer les tensions aggrave les problèmes, réassigner les membres sans dialogue contourne le problème réel, et sanctionner l'équipe crée un environnement de crainte qui inhibe la collaboration. La facilitation constructive du dialogue, fondée sur l'écoute active et la médiation, est la pratique recommandée pour transformer les désaccords en opportunités d'apprentissage collectif et renforcer la maturité émotionnelle de l'équipe.

Cette question correspond à l\'objectif d\'apprentissage FL-4.2.1 (K3) – Utiliser les partitions d\'équivalence pour dériver les cas de test
● a) Correct → Les valeurs 9 € (juste en dessous du minimum), 10 € (minimum), 10 000 € (maximum) et 10 001 € (juste au-dessus du maximum) couvrent les limites inférieures et supérieures
● b) Faux → Les valeurs intermédiaires comme 5 000 € ne testent pas les limites.
● c) Faux → 0 € et 15 000 € sont en dehors des limites pertinentes.
● d) Faux → Tester uniquement les valeurs limites sans les valeurs juste en dehors des limites ne couvre pas tous les scénarios possibles.

Cette question correspond à l\'objectif d\'apprentissage FL-5.1.7 (K2) - Résumer les quadrants du test et leurs relations avec les niveaux et les types de tests.

La bonne réponse est b) :

1. Test d\'accessibilité - Orienté métier, critique du produit (C)
2. Test unitaire - Orienté technologie, support à l\'équipe de développement (A)
3. Test d\'acceptation utilisateur - Orienté métier, critique du produit (C)
4. Test de performance - Orienté technologie, critique du produit (D)
● a) Faux → Le test d\'acceptation utilisateur est en C (orienté métier, critique du produit), pas en B.
● b) Correct → Toutes les correspondances sont correctes.
● c) Faux →- Le test d\'accessibilité est en C, pas en D, et le test de performance est en D, pas en B.
● d) Faux → Le test d\'accessibilité est en C, pas en D, et le test unitaire est en A, pas en B.

Cette question correspond à l\'objectif d\'apprentissage FL-2.1.4 (K2) - Résumer la façon dont DevOps pourrait avoir un impact sur le test.
● a) Faux → Dans DevOps, les tests deviennent plus critiques, pas moins importants, car les déploiements fréquents augmentent le besoin de détection rapide des
problèmes.
● b) Faux → DevOps encourage la collaboration et le partage des responsabilités, mais n\'élimine pas le besoin d\'expertise en test. Les compétences spécialisées en test restent valorisées.
● c) Faux → DevOps ne préconise pas de tester principalement en production. Au contraire, il encourage le test approfondi avant le déploiement, mais dans des
environnements qui reflètent fidèlement la production.
● d) Correct → Cette réponse décrit correctement l\'impact principal de DevOps : l\'automatisation des tests et l\'intégration continue permettent un feedback plus rapide et facilitent les déploiements fréquents et fiables.

Cette question correspond à l’objectif d\'apprentissage FL-2.1.2 (K1) – Rappeler les bonnes pratiques de test qui s\'appliquent à tous les cycles de vie du développement logiciel.

● a) Faux → Les tests doivent couvrir plusieurs niveaux (unitaires, intégration, système, acceptation), et pas uniquement l’interface utilisateur.
● b) Faux → Attendre la fin du développement pour tester expose le projet à un risque accru de corrections coûteuses en fin de cycle.
● c) Faux → La documentation des tests est essentielle pour assurer la traçabilité et la reproductibilité des tests.
● d) Correct → Tester tôt est une bonne pratique universelle, car plus un défaut est détecté tôt, moins il est coûteux à corriger.

Cette question correspond à l’objectif FL-5.4.1 (K2) – Résumer la manière dont la gestion de configuration soutient les tests.
● a) Faux → Ce n’est pas un rôle de la configuration mais de la stratégie de test.
● b) Correct → Le cœur de la gestion de configuration, c’est le suivi des versions, des liens entre livrables et des artefacts.
● c) Faux → Ce n’est ni toujours souhaitable, ni une responsabilité de la configuration.
● d) Faux → Les spécifications sont sous contrôle de gestion produit.

Cette question correspond à l’objectif d’apprentissage FL-3.1.1 (K1) - Reconnaître les types de produits qui peuvent être examinés par les différentes techniques de test statique.

● a) Faux → La revue des exigences est une activité de test statique permettant d’identifier des incohérences dans les spécifications.
● b) Faux → L’analyse statique du code est une technique statique qui permet de détecter des erreurs sans exécuter le programme.
● c) Correct → L’exécution de tests unitaires est une activité dynamique, car elle nécessite de faire fonctionner le logiciel.
● d) Faux → L’inspection formelle est une technique statique qui permet de valider la conception avant l’implémentation.

Cette question correspond à l’objectif d’apprentissage FL-2.1.2 (K1) – Rappeler les bonnes
pratiques de test applicables à tous les cycles de vie.
● a) Faux → Cela correspond à une approche tardive (type Waterfall rigide), et va àl’encontre des bonnes pratiques modernes.
● b) Faux → Les testeurs doivent être impliqués dès les phases d’analyse et de conception.
● c) Correct → Tester dès que possible (shift-left) est une bonne pratique universelle qui réduit les coûts de détection de défauts.
● d) Faux → Collaboration entre test et développement est essentielle, peu importe le cycle.

Cette question correspond à l\'objectif d\'apprentissage FL-4.2.1 (K3) - Appliquer le partitionnement en classes d\'équivalence pour dériver des cas de test.

● a) Correct → Pour couvrir toutes les classes d\'équivalence valides, nous avons besoin de tester : (économique, pas de vue), (économique, vue partielle), (standard,
pas de vue), (standard, vue partielle), (luxe, pas de vue), (luxe, vue partielle), et (luxe, vue panoramique). Cependant, comme seuls les hôtels de luxe peuvent avoir une vue panoramique, et que le formulaire a une validation qui empêche les
combinaisons invalides, nous pouvons couvrir toutes les classes valides avec 3 cas de test : (économique, pas de vue), (standard, vue partielle), et (luxe, vue panoramique).
● b) Faux → Trois cas de test suffisent pour couvrir toutes les classes d\'équivalence valides.
● c) Faux → Trois cas de test suffisent pour couvrir toutes les classes d\'équivalence valides.
● d) Faux →. Trois cas de test suffisent pour couvrir toutes les classes d\'équivalencevalides.

Cette question correspond à l’objectif d’apprentissage FL-1.5.3 (K2) – Distinguer les avantages et les inconvénients de l\'indépendance du test.

● a) Correct → Une équipe trop indépendante peut manquer d’informations essentielles sur le produit et son contexte d’utilisation.
● b) Faux → Une plus grande objectivité est un avantage, et non un inconvénient.
● c) Faux → Une séparation trop marquée peut au contraire augmenter les conflits entre testeurs et développeurs.
● d) Faux → Une équipe totalement indépendante n’accélère pas forcément les tests, cela dépend de l’organisation en place.

