Ne découvrez pas l'examen
le jour J

Réponse : AWS Auto Scaling.
Explication : AWS Auto Scaling ajuste dynamiquement le nombre d’instances EC2 en fonction de la charge réelle.

Réponse : Amazon SQS.
Explication : Amazon SQS (Simple Queue Service) assure la transmission fiable des messages, même en cas de panne d’un composant applicatif.

Réponse : Elle a conçu un système tolérant aux pannes.
Explication : La tolérance aux pannes garantit qu’un service reste disponible même en cas de défaillance partielle de l’infrastructure.

Réponse : Vous remplacez de gros investissements initiaux par de faibles paiements variables.
Explication : Le modèle pay-as-you-go d’AWS supprime l’investissement de départ et facture uniquement à l’utilisation.

Réponse : Groupes de sécurité ; Listes de contrôle d'accès réseau. Explication : Les groupes de sécurité agissent comme des pare-feu virtuels pour les instances EC2 (avec état, au niveau de l'instance). Les listes de contrôle d'accès réseau opèrent au niveau du sous-réseau (sans état). Les deux peuvent être utilisés pour bloquer le trafic entrant ou sortant vers les instances.

Réponse : Le type d’instance / La zone de disponibilité choisie.
Explication : Le prix dépend du type d’instance, de la région et AZ, mais pas du load balancing, ni du nombre de buckets/IP privés.

Réponse : Ajouter plus d’instances EC2 de même taille pour gérer une augmentation de trafic.
Explication : La scalabilité horizontale consiste à ajouter plusieurs instances similaires pour augmenter la capacité globale, contrairement à la scalabilité verticale.

Réponse : Amazon EFS et Amazon EBS.
Explication : Amazon EFS (Elastic File System) et Amazon EBS (Elastic Block Store) servent tous deux à stocker des fichiers sur AWS. EFS est un système de fichiers partagé, EBS fournit des volumes de stockage pour EC2.

Réponse : Amazon EC2 est considéré comme un service serverless.
Explication : Amazon EC2 fournit des serveurs virtuels, mais ce n’est pas du serverless (ex. Lambda l’est).

Réponse : Groupes de sécurité.
Explication : Les groupes de sécurité contrôlent le trafic entrant et sortant des instances EC2.

AWS Artifact : service dédié à l'accès des rapports de conformité et certifications de sécurité (SOC 2, ISO 27001, etc.). Il permet de s'abonner aux notifications automatiques lors de la publication de nouveaux rapports d'éditeurs tiers, essentiels pour valider la conformité. Contrairement à Audit Manager (audits internes) ou Trusted Advisor (optimisation), Artifact centralise les attestations externes requises pour la gouvernance.

Bedrock Invocation Logging : service dédié qui capture automatiquement les prompts (inputs) et réponses (outputs) des appels API aux modèles Bedrock pour audit, conformité et amélioration qualité. CloudTrail enregistre seulement les appels API métadonnées, non les contenus détaillés. Audit Manager et EventBridge ne permettent pas ce suivi granulaire des invocations.

Workflow SageMaker Serverless Inference : L'artefact du modèle doit d'abord résider sur S3 (source obligatoire), ensuite vous créez la ressource modèle SageMaker qui référence cet artefact, puis la configuration d'endpoint serverless définit les paramètres de concurrence/mémoire, et enfin le déploiement instancie l'endpoint. Les autres options inversent cet ordre logique de dépendances.

L'IA générative transforme de nombreux processus métier. La génération de résumés automatiques de documents longs (contrats, rapports) réduit le temps d'analyse. Les chatbots intelligents pour le service client répondent de manière contextuelle. La génération de code accélère le développement logiciel. La maintenance prédictive classique ou la détection de fraude reposent généralement sur du ML supervisé, pas sur de la GenAI.

Few-shot prompting : fournir quelques exemples annotés (ex: textes + étiquettes sentiments) dans le prompt. Cela améliore significativement la précision du LLM en clarifiant le format attendu, les nuances et le contexte. Contrairement au zero-shot (sans exemples), le few-shot réduit l'ambiguïté et aligne les prédictions avec le pattern désiré, sans nécessiter de fine-tuning coûteux.

Un modèle d’embeddings multi-modaux projette texte et images dans le même espace vectoriel pour des recherches par similarité.

Knowledge Base + RAG : approche optimale qui injecte des données contextuelles pertinentes dans le prompt sans réentraîner le modèle. RAG (Retrieval-Augmented Generation) récupère dynamiquement l'information nécessaire, réduisant tokens utilisés et coûts API. Contrairement aux prompts géants (dépassement de limite, coûts élevés), au fine-tuning systématique (coûteux et chronophage), ou au zero-shot (précision insuffisante), cette méthode équilibre efficacité et économie.

Batch Transform : service optimisé pour traiter de grands volumes de données en mode asynchrone sans infrastructure endpoint persistante. Idéal pour l'inférence offline sur fichiers S3 stockés, car il scale automatiquement, réduit les coûts (pas de serveurs toujours actifs) et ne nécessite pas de latence faible. Contrairement aux Real-time Endpoints (interaction immédiate, coûteux 24/7) ou Serverless Endpoints (petits volumes, facturations à l'invocation), Batch Transform maximise l'efficacité économique et opérationnelle pour les traitements massifs non-interactifs.