Cette question correspond à l’objectif d’apprentissage FL-4.5.2 (K2) – Classer les différentes options pour la rédaction des critères d’acceptation.
● a) Faux → Bien que la forme Given/When/Then soit très répandue et efficace, il n’existe pas d’obligation stricte dans les projets de test d’acceptation de toujours utiliser ce format.
● b) Correct → format dépend du contexte du projet, du public cible, et de la maturité de l’équipe. Selon la complexité du projet et les habitudes de l’organisation, on peut utiliser plusieurs formats.
● c) Faux → Les critères d’acceptation doivent généralement être élaborés en collaboration avec les parties prenantes clés : Product Owner, utilisateurs métiers, testeurs et développeurs. Se limiter à l’équipe de développement peut conduire à des critères trop techniques ou peu alignés sur les attentes métiers.
● d) Faux → Les critères d’acceptation peuvent effectivement comporter des exigences de performance, mais ils ne se limitent pas à cet aspect. Ils doivent également couvrir la fonctionnalité, la facilité d’utilisation, la sécurité, la fiabilité, etc.

Souveraineté des données et conformité : Les organisations doivent se conformer aux lois locales de protection des données (RGPD, CCPA, etc.) dans chaque juridiction où elles opèrent. Les violations réglementaires entraînent des amendes considérables et des responsabilités juridiques. Bien que les risques liés aux pirates informatiques, les contrats et les fuseaux horaires aient une importance opérationnelle, ils restent secondaires par rapport aux exigences de conformité légale qui ont un impact direct sur la viabilité de l'entreprise.

Chiffrement WPA3 : la dernière norme de sécurité Wi-Fi offrant une protection avancée grâce à l'authentification simultanée des égaux (SAE) et au chiffrement individualisé des données. Elle empêche les accès non autorisés plus efficacement que le masquage des SSID ou le filtrage MAC, qui sont facilement contournables. Le WEP est obsolète et cryptographiquement compromis.

La fin du support (End of Support) : l'étape à laquelle un fournisseur cesse de publier des correctifs et des mises à jour pour un appareil ou un logiciel. Un équipement legacy ne recevant plus de mises à jour entre dans cette phase, ce qui augmente considérablement les risques de sécurité liés aux vulnérabilités non corrigées. Contrairement à la fin de vie (End of Life, qui désigne l'arrêt physique de la commercialisation), la fin du support concerne spécifiquement la cessation de la maintenance et des mises à jour de sécurité.

Phishing est la bonne réponse car il s'agit spécifiquement d'envoyer des emails frauduleux usurpant l'identité de sources de confiance pour voler des informations d'identification. C'est l'attaque d'ingénierie sociale par email la plus courante et la plus générale.

Vishing est une attaque vocale (par téléphone), Smishing utilise des messages SMS, et Spear Phishing est une variante ciblée et personnalisée du phishing. Bien que le spear phishing soit également un type de phishing, la question demande le type d'attaque générique impliquant des « emails frauduleux », ce qui correspond à la définition standard du phishing.

Responsabilité des actifs : Étiqueter les ordinateurs portables et les associer aux identifiants des employés établit une propriété claire et une traçabilité. Cela permet aux équipes de réponse aux incidents d'identifier rapidement les utilisateurs concernés et d'enquêter sur les violations de sécurité. Contrairement aux politiques de pare-feu ou à l'automatisation de la gestion des correctifs, le suivi des actifs soutient directement la responsabilisation et la notification des employés lors d'incidents.

Réponse : Moindre privilège.
Explication : Le principe du moindre privilège limite l'accès des utilisateurs aux seules ressources et autorisations minimales nécessaires à l'exercice de leurs fonctions. Restreindre l'accès à la console d'administration au seul responsable informatique et au responsable du service d'assistance réduit la surface d'attaque et limite l'impact en cas de comptes compromis.

Contrôle d'accès au réseau (NAC) : applique l'authentification et l'autorisation des appareils avant l'accès au réseau, empêchant ainsi les accès non autorisés au niveau du périmètre. Contrairement à l'antivirus (axé sur la détection), au chiffrement (protection des données) ou au WAF (défense au niveau de la couche applicative), le NAC bloque de manière proactive les appareils non conformes, ce qui en fait la solution la plus efficace pour le contrôle d'accès.

Détection du trafic de commande et contrôle (C2) : Les journaux de pare-feu enregistrent toutes les connexions réseau, y compris les adresses IP et les ports de destination, ce qui les rend idéaux pour identifier un trafic sortant suspect à destination des serveurs des attaquants. Bien que les IDS/IPS génèrent des alertes sur les comportements malveillants, les journaux de pare-feu fournissent les métadonnées de connexion complètes nécessaires pour tracer les destinations C2. Les antivirus et les journaux applicatifs se concentrent sur les menaces au niveau des postes de travail, et non sur les communications réseau.

Prévention des pertes de données (DLP) : Une technologie de sécurité qui surveille, détecte et bloque la transmission non autorisée de données sensibles en dehors du périmètre réseau. Le DLP cible spécifiquement l'exfiltration de données via les e-mails, le stockage cloud et les supports amovibles. Contrairement au chiffrement (qui protège les données au repos et en transit), au VPN (qui fournit des connexions sécurisées) ou à l'antivirus (qui détecte les logiciels malveillants), le DLP applique activement les politiques de gestion des données et empêche leur suppression non autorisée.

La rétention : la pratique consistant à conserver des données pendant une période définie afin de répondre aux exigences réglementaires, légales ou métier. L'archivage des données de transactions clients pendant sept ans illustre les politiques de rétention qui garantissent la conformité aux réglementations financières. Contrairement au transfert (déplacement des données vers un autre endroit) ou à l'inventaire (catalogage des données), la rétention porte spécifiquement sur la durée pendant laquelle les données doivent être conservées.

Modèle PaaS d'Azure SQL Database : Microsoft, en tant que fournisseur cloud, gère entièrement l'infrastructure, le moteur SQL et les mises à jour de sécurité. Le client ne s'occupe que des données et de l'application. Contrairement à un serveur on-premises, l'administrateur réseau n'intervient pas sur les patchs du moteur SQL.

Réponse : Accès aux dernières fonctionnalités ; effort administratif réduit pour la gestion de l'infrastructure serveur. Explication : Les bases de données PaaS comme Azure SQL Database fournissent des mises à jour automatiques avec les dernières fonctionnalités du moteur de base de données et gèrent toute l'infrastructure (correctifs, sauvegardes, haute disponibilité). Cela permet aux équipes de se concentrer sur le développement d'applications plutôt que sur l'administration des bases de données.

Une vue (View) est une requête SQL enregistrée sous forme d'objet virtuel qui se comporte comme une table. Elle ne stocke pas de données physiquement (sauf les vues matérialisées) — à chaque appel, elle exécute la requête sous-jacente. Avantages : (1) Simplification des requêtes complexes en les encapsulant, (2) Sécurité en exposant uniquement certaines colonnes aux utilisateurs sans accès direct à la table, (3) Abstraction permettant de modifier la structure sous-jacente sans impacter les applications qui utilisent la vue.