Partial Dependence Plots (PDPs) : visualisent l'effet marginal moyen d'une feature sur les prédictions en maintenant les autres variables constantes. Ils montrent comment les predictions évoluent quand on fait varier une feature, isolant ainsi son influence. Contrairement aux courbes ROC (évaluation globale du modèle) ou aux logs (traces d'exécution), les PDPs offrent une interprétabilité feature-level directe et quantifiable.

Amazon Titan Multimodal Embeddings via Bedrock : modèle spécialisé qui génère des vecteurs numériques unifiés à partir de texte ET d'images simultanément, permettant la recherche vectorielle cross-modal. Contrairement à Rekognition (détection d'objets), JumpStart (notebooks ML), ou OpenSearch Serverless (stockage vecteurs), Titan produit directement les embeddings multi-modaux nécessaires pour comparer texte et images dans un espace vectoriel commun.

Answer: It can't. Only Product Owners can cancel Sprints.
Explanation: Sprint cancellation authority belongs exclusively to the Product Owner. The Development Team cannot cancel a Sprint; they must continue working toward the Sprint Goal.

Scrum Master Role: A servant leader who facilitates Scrum processes and removes impediments, not a traditional project manager. The Scrum Master serves the team, Product Owner, and organization, enabling self-organization rather than directing work or assigning tasks, which distinguishes this role from command-and-control project management.

Daily Scrum Purpose: The Daily Scrum is a 15-minute event where Developers inspect progress toward the Sprint Goal and adapt the Sprint Backlog. It's not status reporting to the Scrum Master, task assignment, or Product Backlog updates—it's self-organizing inspection and adaptation by the Development Team.

Inspection Pillar: Regular examination of Scrum artifacts and progress toward Sprint Goals to identify deviations early. This enables timely adaptation before problems escalate. Unlike code audits or performance reviews (individual-focused), inspection emphasizes transparent, empirical measurement of team work and outcomes.

Answer: The Development Team.
Explanation: The Daily Scrum is held by and for the Development Team. The Product Owner and Scrum Master may attend but are not required; only the Development Team must participate.

Answer: Bring up in Sprint Retrospective; coach PO in Scrum values.
Explanation: The Scrum Master serves the Product Owner by coaching them in effective collaboration. The Retrospective is the appropriate forum for discussing team dynamics and process improvements like PO engagement.

Answer: No work remaining from the DoD; ready to be released to end users.
Explanation: 'Done' means the Increment fully meets the Definition of Done (all criteria satisfied) and is in a state where the Product Owner could choose to release it to users. These two conditions together define completeness.

Continuous Testing in Scrum: Testing occurs throughout the Sprint, not in a separate phase afterward. Quality assurance is integrated into daily development activities, enabling teams to deliver a potentially releasable Increment each Sprint. This prevents defects from accumulating and ensures continuous inspection and adaptation.

Developer Self-Organization: Developers autonomously determine how to accomplish Sprint work without external direction. This core Scrum principle empowers teams to make decisions about task breakdown, work methods, and collaboration patterns, fostering accountability and innovation while the Scrum Master removes impediments rather than directing work.

Answer: The Scrum Team and stakeholders inspect the outcome and figure out what to do next.
Explanation: The Sprint Review is a collaborative working session — not a demo or status report. It inspects the Increment and adapts the Product Backlog based on what was learned and stakeholder feedback.

Answer: They do not have to be there; they only need to ensure the Developers have a Daily Scrum.
Explanation: The Scrum Master's responsibility is to ensure the Daily Scrum happens and remains useful, not to personally attend every day. The SM coaches the team to run the event themselves.

The Product Goal is the long-term objective of the Scrum Team and serves as a commitment for the Product Backlog. Sharing it helps the team focus on strategic direction rather than treating Sprints as isolated tasks. It also makes Sprint Review inspection more meaningful and enables the team to weigh decisions against a common objective. Note: estimating completion dates is not a benefit of the Product Goal — Scrum avoids deterministic forecasting.

Key concept: Scrum's Estimation Framework Flexibility. Scrum is deliberately prescriptive about "what" gets done but intentionally non-prescriptive about "how" teams estimate. Story points are one popular estimation technique used by many Agile teams, but Scrum itself does not mandate them. Teams may alternatively use planning poker, t-shirt sizing, ideal hours, or any other estimation method that helps them forecast capacity and plan sprints effectively. The Scrum Guide focuses on the empirical process of inspect-and-adapt, allowing organizations to choose estimation approaches that work best for their context. This flexibility enables teams to tailor their practices to their specific needs while maintaining Scrum's core framework.