Apache Spark est un moteur de traitement distribué open-source pour le Big Data, capable de traiter de très grands volumes en mémoire (beaucoup plus rapide qu'Hadoop MapReduce). Dans Azure, Spark est disponible via : Azure Synapse Analytics (Spark pools intégrés dans le workspace analytique), Azure Databricks (plateforme Spark managée premium, optimisée pour la data science et ML), et Azure HDInsight (clusters Hadoop/Spark managés). Spark supporte Python (PySpark), Scala, R et SQL. Il est utilisé pour le traitement batch, le streaming et le machine learning distribué.

Cohérence : propriété garantissant que la base de données passe d'un état valide à un autre état valide après chaque transaction. Elle vérifie que toutes les contraintes d'intégrité (clés primaires, clés étrangères, règles métier) sont respectées. Contrairement à l'atomicité (tout ou rien), l'isolation (concurrence) ou la durabilité (persistance), la cohérence assure la validité logique des données.

Azure Databricks est une plateforme Spark managée développée en collaboration avec Databricks (créateurs de Delta Lake, MLflow). Elle excelle dans les cas avancés : ML/MLOps, feature engineering complexe, streaming Delta. Azure Synapse Analytics Spark est intégré dans le workspace Synapse, facilitant la collaboration entre SQL et Spark au sein d'un même outil. Databricks est souvent préféré pour les data scientists avancés ; Synapse Spark pour les équipes data engineering qui travaillent déjà dans l'écosystème Synapse. Les deux supportent Python, Scala et R.

ALTER TABLE : commande DDL (Data Definition Language) qui modifie la structure d'une table existante (ajouter/supprimer/renommer des colonnes, modifier des types). À ne pas confondre avec UPDATE qui change les données, ou INSERT INTO qui ajoute des lignes. MODIFY n'est pas une commande SQL standard.

Charges analytiques (OLAP) : systèmes conçus pour analyser de grands volumes de données historiques et produire des rapports complexes. Contrairement aux charges transactionnelles (OLTP) qui traitent chaque transaction individuellement, l'OLAP agrège et synthétise les données pour déceler des tendances et patterns. Les distracteurs confondent OLTP (enregistrement de transactions) avec OLAP (analyse rétrospective).

Réponse : Online Transaction Processing (OLTP). Explication : Les applications e-commerce effectuent des transactions fréquentes et petites de lecture/écriture (placement de commandes, mises à jour d'inventaire, recherches de clients) — la caractéristique déterminante d'OLTP. OLAP serait utilisé pour les rapports analytiques sur les données historiques agrégées.

INNER JOIN : jointure qui retourne uniquement les lignes ayant une correspondance dans les deux tables. C'est la plus restrictive car elle exclut tous les enregistrements sans équivalent. À l'inverse, LEFT JOIN conserve tous les enregistrements de la table gauche, et FULL OUTER JOIN inclut tous les enregistrements des deux tables, même sans correspondance.

Réponse : La date de mise en service/capitalisation de l’actif.
Explication : La plupart des clés démarrent au début de la période de capitalisation ; la logique exacte dépend du contrôle de période paramétré.

Réponse : Vrai
OB52 permet effectivement d'ouvrir ou fermer des périodes comptables par type de compte (A = immobilisations, D = clients, K = fournisseurs, M = stocks, S = comptes GL) et par variante de périodes comptables (Posting Period Variant). Cela offre un contrôle granulaire de la période de comptabilisation.

Réponse : Vrai
Explication : Le mandat SEPA (type CORE/B2B) est requis pour débiter le compte du client.

Réponse : Le Catalogue Fiori attaché au rôle.
Explication : Le catalogue liste les applications disponibles ; les espaces/pages organisent la présentation ; l’autorisation découle du rôle PFCG qui référence le catalogue.

Réponse : Vrai
Le report de soldes GL (Balance Carryforward) peut être réexécuté autant de fois que nécessaire. Si des corrections sont apportées après le premier report, il suffit de relancer le programme (FAGLGVTR) pour actualiser les soldes d'ouverture de l'exercice suivant.

Réponse : Les comptes sont gérés dans BAM et assignés aux sociétés
Le Bank Account Management (BAM) dans S/4HANA centralise la gestion des comptes bancaires de l'entreprise. Les comptes sont créés dans BAM et assignés aux codes société pour être utilisés dans le programme de paiement F110 et le rapprochement bancaire.

Réponse : Permettre le lettrage poste par poste.
Explication : OI impose le lettrage et le suivi des soldes ouverts.

Réponse : Ils reçoivent automatiquement les écritures miroir des sous-comptes BP ; Les écritures directes sont interdites ; La modification du compte de réconciliation en production doit suivre une procédure contrôlée.
Explication : Les comptes de réconciliation assurent l’intégrité entre sous-comptes et GL ; tout changement requiert précautions (soldes/postes).

Réponse : La clé de date de base définie dans la condition de paiement (souvent la date de facture).
Explication : La condition de paiement détermine la date de base utilisée pour calculer échéance et escomptes.

Réponse : Accruals/deferrals + FX + GR/IR + F.13 + revue des comptes
Une check-list de clôture mensuelle FI inclut typiquement : les régularisations (accruals/deferrals), la valorisation des devises étrangères (FX), le nettoyage du compte GR/IR (MR11), le lettrage automatique (F.13), et la revue/validation des comptes avant publication.

Concept clé : Audit d'équité pour la détection de biais. Les audits d'équité comparent les résultats entre catégories de genre pour des candidats ayant des qualifications équivalentes. Les testeurs doivent analyser systématiquement si le système recommande les candidats masculins et féminins ayant des qualifications équivalentes à des taux similaires, en identifiant un biais de genre si des disparités sont constatées.

Concept clé : Test de robustesse pour la sécurité. La robustesse désigne une performance cohérente dans des conditions variées. Pour les systèmes AI critiques pour la sécurité, les testeurs doivent valider la performance dans des conditions de pluie, de brouillard, de neige, en conditions nocturnes, ainsi que dans des cas limites et des scénarios inattendus, afin de s'assurer que le système reste sûr en déploiement réel.

Concept clé : Test de confidentialité dans l'apprentissage fédéré. L'apprentissage fédéré vise à préserver la confidentialité en maintenant les données d'entraînement décentralisées. Les testeurs doivent valider que les données individuelles ne quittent jamais les appareils locaux et que seules les mises à jour agrégées du modèle sont transmises, prévenant ainsi toute exposition non autorisée des données pendant le processus d'apprentissage.

Réponse : S\'assurer que les fournisseurs de l\'organisation et leurs performances sont gérés de manière appropriée afin de supporter l\'approvisionnement continu de produits et services de qualité.
Explication : La gestion des fournisseurs assure que les relations avec les fournisseurs externes sont correctement gérées pour garantir un approvisionnement continu en produits et services de qualité.

Réponse : La gestion des mises en production.
Explication : La gestion des mises en production a pour but de mettre à disposition des services et fonctionnalités nouveaux ou modifiés, en coordonnant le packaging et le déploiement des releases.

Réponse : Les principes directeurs peuvent guider une organisation en toutes circonstances.
Explication : Les principes directeurs ITIL 4 sont universels et s\'appliquent en toutes circonstances, à toute organisation et tout type de projet ou initiative, quelle que soit la situation.

Réponse : Les coûts supprimés par le service et les coûts imposés par le service.
Explication : Le consommateur d\'un service doit évaluer les coûts supprimés (ce qu\'il n\'a plus à gérer) et les coûts imposés (ce qu\'il doit payer), pour déterminer si la valeur nette est positive.

Réponse : Rôles et responsabilités.
Explication : La dimension \'Information et technologie\' couvre les données, systèmes d\'information et outils. Les rôles et responsabilités appartiennent à la dimension \'Organisations et personnes\'.

Réponse : Habilitation des changements.
Explication : En ITIL 4, l\'habilitation des changements est responsable du déplacement des composants vers les environnements de production, garantissant que les changements sont correctement contrôlés et autorisés avant mise en production.

Réponse : Progresser par itérations avec des retours.
Explication : Le principe \'Progresser par itérations avec des retours\' recommande de diviser le travail en petites étapes gérables avec des boucles de feedback fréquentes pour s\'adapter et corriger rapidement.

Réponse : 1 et 4.
Explication : La résolution d\'un problème implique l\'amélioration continue (identifier et éliminer la cause) et le contrôle des changements (implémenter la correction de manière contrôlée et sécurisée).

Réponse : Pour planifier les changements et éviter les conflits.
Explication : Le calendrier des changements sert principalement à planifier les changements et à prévenir les conflits entre eux, en offrant une vue consolidée de tous les changements prévus.

Réponse : Comprendre comment chaque élément contribue à la création de valeur.
Explication : Le principe \'Opter pour la simplicité\' demande de comprendre comment chaque élément contribue à la valeur, en éliminant ce qui n\'en apporte pas et en évitant la complexité inutile.

• Dans Viva Connections, le menu de navigation global est alimenté par la navigation du site d’accueil SharePoint.

• En configurant un mega menu dans les paramètres du site, vous permettez aux employés de naviguer facilement vers les ressources importantes de l’entreprise.

• Les autres options ne créent pas de navigation globale :

  • A : List view web part affiche simplement une liste, pas un menu de navigation.

  • C : News web part affiche des actualités, pas des liens de navigation.

  • D : Quick links ne fournit qu’une section de liens sur la page, pas un menu global accessible depuis toutes les pages.

Dans Microsoft Viva Goals, il est possible de contrôler la visibilité des objectifs (Goals) et des OKR en configurant des autorisations au niveau de l’équipe ou de l’objectif.

👉 Les contrôles d’accès basés sur l’équipe permettent :

• De limiter la visibilité d’un objectif à une équipe spécifique (par exemple : Finance)

• D’empêcher les autres utilisateurs de l’organisation d’y accéder

• De garantir la confidentialité des OKR sensibles

C’est la méthode appropriée pour gérer la visibilité directement dans Viva Goals.

💡 Explication :

• Defender for Cloud Apps permet de surveiller les activités des utilisateurs dans les applications SaaS.

• Avec une politique d’activité + règles de détection d’anomalies, vous pouvez :

  • Détecter des comportements inhabituels (ex : partage massif de fichiers)

  • Définir un seuil et déclencher une alerte automatique lorsque ce seuil est dépassé

    🎯 À retenir pour l’examen MS-900 :

    • Alertes automatiques sur activités SaaS = Activity policy + anomaly detection dans Defender for Cloud Apps.

    • L’accès conditionnel et Sentinel peuvent compléter, mais ne remplacent pas cette fonctionnalité.

• Microsoft Defender for Endpoint permet :

  • Détection automatique des menaces sur les endpoints

  • Investigation automatisée des incidents

  • Actions de remédiation automatiques pour contenir et corriger les menaces

• Les autres options ne gèrent pas directement l’investigation et la remédiation automatique :

  • A : PIM gère les rôles à privilèges temporaires.

  • B : Secure Score propose des recommandations de sécurité, pas de remédiation automatique.

  • D : Mailbox hold conserve les emails pour conformité, pas pour gérer des incidents de sécurité.

L’application mobile OneDrive permet :

• D’accéder aux fichiers sur tablette et smartphone

• De rendre certains fichiers ou dossiers disponibles hors ligne

• De minimiser le stockage local, car seuls les fichiers sélectionnés sont téléchargés pour un accès hors ligne, le reste reste dans le cloud.

  🎯 À retenir pour l’examen MS-900 :

  • OneDrive mobile app + disponibilité hors ligne = accès aux fichiers sur appareils mobiles même sans connexion, avec stockage local limité.

  • Les autres solutions (navigateur, WebDAV, laptop) ne répondent pas au besoin mobile hors ligne.

• Monthly Enterprise Channel (canal mensuel pour entreprises) :

  • Fournit les mises à jour de fonctionnalités mensuelles dès qu’elles sont disponibles pour le grand public.

  • Convient aux organisations qui veulent un équilibre entre rapidité et stabilité.

• Ce canal est idéal pour déployer rapidement de nouvelles fonctionnalités aux groupes pilotes ou à certaines machines, sans attendre les canaux plus longs comme le Semi-Annual Channel.

  🎯 À retenir pour l’examen MS-900 :

  • Monthly Enterprise Channel = mises à jour mensuelles officielles pour entreprises, avec déploiement rapide

  • Semi-Annual Channel = déploiement lent, deux fois par an

  • Insider / Default Channel = pas adapté pour un déploiement contrôlé en entreprise

• Le bloc-notes est stocké dans un site SharePoint d’équipe.

• L’URL correcte doit donc pointer vers :

  • Le tenant SharePoint principal (contoso.sharepoint.com)

  • Le site d’équipe (/sites/ProjectTeam)

  • Le dossier du bloc-notes

L’option B correspond à une URL SharePoint classique permettant :

• L’ouverture dans OneNote Desktop

• La synchronisation automatique

• Les mises à jour en temps réel pour tous les membres

❌ Pourquoi les autres réponses sont incorrectes :

• A et C → Utilisent contoso-my.sharepoint.com, qui correspond à OneDrive personnel, pas à un site SharePoint d’équipe.

• D → URL interne SharePoint (_layouts) utilisée pour l’interface web, pas pour un accès direct propre au bloc-notes.

🎯 À retenir pour l’examen MS-900 :

• tenant.sharepoint.com/sites/... = site d’équipe SharePoint

• tenant-my.sharepoint.com = OneDrive personnel

• Pour collaboration d’équipe → toujours utiliser l’URL du site SharePoint

• Par défaut, les journaux d’audit Microsoft 365 ont une durée de conservation limitée.

• Pour les conserver plus longtemps (ex. 1 an ou plus), il faut configurer une Audit log retention policy dans Microsoft Purview.

• Cela permet de répondre aux exigences réglementaires et de conformité.

❌ Pourquoi les autres réponses sont incorrectes :

• B. Litigation Hold (Exchange) → Concerne la conservation des emails, pas les journaux d’audit globaux.

• C. Sensitivity label retention → Gère la protection et la conservation des documents/emails, pas des logs d’audit.

• D. Azure Information Protection → Sert à classifier et protéger les données, pas à gérer la durée des logs d’audit.