Key concept: Sprint Backlog ownership and modification authority. The Sprint Backlog is owned and managed exclusively by the Developers during a Sprint. While stakeholders are essential contributors to product value and can provide feedback on work in progress, they do not have direct authority to modify the Sprint Backlog. Stakeholders influence the backlog indirectly through the Product Owner, who prioritizes items on the Product Backlog. The Developers may adjust Sprint Backlog items during the Sprint (adding, removing, or modifying tasks), but only they make these decisions to meet the Sprint Goal. This separation ensures transparency, accountability, and prevents scope creep or conflicting priorities from disrupting Sprint execution. Stakeholder input is valued but channeled through proper governance structures, not through direct backlog manipulation.

Answer: Coaching the team, facilitating as needed, promoting Scrum within the organization.
Explanation: The Scrum Master serves as a servant-leader: coaching, facilitating, and advocating for Scrum adoption.

Definition of Done and Organizational Standards: The Definition of Done (DoD) is a shared understanding of what "complete" means for a product increment. Organizational standards—such as security policies, compliance requirements, code quality benchmarks, or testing protocols—directly influence and establish the minimum baseline for the DoD. When an organization mandates specific standards (e.g., code reviews, penetration testing, accessibility compliance), these become non-negotiable criteria that must be met before work is considered finished. The Scrum Team cannot ignore organizational standards; rather, they must be incorporated into the DoD to ensure consistency, compliance, and quality across all product increments. This distinguishes organizational standards from team preferences—standards are binding constraints that shape the DoD's definition.

Key concept: The Sprint Retrospective is a Scrum event owned by the Development Team and facilitated by the Scrum Master, not controlled by the Product Owner. While the PO may attend and participate, they do not define its content or agenda. The Retrospective focuses on team process improvements, collaboration patterns, and ways of working—distinct from the PO's role in managing product value and backlog priorities. The team determines what to inspect and adapt regarding their processes, making this a team-driven, self-organizing event rather than a PO-directed activity.

Key concept: Product Backlog transparency is a core Product Owner accountability. The Product Owner is solely responsible for maintaining, ordering, and ensuring the Product Backlog is visible, clear, and understood by all stakeholders and the Development Team. This includes articulating items clearly, managing priorities, and communicating the rationale behind ordering decisions. While the Scrum Master facilitates transparency as a process coach and Developers contribute by understanding items, the ownership and accountability for backlog transparency rests exclusively with the PO. A PMO, if present, has no defined role in Scrum governance.

Definition of Done and Organizational Standards: The Definition of Done (DoD) represents the shared understanding of what it means for work to be complete, and it absolutely can—and should—incorporate organizational standards. When an organization has established compliance requirements, security protocols, code quality standards, or documentation guidelines, these become non-negotiable baseline criteria that must be met before any Increment is considered Done. This ensures consistency across teams, maintains quality thresholds, and prevents rework. The DoD is not arbitrary; it reflects organizational context, maturity, and constraints. Including organizational standards elevates the DoD from a team-level agreement to an enterprise-aligned commitment, reducing technical debt and ensuring that "Done" means the same thing throughout the organization.

Le Stewardship dans le PMBOK 7 : Le stewardship représente une responsabilité éthique fondamentale du chef de projet, impliquant une gérance consciencieuse des ressources, des intérêts et de la confiance confiés. Cette notion dépasse la simple gestion administrative : elle englobe la protection simultanée des intérêts de l'organisation (objectifs stratégiques, ressources, réputation) et des parties prenantes (clients, équipe, communauté), tout en maintenant des standards d'intégrité irréprochables.

Pourquoi cette réponse est exacte : Le PMBOK 7 positionne le stewardship comme un principe de leadership qui reconnaît que le chef de projet agit en tant qu'agent de confiance. Cette responsabilité fiduciaire s'étend à tous les domaines du projet : humain, financier, environnemental et social. Elle reflète l'alignement du PMI avec les valeurs ESG (Environmental, Social, Governance) et les attentes modernes de gouvernance d'entreprise.

Distinction des autres options : L'option 2 (confier au prestataire externe) inverse la responsabilité du chef de projet. L'option 3 (ressources financières uniquement) restreint un concept holistique. L'option 4 (actifs

Orientation valeur et gestion des parties prenantes : Le PMBOK 7e édition place l'orientation valeur au cœur de la gestion de projet. Une baisse significative de la satisfaction client signale une dégradation de la valeur perçue, qui doit être traitée immédiatement par une analyse des causes racines. Cette approche répond à plusieurs principes fondamentaux : (1) Engagement des parties prenantes – impliquer les clients et stakeholders dans l'analyse permet de comprendre les écarts entre les attentes et la réalité, (2) Ajustement collaboratif du plan – modifier le plan de gestion en concertation assure l'adhésion et l'alignement avec les besoins réels, (3) Livraison de valeur continue – intervenir rapidement préserve la relation client et optimise les bénéfices attendus. Cette approche contraste avec les autres options : ignorer la tendance viole le principe d'amélioration continue et risque une escalade; réduire le budget client aggrave le problème en le causant directement; reporter l'analyse permet une dégradation supplémentaire et rend la correction plus coûteuse. La satisfaction client est un indicateur clé de performance qui reflète directement la création de valeur du projet, d'où l'importance d'une action rapide et collaborative.

Simulation Monte Carlo : technique quantitative qui exécute des centaines d'itérations aléatoires pour modéliser l'impact de l'incertitude sur les délais et coûts du projet. Contrairement à l'analyse qualitative (probabilité/impact), elle fournit une distribution statistique des résultats possibles. Elle complète, sans les remplacer, les analyses de risques et ne requiert pas un nombre minimum d'itérations fixe.

Contrat à prix forfaitaire (Fixed Price) : Le fournisseur assume tous les risques de coût pour une portée définie. Idéal pour activités critiques car le budget est garanti, contrairement aux contrats coût remboursable (risque client) ou temps et matériel (coûts variables imprévisibles).

Cycle de vie prédictif (Waterfall) et ses phases ordonnées : Le cycle de vie prédictif, également appelé approche en cascade ou "Waterfall", suit une séquence linéaire et séquentielle où chaque phase doit être substantially complétée avant le début de la suivante. L'ordre correct est : Démarrage → Planification → Exécution → Suivi et contrôle → Clôture. Cette progression logique garantit que le projet dispose de fondations solides. Le Démarrage établit les objectifs, les parties prenantes et les autorisations ; la Planification définit le périmètre, l'échéancier, le budget et les risques détaillés ; l'Exécution réalise effectivement les livrables planifiés ; le Suivi et contrôle assure l'alignement avec le plan initial et applique les corrections nécessaires ; enfin, la Clôture formalise la fin du projet et capture les leçons apprises. Les autres options contiennent des erreurs critiques : placer la Planification avant le Démarrage violerait la logique fondamentale (impossible de planifier sans charter), inverser Exécution et Planification ignorerait la nécessité de plans préalables, et permuter Suivi/contrôle avec Exécution empêcherait tout contrôle efficace.

Earned Value Management (EVM) : technique intégrant coûts, délais et performance. Elle mesure la valeur du travail réalisé (valeur acquise) vs coûts réels et budgétés, permettant de détecter les dérives financières immédiatement. Contrairement à l'SWOT (identification théorique) ou au brainstorming (solutions génériques), l'EVM fournit un suivi objectif et continu, essentiel pour respecter une contrainte budgétaire stricte.

Artefacts Scrum : Les trois artefacts principaux sont le Backlog produit (liste ordonnée des exigences), le Backlog de sprint (tâches sélectionnées pour l'itération), et l'Incrément (livrable potentiellement utilisable). Le diagramme de Gantt est un outil de gestion traditionnelle, non Scrum. Ces artefacts assurent transparence et inspectabilité dans les processus agiles.

Réponse : Expliquer que les demandes doivent être traitées comme de nouveaux projets ou via un processus de changement formel.

Rétrospective agile : moment structuré où l'équipe examine ses pratiques pour identifier améliorations, résoudre problèmes et renforcer collaboration. Ces trois bénéfices directs augmentent efficacité et maturité. Le budget n'augmente pas automatiquement ; c'est un distracteur sans lien causal avec les rétrospectives.

Cette question correspond à l’objectif d’apprentissage FL-1.4.3 (K2) – Différencier les composants du testware qui soutiennent les activités de test.
La bonne réponse est a) 1B, 2B, 3C, 4D

● 1A (Faux) → Le cahier des charges appartient à la documentation des exigences, car il définit les attentes des utilisateurs.
● 2B (Correct) → Les spécifications détaillées sont une partie de la documentation
des exigences, car elles précisent les aspects fonctionnels et non fonctionnels.
● 3C (Correct) → Le plan de test appartient à la documentation de test, car il définit la stratégie et l’organisation des tests.
● 4D (Correct) → Le rapport de test fait partie de la documentation des résultats, car il synthétise les observations et les anomalies détectées.

Cette question correspond à l\'objectif d\'apprentissage FL-2.2.3 (K2) – Distinguer les tests de confirmation des tests de régression.
La bonne réponse est a) Seulement 4, 7, 8.
Analyse de chaque version :
Version 1.0 :
● T1 (1) : Succès → fonctionnalité opérationnelle
● T2 (2) : Échec → nécessite une correction
● T3 (3) : Échec → nécessite une correction

Version 1.1 :
● T1 (4) : Succès → test de régression pour vérifier que la fonctionnalité reste stable
● T2 (5) : Succès → test de confirmation pour vérifier la correction du défaut identifié
en (2)
● T3 (6) : Échec → test de confirmation pour vérifier la correction du défaut identifié
en (3), mais toujours en échec
Version 1.2 :
● T1 (7) : Échec → test de régression qui montre qu\'une modification a introduit un
problème dans une fonctionnalité qui fonctionnait
● T2 (8) : Succès → test de régression pour vérifier que la fonctionnalité corrigée reste stable
● T3 (9) : Succès → test de confirmation pour vérifier la correction du défaut identifié
en (6)
Par conséquent, les tests exécutés en régression sont : 4 (T1 dans la version 1.1), 7 (T1dans la version 1.2) et 8 (T2 dans la version 1.2).

La réponse correcte est donc a) Seulement 4, 7, 8.