🎯 À retenir pour l’examen MS-900 :

• Audit logs = Microsoft Purview (Audit log retention policy)

• Litigation Hold = emails

• Sensitivity labels = protection des données

• Windows 365 Cloud PC fournit des PC persistants dans le cloud :

  • Chaque utilisateur obtient son propre environnement desktop

  • Les applications et paramètres sont conservés entre les sessions

  • Toujours disponible et indépendant des autres utilisateurs

• Les autres options ne répondent pas exactement au besoin :

  • A : Pooled session hosts partagent les sessions, donc l’environnement n’est pas persistant.

  • C : Single-session desktop dans AVD peut être persistant, mais nécessite plus de gestion et de configuration.

  • D : Azure App Service Web App héberge des applications web, pas un desktop complet persistant.

Windows Autopatch est un service Microsoft qui automatise les mises à jour de Windows, Microsoft 365 Apps, Edge et Teams. Il requiert obligatoirement une licence Windows 10/11 Enterprise E3 ou E5 — incluse dans Microsoft 365 E3/E5 ou disponible séparément via Windows Enterprise E3/E5.

Microsoft 365 Business Premium ne contient pas de licence Windows Enterprise et ne donne pas accès à Autopatch. Intune seul permet la gestion des appareils mais n'active pas Autopatch. Windows Pro avec EMS E3 est insuffisant car Autopatch exige la version Enterprise, pas Pro.

• Purview Data Loss Prevention (DLP) permet :

  • De définir des politiques de protection des données basées sur le type de données sensibles (PII, informations financières, etc.)

  • D’utiliser des modèles réglementaires prédéfinis (Regulatory Templates) pour se conformer aux exigences locales :

    • GDPR → UE

    • CCPA → Californie

    • HIPAA → santé aux États-Unis, etc.

• Ces templates permettent de standardiser la classification et la protection des données selon la juridiction, tout en appliquant des règles de prévention de la perte de données adaptées à chaque région.

• Dependabot est une fonctionnalité de GitHub Advanced Security qui :

  • Scanne automatiquement les dépendances open-source dans vos projets

  • Identifie les vulnérabilités connues via des bases CVE (Common Vulnerabilities and Exposures)

  • Propose des mises à jour sécurisées dans les workflows CI/CD

• Avantages :

  • Fonctionne directement pendant le build ou le merge

  • Intégré dans GitHub Actions, donc parfait pour les déploiements Azure App Service

  • Permet d’empêcher les vulnérabilités de production

Le pilier Performance Efficiency du Azure Well-Architected Framework concerne :

• La capacité d’un système à s’adapter aux variations de charge

• L’autoscaling

• L’optimisation des ressources

• Le dimensionnement dynamique

• L’utilisation de services PaaS et serverless pour ajuster automatiquement la capacité

Dans ce scénario :

• Il faut gérer des pics saisonniers

• Éviter le surprovisionnement

• Adapter automatiquement les ressources

👉 Cela correspond parfaitement au pilier Performance Efficiency.

L’organisation demande :

• Visibilité centralisée et monitoring sur tous les environnements

• Alertes automatisées pour les ressources non conformes

Dans le Cloud Adoption Framework (CAF) pour Azure :

• Le domaine Management se concentre sur la supervision opérationnelle, le monitoring, la collecte de logs et la configuration d’alertes automatisées.

• Bien que la conformité et les standards fassent partie de la gouvernance, cette exigence met l’accent sur la gestion opérationnelle et la surveillance continue.

✅ Donc, le domaine CAF approprié pour cette exigence est : Management.

• ISO 27001 exige, entre autres :

  • Le contrôle strict des privilèges élevés

  • L’auditabilité et la traçabilité de l’accès aux ressources sensibles

• Azure AD PIM :

  • Fournit un accès Just-in-Time aux rôles à privilèges élevés

  • Chaque activation est journalisée et auditable

  • Permet de réduire le risque de sur-privatisation et de répondre aux exigences ISO 27001 sur le contrôle d’accès

• Scenario : Zero Trust → contrôler l’accès en fonction de l’état de l’appareil, de l’identité et de la localisation.

• Intune + Conditional Access permet :

  • Vérifier si l’appareil est géré et conforme aux politiques de sécurité

  • Appliquer des conditions préalables à l’accès, comme :

    • BitLocker activé

    • Antivirus à jour

    • Correctifs appliqués

  • Bloquer l’accès depuis appareils non conformes

• C’est la méthode standard Microsoft pour protéger Microsoft 365 dans un contexte Zero Trust avec des partenaires externes.

L’exigence clé est :
✔ Reporting cohérent
✔ Multi-cloud (Azure, AWS, GCP)
✔ Outil déjà en place : Microsoft Sentinel

Microsoft Sentinel est un SIEM/SOAR cloud-native capable d’ingérer des logs provenant de multiples environnements (Azure, AWS, GCP, on-premises).

En configurant :

• L’ingestion des journaux d’audit de sauvegarde (backup audit logs)

• Azure Monitor comme couche de collecte

• Des workbooks / dashboards unifiés dans Sentinel

👉 L’entreprise obtient une vision centralisée et normalisée de la conformité des sauvegardes sur tous les clouds, sans migration complexe.

Cela correspond parfaitement à une approche Zero Trust et multi-cloud moderne, attendue au niveau SC-100.

Les comptes break-glass sont des comptes d’accès d’urgence utilisés uniquement lorsque :

• L’authentification normale est indisponible

• Les mécanismes MFA ou Conditional Access sont défaillants

• L’environnement est compromis (ex. attaque ransomware)

Les bonnes pratiques Microsoft recommandent :

• 🔐 Identifiants stockés dans un coffre-fort sécurisé hors ligne

• 🔄 Validation régulière (tests d’accès contrôlés)

• 🚨 Surveillance renforcée

• 🔒 Utilisation uniquement en cas d’urgence

Pourquoi hors ligne ?

En cas de ransomware ou compromission massive :

• Les systèmes en ligne (y compris SIEM) peuvent être impactés.

• Le coffre-fort hors ligne réduit le risque de compromission.

Azure Key Vault est un composant critique pour la sécurité :

• Il stocke des clés cryptographiques, certificats et secrets essentiels pour le chiffrement des données et la sécurité des transactions.

• Le vecteur de menace le plus critique est l’accès non autorisé :

  • Si un attaquant obtient l’accès à Key Vault, il peut récupérer les clés et décrypter les données sensibles ou signer des transactions frauduleuses.

• La protection contre ce vecteur repose sur :

  • Des politiques d’accès strictes (RBAC ou policies Key Vault)

  • L’activation de Azure AD Conditional Access

  • L’utilisation du principle du moindre privilège

Microsoft Sentinel permet aux équipes SOC de :

• Collecter et centraliser les logs depuis Azure AD, endpoints, applications cloud, et plus

• Exécuter des requêtes de threat hunting personnalisées en Kusto Query Language (KQL)

• Identifier APT, comportements anormaux et attaques avancées avant qu’elles ne deviennent incidents critiques

Pourquoi c’est le bon choix :

• Le besoin est proactif (threat hunting), pas simplement la surveillance ou la gouvernance

• KQL dans Sentinel est l’outil natif pour rechercher, corréler et analyser les événements à grande échelle

Créer une configuration distincte pour chaque projet puis activer la configuration appropriée est la méthode la plus efficace. gcloud init modifie la configuration active et demande de saisir interactivement les paramètres — moins efficace que les configurations nommées.