Cette question correspond à l’objectif d’apprentissage FL-3.2.4 (K2) – Comparer et opposer les différents types de revues.
La bonne réponse est d) 1B, 2A, 3C, 4D
● 1B) Correct → Une revue informelle ne suit pas de processus strict.
● 2A) Correct → L’inspection est une revue très structurée avec un modérateur et des
checklists.
● 3C) Correct → Une revue technique implique des experts métier ou techniques pour
examiner un document.
● 4D) Correct → La revue par les pairs est une analyse collaborative des documents.

Cette question correspond à l’objectif FL-5.4.1 (K2) – Résumer la manière dont la gestion de configuration soutient les tests.
● a) Faux → Ce n’est pas un rôle de la configuration mais de la stratégie de test.
● b) Correct → Le cœur de la gestion de configuration, c’est le suivi des versions, des liens entre livrables et des artefacts.
● c) Faux → Ce n’est ni toujours souhaitable, ni une responsabilité de la configuration.
● d) Faux → Les spécifications sont sous contrôle de gestion produit.

Cette question correspond à l’objectif d’apprentissage FL-4.2.4 (K3) – Utiliser les tests de transition d’état pour dériver les cas de test. Transitions identifiées :

1️⃣Accueil → Saisie du code PIN
2️⃣Saisie du code PIN → Sélection du montant
3️⃣Sélection du montant → Éjection du billet
4️⃣Éjection du billet → Fin de transaction
5️⃣Fin de transaction → Retour à l’accueil
6️⃣Annulation à tout moment → Retour à l’accueil

6 transitions minimum doivent être testées pour couvrir tous les cas.

● a) Faux → 5 transitions ne suffisent pas.
● b) Correct → 6 transitions couvrent toutes les possibilités.
● c) Faux → 7 transitions incluraient un test redondant.
● d) Faux → 8 transitions sont excessives.

Cette question correspond à l’objectif d’apprentissage FL-4.5.2 (K2) – Classer les différentes options pour la rédaction des critères d’acceptation.
● a) Faux → Bien que la forme Given/When/Then soit très répandue et efficace, il n’existe pas d’obligation stricte dans les projets de test d’acceptation de toujours utiliser ce format.
● b) Correct → format dépend du contexte du projet, du public cible, et de la maturité de l’équipe. Selon la complexité du projet et les habitudes de l’organisation, on peut utiliser plusieurs formats.
● c) Faux → Les critères d’acceptation doivent généralement être élaborés en collaboration avec les parties prenantes clés : Product Owner, utilisateurs métiers, testeurs et développeurs. Se limiter à l’équipe de développement peut conduire à des critères trop techniques ou peu alignés sur les attentes métiers.
● d) Faux → Les critères d’acceptation peuvent effectivement comporter des exigences de performance, mais ils ne se limitent pas à cet aspect. Ils doivent également couvrir la fonctionnalité, la facilité d’utilisation, la sécurité, la fiabilité, etc.

Cette question correspond à l’objectif d’apprentissage FL-1.2.1 (K2)- Donner des exemples montrant la nécessité des tests.
● a) Faux → Les tests dynamiques détectent des défauts, mais ils ne garantissent pas qu’ils provoquent uniquement des comportements anormaux impossibles à reproduire par les utilisateurs.

● b) Correct → Les tests statiques permettent d’identifier des défauts dans le code source avant même l’exécution, ce qui réduit les coûts de correction.
● c) Faux → L’analyse statique ne garantit pas qu’un composant est prêt pour la production, elle identifie uniquement des erreurs structurelles.
● d) Faux → Les revues améliorent la qualité des spécifications, mais ne remplacent pas les tests

Cette question correspond à l\'objectif d\'apprentissage FL-2.2.3 (K2) – Distinguer les tests de confirmation des tests de régression.

La bonne réponse est c) 1A, 2B, 3A, 4B.

● 1A) Correct → Le test de confirmation (ou \"retest\") vérifie qu’un défaut corrigé est effectivement résolu.
● 2B) Correct → Le test de régression s’assure que la correction ou une nouvelle fonctionnalité n’a pas causé d’effets secondaires indésirables.
● 3A) Correct → Les tests de confirmation ciblent spécifiquement la correction appliquée et ne testent pas d’autres parties du système.
● 4B) Correct → Les tests de régression sont exécutés à une échelle plus large pourvérifier que le reste du système fonctionne toujours correctement.

Cette question correspond à l’objectif d\'apprentissage FL-2.1.4 (K2) - Résumer la façon dont DevOps pourrait avoir un impact sur le test.

La bonne réponse est c) i, ii, iv ont une influence significative ; iii non.

● i) Correct → DevOps nécessite un équilibre entre tests automatisés et manuels.
● ii) Correct → Les cycles de livraison rapides imposent des tests rapides et efficaces.
● iii) Faux → DevOps ne se limite pas aux tests de non-régression, d’autres types de tests sont nécessaires.
● iv) Correct → Assurer la stabilité de l’environnement de test est crucial en intégration continue.