Les API GCP doivent être explicitement activées avant utilisation. L'activation automatique n'existe pas pour les comptes de service. La bonne pratique est d'activer l'API Cloud Pub/Sub manuellement dans la console GCP avant de déployer l'application.

Les instances de type M1 (Memory-Optimized) sont conçues pour des workloads nécessitant de grandes quantités de mémoire RAM (jusqu'à 12 To). Pour une application qui maintient toute sa base de données en mémoire, c'est le type de machine optimal.

Cloud Storage est la source de données native pour Cloud Dataflow et le staging recommandé pour les pipelines ETL GCP. gsutil gère efficacement les uploads de données non structurées. BigQuery est pour les données structurées, Cloud SQL/Spanner ne conviennent pas à des données hétérogènes.

Dans GCP, un même VPC peut avoir des sous-réseaux dans plusieurs régions. Les instances du même VPC peuvent communiquer directement via IPs privées sans VPN ni peering. C'est la solution la plus simple et recommandée.

Un rôle personnalisé avec exactement les permissions nécessaires ne s'élargira pas automatiquement quand GCP ajoute de nouvelles permissions aux rôles prédéfinis. L'accorder au niveau du projet (pas de l'organisation) limite la portée.

Le rôle roles/browser est le rôle minimal permettant de consulter la hiérarchie des ressources GCP (organisation, dossiers, projets). L'attribuer à un groupe suit les bonnes pratiques. IAM roleViewer permet de voir les rôles, pas la hiérarchie.

Dans App Engine, router 100% du trafic vers une version précédente dans la page Versions est la méthode la plus rapide pour revenir en arrière. La commande 'gcloud app restore' n'existe pas. Les versions précédentes sont conservées et peuvent être réactivées instantanément.

Cloud IAP (Identity-Aware Proxy) Tunnel permet l'accès SSH sécurisé sans exposer les IPs publiques ni nécessiter de comptes Google. Le partenaire s'authentifie via IAP, qui peut utiliser diverses méthodes d'identité.

Coldline Storage est la solution la plus économique pour des données accédées rarement (moins d'une fois par an). Pour 3 ans de rétention de journaux d'audit rarement consultés, Coldline est moins cher que BigQuery et ne nécessite pas de scripts personnalisés.

Scrum est fondé sur l'empirisme — la philosophie selon laquelle la connaissance provient de l'expérience et de l'observation réelles. Scrum aborde la complexité grâce à ses trois piliers : la transparence, l'inspection et l'adaptation. Cela contraste avec les processus définis qui supposent une prévisibilité dans des environnements complexes.

Cette affirmation est vraie. La dette technique obscurcit l'état réel du système et peut masquer des problèmes dans l'Incrément examiné, conduisant à une fausse confiance dans la progression. Une dette technique non traitée crée un écart entre la qualité perçue et la qualité réelle du produit, ce qui va à l'encontre du pilier de transparence de Scrum.

Toutes ces réponses. La confiance constitue le fondement des cinq valeurs Scrum : le Respect (confiance dans les capacités des membres de l'équipe), le Courage (confiance pour prendre des risques), l'Engagement (confiance dans les objectifs), l'Ouverture (confiance pour communiquer honnêtement) et la Focalisation (confiance dans les priorités). Sans confiance, aucune de ces valeurs ne peut s'épanouir.

Correct : Vrai - Le Guide Scrum stipule explicitement que, quelle que soit l'échelle ou la configuration des équipes, tous les artefacts, événements et rôles Scrum doivent être maintenus afin de préserver l'intégrité du cadre de travail. Plusieurs équipes travaillant sur le même Product Backlog constituent toujours Scrum et doivent se conformer au Guide Scrum.

Le rôle du management dans Scrum est de créer un environnement favorable, et non de microgérer ou de surveiller les performances individuelles. Selon le Guide Scrum, le management doit fournir des informations et des ressources qui soutiennent les Scrum Teams. Les options concernant le renvoi de personnes, la surveillance des niveaux de compétences ou le suivi de la vélocité représentent des comportements de type commande-et-contrôle qui vont à l'encontre des principes empiriques et auto-organisationnels de Scrum.

Correct : Option 6 (Toutes les réponses ci-dessus) - L'ouverture, une valeur fondamentale de Scrum, imprègne l'ensemble du cadre de travail : elle améliore la collaboration, favorise des discussions de qualité, accroît l'engagement, accélère les boucles de rétroaction qui influencent le délai de mise sur le marché, et renforce la confiance des parties prenantes. Chaque élément repose sur une communication transparente et honnête que l'ouverture rend possible.

Réponses correctes : Options 1 et 4. Le Guide Scrum stipule que chaque produit nécessite un Product Owner responsable de la maximisation de la valeur. L'option 1 est correcte car un seul PO par produit avec la capacité de déléguer le travail s'aligne sur le modèle de responsabilité de Scrum. L'option 4 est correcte car un seul PO peut déléguer des responsabilités tout en restant redevable — c'est ainsi que le rôle peut s'adapter à l'échelle. L'option 2 base incorrectement le nombre de PO sur le taux d'utilisation des équipes, et l'option 3 interdit à tort la délégation, ce qui limite la capacité de mise à l'échelle.

La bonne réponse (option 3) stipule qu'une Scrum Team doit avoir à la fois un Product Owner et un Scrum Master, et que leur participation influence directement les résultats de l'équipe. Bien qu'ils ne soient pas toujours à temps plein, ces deux rôles sont obligatoires selon le Scrum Guide. L'option 1 est fausse — le Scrum Master est indispensable, il n'est pas optionnel. L'option 2 est trop restrictive concernant le statut à temps plein. L'option 4 est fausse — les Business Analysts ne peuvent pas remplacer la responsabilité du Product Owner.

Le Scrum Master doit enseigner aux équipes à s'auto-organiser avec les compétences nécessaires pour créer des Incréments intégrés de manière autonome. Le Scrum Master ne coordonne pas le travail directement ; il facilite plutôt les conditions permettant aux équipes de se coordonner elles-mêmes. Les options A, C et D centralisent de manière inappropriée la coordination ou créent une synchronisation artificielle, violant ainsi le principe d'auto-organisation de Scrum.

Réponses correctes : Options 2 et 4. L'option 2 explique correctement que les time-boxes permettent à ceux qui sont au plus près des problèmes de prendre les meilleures décisions dans les contraintes imposées — un principe fondamental de l'auto-organisation. L'option 4 montre correctement que les time-boxes alignent la concentration et la compréhension partagée au sein de l'équipe. L'option 1 confond engagement et contrainte, et l'option 3 représente de manière erronée le rôle du time-boxing dans la planification prévisionnelle.

Réponse : Qualité d\'entrée inconnue due au développement par un tiers.
Explication : D est correct car la qualité d\'entrée inconnue provenant du développement par un tiers crée le plus grand risque d\'estimateur : variance élevée des taux de défauts, comportements d\'intégration imprévisibles et efforts de vérification imprévisibles qui gonflent directement les estimations de temps et ressources. Les hypothèses quantifiées deviennent invalides avec les entrées tierces.