Cette question correspond à l’objectif d’apprentissage FL-2.1.6 (K2) – Utiliser les rétrospectives pour améliorer le processus.
● a) Faux → Identifier le problème sans agir n’apporte aucune amélioration.
● b) Faux → Déplacer le problème ailleurs ne résout rien.
● c) Correct → Impliquer les testeurs plus tôt dans le processus est une amélioration concrète issue d’une réflexion collective.
● d) Faux → Ajouter des ressources sans changer le processus ne garantit pas de
résolution.

Answer: Implementing a bastion host.
Explanation: A bastion host (jump server) allows administrative access to internal resources through a single, hardened, monitored entry point. This minimizes the attack surface — only one IP/port needs to be exposed rather than all admin interfaces.

Insecure defaults: database configurations left unchanged from manufacturer settings, often containing weak credentials or unnecessary services enabled. Attackers exploit these known vulnerabilities because administrators fail to harden systems post-deployment. Unlike buffer overflow (memory corruption), race condition (timing attacks), or memory injection (code execution), insecure defaults specifically target unchanged baseline configurations.

Answer: https://
Explanation: Blocking the string 'http://' prevents access to non-encrypted websites (HTTP). HTTPS traffic uses 'https://' which would not match this filter. This enforces encrypted-only web browsing at the URL level.

Multifactor Authentication (MFA): Uses two or more independent authentication methods—here, something you know (password) and something you have (mobile app code). This combines different factor types, significantly strengthening security. Unlike single sign-on (one credential), federation (trust between systems), or biometric authentication (one factor), MFA requires multiple verification steps.

Answer: Tuning.
Explanation: SIEM tuning is the process of adjusting detection rules to reduce false positives. When analysts confirm that detected activity is normal/benign, they tune the rule to suppress future alerts for that specific pattern, improving signal-to-noise ratio.

Pour sécuriser des zones sensibles, il faut des contrôles physiques (portes, badges, gardes), qui empêchent l’accès physique direct.

Firewall Primary Function: A firewall's main advantage is controlling inbound and outbound traffic by filtering data packets based on predetermined security rules. This creates a barrier between trusted internal networks and untrusted external networks, preventing unauthorized access. Unlike encryption (B), malware detection (C), or spam blocking (D), traffic control is the foundational security mechanism that firewalls are specifically designed to provide.

Man-in-the-Middle (MITM) Attack: An attacker intercepts communication between two parties to eavesdrop or alter data in transit. This differs from phishing (social engineering), ransomware (encryption/extortion), and DoS (service disruption). MITM specifically targets data confidentiality during transmission.

Réponse correcte : Le principe du moindre privilège (Least Privilege) signifie accorder aux utilisateurs uniquement les permissions minimales nécessaires pour accomplir leurs fonctions professionnelles, réduisant ainsi la surface d'attaque et limitant les dégâts en cas de compromission de compte.

Pourquoi les autres réponses sont incorrectes : Accorder tous les droits d'accès d'abord puis les retirer est inefficace et dangereux. Partager des comptes privilégiés entre plusieurs administrateurs viole la responsabilité individuelle et la traçabilité. Utiliser des comptes administrateur pour les activités quotidiennes expose l'organisation à des risques de sécurité majeurs en cas de malveillance ou d'erreur.

Subject in Data Protection: The Subject is the individual to whom personal data refers—in this case, the customer whose information is being collected and processed. The marketing department handles the data, while the infrastructure team secures it, but the customer remains the data subject. This differs from the Owner (who controls data handling), Custodian (who physically secures it), and Processor (who processes it on behalf of others).

Le schéma en étoile (Star Schema) est un modèle de données pour les entrepôts de données et OLAP. Il centre une table de faits (métriques mesurables : ventes, quantités, montants) entourée de tables de dimensions (contexte : date, produit, client, région). Cette structure dénormalisée (légère redondance intentionnelle) optimise les requêtes analytiques car les jointures sont simples et peu nombreuses. C'est le modèle favori de Power BI et Azure Synapse Analytics. Le schéma en flocon (Snowflake Schema) normalise davantage les dimensions mais complexifie les requêtes.

Réponse correcte : Les données semi-structurées possèdent une organisation partielle grâce à des balises, métadonnées ou marqueurs (comme les tags en JSON ou XML), mais sans schéma rigide comme les bases de données relationnelles. Cette nature « intermédiaire » les distingue des données structurées et non-structurées. Pourquoi les autres réponses sont incorrectes : • La première réponse décrit les données structurées (lignes et colonnes fixes avec schéma défini). • La troisième concerne les données non-structurées (images, audio, vidéo sans métadonnées organisées). • La quatrième mélange à tort le chiffrement avec la classification des types de données.

Réponse correcte : La normalisation est un processus de conception de base de données relationnelle qui organise les tables pour éliminer la redondance des données et améliorer l'intégrité. Elle suit des règles (formes normales) pour structurer les données de manière efficace. Pourquoi les autres réponses sont incorrectes : • Conversion de format : c'est une transformation de données, pas de la normalisation. • Chiffrement TDE : c'est une mesure de sécurité, complètement indépendante de la normalisation. • Création d'index : c'est une optimisation de performance, non une normalisation.