Réponse : TMMi ne peut être utilisé qu\'avec le modèle V traditionnel, tandis que TPI peut être utilisé avec tous les types de cycles de vie logiciels..
Explication : D est incorrect car TMMi n\'est pas limité au modèle V ; il est indépendant du cycle de vie et applicable aux modèles V, itératifs et agiles. TPI l\'est aussi, contredisant l\'affirmation d\'une dichotomie entre les deux approches.

Réponse : L\'approche de test qui sera appliquée aux tests d\'intégration système..
Explication : C est correct car le plan directeur de test est un document au niveau du programme qui spécifie l\'approche de test de haut niveau pour les principaux niveaux de test, y compris les tests d\'intégration système. Le plan directeur communique la portée, les objectifs, l\'approche générale de test aux parties prenantes, tandis que les détails d\'exécution relèvent des plans subordonnés.

Réponse : Les critères d\'entrée et de sortie pour chaque phase de test / Les techniques de conception de test à utiliser.
Explication : AC est correct car une stratégie de test défendable prescrit explicitement les techniques de conception de test pour atteindre la couverture et l\'atténuation des risques (C) et les critères d\'entrée/sortie qui gouvernent la progression des phases et les barrières qualité (A). Une stratégie de test robuste est un cadre décisionnel de haut niveau qui détermine comment les objectifs de test seront atteints et comment les risques informent la priorisation et la portée.

Réponse : Le pourcentage de couverture de décision atteint durant les tests unitaires. / La disponibilité de la dernière version de l\'outil d\'enregistrement-rejoue (pour tester l\'interface avec le nouvel outil de gestion des tests)..
Explication : Les critères d\'entrée sont des conditions préalables concrètes et vérifiables avant l\'exécution. La couverture de décision des tests unitaires (A) et la disponibilité des outils requis (B) sont des critères d\'entrée classiques, mesurables et directs pour l\'intégration.

Réponse : Pourcentage des exigences métier exercées.
Explication : La mesure la plus appropriée de couverture de test pour un rapport de progression métier hebdomadaire est le pourcentage des exigences métier exercées. Cette métrique s\'aligne directement avec les priorités métier : valider que le logiciel remplit son objectif et fournit une valeur tangible aux parties prenantes.

Réponse : En fournissant un atelier sur les techniques de conception de tests.
Explication : Un atelier sur les techniques de conception de tests remédie directement à la faible efficacité de détection des défauts en dotant les testeurs de méthodes systématiques et répétables pour dériver des cas de test de meilleure qualité. Les techniques pratiques (partitionnement des équivalences, analyse des valeurs limites, tables de décision, transitions d\'état, techniques d\'appairage) améliorent la couverture et augmentent la probabilité de détection des défauts.

Réponse : Exécution des tests.
Explication : L\'exécution des tests représente la portion la plus importante et la moins prévisible de la variabilité (taux de découverte de défauts, disponibilité de l\'environnement, productivité humaine, boucles de rework). C\'est donc la partie la plus difficile à estimer.

Réponse : Chaque niveau de test a des objectifs de test spécifiques à ce niveau..
Explication : C est correct car la définition d\'objectifs de test pour chaque niveau de test garantit que les tests sont intentionnels, mesurables et traçables aux risques correspondants. Le bon test dans tout modèle de cycle de vie exige que les activités de test soient planifiées et exécutées avec des objectifs spécifiques au niveau.

Réponse : Pourcentage de couverture des exigences.
Explication : B est correct car le pourcentage de couverture des exigences quantifie directement l\'adéquation des tests par rapport à l\'objectif déclaré de valider que le système satisfait ses exigences. L\'efficacité du test dans un contexte piloté par les exigences repose sur la mesure objective de la complétude de la couverture des exigences et de la détection des non-conformités.

A. L'agent de synthèse a besoin d'outils capables de récupérer les résultats directement depuis l'historique des conversations des autres agents. Incorrect. Les agents n'ont pas besoin d'accéder directement aux historiques des autres. Une orchestration correcte transmet les sorties explicitement via des prompts. B. La fenêtre de contexte de l'agent de synthèse n'est pas suffisamment large pour contenir les sorties combinées des deux agents précédents. Incorrect. Si c'était le problème, l'agent recevrait des données tronquées, et non une absence totale de données. L'erreur indique que les entrées sont entièrement manquantes. C. Les sous-agents doivent partager une seule connexion API pour permettre le partage automatique du contexte entre les invocations. Incorrect. La communication entre agents ne dépend pas de connexions API partagées. Le contexte doit être explicitement transmis par le coordinateur. D. Le coordinateur n'a pas inclus les sorties des agents précédents dans le prompt de l'agent de synthèse. Correct. L'agent de synthèse ne peut agir que sur les informations fournies dans son prompt. Si les sorties précédentes ne sont pas transmises, il signalera l'absence des résultats de recherche.

A. Mettre en œuvre une déduplication sémantique pour identifier et supprimer les informations redondantes dans les résultats RAG accumulés et les tours de conversation — Incorrect. Cela réduit la redondance, mais ne résout pas le problème central de l'accumulation non bornée du contexte RAG. B. Mettre en œuvre une fenêtre glissante pour les résultats RAG des 2 à 3 dernières requêtes tout en préservant l'historique de la conversation — Correct. Cela répond directement au problème de saturation du contexte en limitant la croissance du RAG tout en maintenant la continuité de la conversation. C. Réaffecter le budget de contexte en faveur des résultats RAG tout en réduisant l'allocation de l'historique de conversation — Incorrect. Cela détériore la cohérence en sacrifiant le contexte conversationnel. D. Compresser tous les résultats RAG en un document de synthèse consolidé qui se met à jour de manière incrémentielle après chaque récupération — Incorrect. Cela peut entraîner une perte d'informations et une dérive du résumé, en particulier sur de nombreux tours de conversation.

A. Des URLs sur lesquelles les utilisateurs peuvent cliquer pour ouvrir le document dans leur navigateur. Incorrect. Les URLs sont utiles pour les utilisateurs, mais ne sont pas idéales pour les agents effectuant des workflows en plusieurs étapes nécessitant un référencement fiable et des opérations supplémentaires. B. Des données structurées contenant les identifiants de documents et les métadonnées pour chaque résultat. Correct. Cela permet à l'agent de référencer de manière programmatique des documents spécifiques (via des identifiants) à travers plusieurs étapes, rendant les workflows tels que les requêtes de suivi ou la récupération de documents précis et fiables. C. Un tableau JSON de titres de documents extraits des résultats de recherche. Incorrect. Les titres seuls sont ambigus et ne constituent pas des identifiants stables, ce qui rend difficile pour les agents d'agir de manière fiable sur des documents spécifiques. D. Des descriptions plus détaillées et lisibles par l'humain, incluant la taille et les auteurs. Incorrect. Utile pour les utilisateurs, mais toujours non structuré et non adapté à des opérations précises d'agents en plusieurs étapes.