SELECT DISTINCT : Cette clause SQL filtre les résultats en éliminant les doublons, retournant uniquement les valeurs uniques. Elle est essentielle pour analyser les données sans répétition (ex : liste des clients distincts). À différencier de SELECT UNIQUE (syntaxe SQL Server inexistante), SELECT ONLY (pas une commande SQL standard) et SELECT FILTERED (qui requiert une clause WHERE).

Azure Database for PostgreSQL : service entièrement managé par Microsoft qui héberge des bases de données PostgreSQL sans gestion d'infrastructure. Contrairement à Azure SQL Database (SQL Server), il prend en charge spécifiquement le moteur PostgreSQL open-source. Azure Cosmos DB est non-relationnel, Azure Blob Storage est du stockage d'objets.

Azure SQL Database est un service de base de données relationnelle complètement managé (PaaS) qui offre scalabilité automatique, sauvegardes intégrées et haute disponibilité sans gestion d'infrastructure. Contrairement à Azure Cosmos DB (NoSQL), Azure Data Lake (stockage big data) et Azure Files (partages fichiers), Azure SQL Database fournit un moteur SQL relationnel traditionnel avec ACID, idéal pour les applications métier structurées.

Réponse : Online Transaction Processing (OLTP). Explication : Les applications e-commerce effectuent des transactions fréquentes et petites de lecture/écriture (placement de commandes, mises à jour d'inventaire, recherches de clients) — la caractéristique déterminante d'OLTP. OLAP serait utilisé pour les rapports analytiques sur les données historiques agrégées.

Réponse : Pour automatiser la création d'un groupe de ressources Azure interdépendantes de manière reproductible. Explication : Les modèles Azure Resource Manager (ARM) définissent l'infrastructure en tant que code JSON. Ils automatisent la création et la configuration des ressources Azure interdépendantes de manière déclarative, reproductible et idempotente — permettant des déploiements cohérents dans différents environnements.

Azure Table Storage utilise un modèle clé-valeur où chaque entité est identifiée par une clé de partition (pour le sharding horizontal) et une clé de ligne (pour l'unicité au sein de la partition). Ce modèle NoSQL permet un stockage flexible et scalable, idéal pour les données semi-structurées. Le modèle relationnel avec clés étrangères concerne les bases de données SQL, le modèle Document JSON est utilisé par Azure Cosmos DB, et le modèle Graphe avec nœuds et arêtes correspond également à Cosmos DB.

Azure Synapse Analytics — serverless SQL pool est la bonne réponse car elle est spécifiquement conçue pour exécuter des requêtes SQL à la demande directement sur les fichiers stockés dans Azure Data Lake Storage, sans nécessiter de provisionner des ressources. Les autres options ne correspondent pas : Azure SQL Database est une base de données relationnelle gérée mais nécessite une infrastructure provisionnée, Azure Cosmos DB for NoSQL est une base de données NoSQL non-relationnelle, et Azure Table Storage est un service de stockage clé-valeur sans capacités de requête SQL avancées.

Ordre correct AUC avec ordre interne :

1. Comptabiliser les coûts sur l'ordre interne (qui alimente l'AUC)
2. Créer l'immobilisation définitive (actif final)
3. Régler l'ordre vers l'actif final (settlement)
4. Mettre en service l'actif (activation)
5. Lancer l'amortissement périodique (AFAB)

Réponse : Accrual Engine (modèles)
L'Accrual Engine de S/4HANA permet d'automatiser la comptabilisation des abonnements et des régularisations périodiques (accruals et deferrals). Il utilise des modèles prédéfinis pour générer les écritures de répartition sur la bonne période, garantissant le principe de rattachement des charges et produits.

Réponse : Équilibre par segment ; Scinde les lignes ; Ajoute lignes neutres.
Explication : Garantit des états financiers équilibrés par dimension.

Réponse correcte : La dimension « Segment » dans SAP S/4HANA est spécifiquement conçue pour la présentation des rapports de segments conformément à la norme IFRS 8, permettant à l'entreprise de rapporter les performances de ses différents segments d'activité distincts. Pourquoi les autres réponses sont incorrectes : La classification géographique relève plutôt des dimensions d'organisation (zone de vente, région) ; le suivi des coûts par centre de profit est une fonction du centre de profit lui-même, pas du segment ; enfin, la distinction entre transactions manufacturières et de service ne correspond pas au concept de segment au sens d'IFRS 8.

Réponse : Mappe les opérations AA vers des comptes GL par classe et zone
La détermination des comptes en AA (Account Determination) configure les comptes G/L à débiter/créditer pour chaque type d'opération (acquisition, amortissement, cession) selon la classe d'immobilisation et la zone de dépréciation. Configuration via transaction AO90.

BKPF est la table d'en-tête (header) des documents FI en SAP ERP classique et SAP S/4HANA, contenant les informations générales du document (numéro, date, devise, etc.). BSEG est la table des segments/lignes de document (détails des écritures comptables), non l'en-tête. ACDOCA est la table consolidée en S/4HANA (Universal Journal) qui remplace partiellement BSEG/BKPF. SKB1 est la table de paramétrage des comptes GL par société, sans rapport avec les documents FI.