A. Définir la température à 0 pour éliminer la variabilité des sorties et garantir un formatage cohérent — Incorrect. Cela réduit l'aléatoire mais ne corrige pas les erreurs d'extraction systématiques comme la mauvaise interprétation des plages (« 2 à 3 »). B. Envoyer une requête de suivi incluant l'erreur de validation, en demandant au modèle de corriger sa sortie — Correct. Fournir un retour de validation précis permet au modèle de corriger le problème exact (par exemple, convertir « 2 à 3 » en un nombre flottant valide), rendant la récupération très efficace. C. Pré-traiter les documents sources pour standardiser les formats problématiques avant de les envoyer à l'extraction — Incorrect. Utile dans certains cas, mais pas évolutif ni suffisant pour gérer la diversité des variations du monde réel. D. Mettre en place un pipeline secondaire utilisant un modèle de niveau supérieur pour retraiter les documents qui échouent à la validation — Incorrect. Plus coûteux et inutile — la correction ciblée est plus efficace et plus performante.

A. Retourner une liste de vols vide comme si la recherche avait réussi mais n'avait trouvé aucun vol correspondant. Incorrect. Cela masque l'échec et induit le système en erreur en lui faisant croire qu'aucun vol n'existe, ce qui peut conduire à des conclusions incorrectes. B. Enregistrer l'erreur en interne et retourner une réponse vide, laissant le modèle continuer sans les données de vols. Incorrect. Cela supprime également le signal d'échec, empêchant l'agent de prendre des mesures correctives. C. Retourner un message d'erreur dans le résultat de l'outil expliquant que le service est temporairement indisponible. Incorrect. Bien que transparent, cela ne tente pas à lui seul une récupération et peut dégrader inutilement l'expérience utilisateur. D. Réessayer automatiquement la requête jusqu'à cinq fois avec un backoff exponentiel avant de retourner les résultats à l'agent. Correct. Il s'agit de l'approche la plus efficace : elle gère les pannes transitoires de manière élégante, améliore la fiabilité et ne remonte les erreurs que si les tentatives échouent.

A. La fenêtre de contexte du modèle a été dépassée par la longueur de la conversation — Incorrect. Cela ne se produirait que lors de conversations très longues, alors que le problème apparaît dès les premiers échanges. B. L'API Claude nécessite un paramètre session_id que vous n'avez pas configuré — Incorrect. Il n'existe pas de session_id obligatoire ; le contexte doit être géré explicitement par l'application. C. Claude nécessite une connexion à une base de données vectorielle pour maintenir la mémoire de la conversation — Incorrect. Une base de données vectorielle est optionnelle pour la récupération d'informations, elle n'est pas requise pour la mémoire conversationnelle de base. D. Votre application n'inclut pas les messages précédents dans le tableau messages — Correct. Claude ne conserve aucune mémoire entre les appels ; si les messages précédents ne sont pas inclus, il ne peut pas se souvenir des préférences exprimées antérieurement par l'utilisateur.

A. Des descriptions de paramètres claires expliquant le format attendu, par exemple « user_id : UUID de l'utilisateur à mettre à jour (obligatoire) » — Correct. Des descriptions claires et lisibles sont le facteur le plus important pour aider Claude à comprendre quelles valeurs fournir et comment les paramètres doivent être structurés. B. Des noms de paramètres verbeux encodant des indications de format, comme user_id_string_uuid_format — Incorrect. Des noms excessivement verbeux réduisent la lisibilité et sont moins efficaces que des descriptions appropriées. C. Des contraintes de type JSON Schema strictes marquant user_id comme obligatoire et définissant fields_to_update comme type objet — Incorrect. Les contraintes de schéma facilitent la validation, mais n'expliquent pas suffisamment les attentes sémantiques comme le format UUID requis. D. Des réponses d'erreur détaillées expliquant pourquoi des valeurs de paramètres invalides ont été rejetées — Incorrect. Utiles après un échec, mais pas le facteur le plus critique pour prévenir les erreurs en amont.

A. Fournir au sous-agent des définitions d'outils lui permettant de demander des résultats à d'autres sous-agents via des callbacks. Incorrect. Cette approche introduit un couplage et une complexité inutiles. Les sous-agents ne devraient pas avoir besoin de récupérer activement des données auprès des autres. B. Inclure directement les résultats complets des deux sous-agents dans le prompt du sous-agent de synthèse. Incorrect. Bien que simple, cette approche ne passe pas bien à l'échelle pour des résultats volumineux et peut dépasser les limites de contexte, réduisant ainsi l'efficacité. C. Transmettre des identifiants de référence et configurer le sous-agent avec un accès en lecture à un espace mémoire partagé où les autres sous-agents ont déposé leurs résultats. Correct. Il s'agit de l'approche la plus évolutive et prête pour la production. Elle préserve la fidélité des informations tout en évitant la surcharge du contexte, permettant à l'agent de synthèse de récupérer exactement ce dont il a besoin. D. Instancier le sous-agent avec seulement une brève description de tâche, en s'appuyant sur un héritage automatique du contexte depuis le coordinateur. Incorrect. Il n'existe pas d'héritage automatique du contexte — sans accès explicite aux données, l'agent de synthèse ne peut pas fonctionner correctement.

B. Les détails de la commande sont ajoutés à la conversation et le modèle raisonne sur l'action à entreprendre. Correct. Dans une boucle agentique, les résultats des outils (comme « acheté il y a 45 jours ») sont réinjectés dans le contexte du modèle, et celui-ci réévalue la situation de manière dynamique. Il décide ensuite s'il convient de procéder avec process_refund, d'escalader vers un humain, ou d'entreprendre une autre action en fonction de la politique et des informations mises à jour. Pourquoi les autres réponses sont incorrectes : A. Séquence d'outils fixe planifiée dès le départ — Incorrect. Les systèmes agentiques ne sont pas des flux de travail statiques ; ils s'adaptent après chaque observation. C. Arbre de décision préconfiguré — Incorrect. Il s'agit d'une automatisation basée sur des règles, et non d'un raisonnement piloté par un LLM. D. La couche d'orchestration achemine automatiquement le prochain appel d'outil — Incorrect. Cela supprime le rôle de raisonnement du modèle et le transforme en un routage déterministe.

A. Persister l'intégralité de l'historique de conversation et des réponses aux outils dans une base de données, puis appeler escalate_to_human avec un identifiant de référence — Incorrect. Utile sur le plan opérationnel, mais l'agent humain a tout de même besoin d'un résumé concis et exploitable plutôt que de simples journaux bruts. B. Appeler escalate_to_human en ne transmettant que le message original du client — Incorrect. Cela perd le travail d'investigation déjà effectué et oblige l'agent humain à répéter les étapes. C. Tenter le remboursement avec process_refund quoi qu'il arrive, en escaladant uniquement si le système rejette la transaction — Incorrect. Cela viole les limites d'autorisation et la politique métier. D. Compiler une passation de contexte structurée incluant les détails du client, les informations de commande et le problème identifié avant d'appeler escalate_to_human — Correct. Une passation structurée préserve le contexte, réduit les répétitions et permet à l'agent humain de continuer efficacement.