Réponse : Vrai
En SAP S/4HANA, l'intégration FI-CO est complète : les éléments de coût primaires (ex. charges de personnel) et les éléments de coût secondaires (ex. affectations internes) sont désormais des comptes G/L dans le plan de comptes. L'ancienne table CSKA a été remplacée par SKA1.

Réponse : L’ouverture/fermeture par type de compte au niveau société.
Explication : Elle s’assigne au code société et gère les périodes par type de compte.

Réponse : Vrai
OB52 permet effectivement d'ouvrir ou fermer des périodes comptables par type de compte (A = immobilisations, D = clients, K = fournisseurs, M = stocks, S = comptes GL) et par variante de périodes comptables (Posting Period Variant). Cela offre un contrôle granulaire de la période de comptabilisation.

Réponse : Ils reçoivent automatiquement les écritures miroir des sous-comptes BP ; Les écritures directes sont interdites ; La modification du compte de réconciliation en production doit suivre une procédure contrôlée.
Explication : Les comptes de réconciliation assurent l’intégrité entre sous-comptes et GL ; tout changement requiert précautions (soldes/postes).

La Seconde Guerre mondiale a duré de 1939 à 1945. Elle débuta le 1er septembre 1939 avec l'invasion de la Pologne par l'Allemagne nazie, et se termina le 8 mai 1945 en Europe (capitulation allemande) et le 2 septembre 1945 dans le Pacifique (capitulation japonaise). La France fut occupée par l'Allemagne de juin 1940 à août 1944 (Libération). 1914-1918 correspond à la Première Guerre mondiale. Le 8 mai est un jour férié en France, commémorant la victoire des Alliés.

La séparation des trois pouvoirs : fondement de la démocratie française établi par la Constitution. Le pouvoir législatif (Parlement) crée les lois, le pouvoir exécutif (Président, Gouvernement) les applique, et le pouvoir judiciaire (tribunaux) les interprète. Cette séparation empêche la concentration du pouvoir et protège les libertés individuelles. Deux, quatre ou cinq pouvoirs ne correspondent pas à la structure constitutionnelle française.

Le Premier ministre est nommé par le Président de la République (article 8 de la Constitution), sans investiture parlementaire obligatoire, mais le Premier ministre doit disposer d'une majorité à l'Assemblée nationale pour gouverner. La cohabitation survient lorsque le Président et la majorité parlementaire sont de bords politiques opposés (ex. : Mitterrand-Chirac 1986-88, Chirac-Jospin 1997-2002). Dans ce cas, le Président est contraint de nommer un Premier ministre de la majorité adverse. La cohabitation crée un « pouvoir bicéphale » qui redéfinit l'équilibre exécutif prévu par la Ve République.

« Liberté, Égalité, Fraternité » est la devise officielle de la République française, inscrite dans la Constitution. Liberté : droit de chacun de faire ce que les lois permettent, sans nuire à autrui (Déclaration de 1789). Égalité : tous les citoyens sont égaux devant la loi, sans distinction d'origine, de race ou de religion. Fraternité : solidarité entre les membres de la nation, aide aux plus démunis. Cette devise est issue de la Révolution française et officialisée sous la IIIe République.

La loi du 9 décembre 1905 « concernant la séparation des Églises et de l'État » est le texte fondateur de la laïcité française. Ses deux articles clés : Article 1 : « La République assure la liberté de conscience » ; Article 2 : « La République ne reconnaît, ne salarie ni ne subventionne aucun culte. » Elle met fin au Concordat de 1801 (sauf en Alsace-Moselle). La laïcité est inscrite dans la Constitution de 1958 : « La France est une République indivisible, laïque, démocratique et sociale. »

La laïcité à l'école publique signifie que l'enseignement est neutre, sans instruction religieuse obligatoire. Depuis la loi du 15 mars 2004, les élèves ne peuvent porter de signes religieux ostensibles (voile islamique, kippa, grande croix) dans les écoles, collèges et lycées publics. Les enseignants sont soumis à un devoir strict de neutralité depuis 1886. L'école laïque vise à former des citoyens libres, capables de raisonner indépendamment de toute influence religieuse. Les établissements privés sous contrat appliquent des règles différentes.

Autorité compétente en naturalisation : Le Ministère de l'Intérieur gère l'ensemble des demandes de naturalisation, y compris par mariage, via les préfectures locales qui instruisent les dossiers. La Justice intervient uniquement pour les décisions judiciaires, les Affaires étrangères pour les ressortissants à l'étranger, et la Préfecture de police pour Paris uniquement.

Rôle du Premier ministre : Chef du gouvernement, il dirige l'administration et applique la politique nationale définie par le Président. Il n'est pas élu par les citoyens (contrairement aux distracteurs) mais nommé par le Président. Il ne préside pas le Sénat ni ne contrôle les juges.

Le drapeau tricolore (bleu, blanc, rouge) est adopté lors de la Révolution française. La tradition associe : Bleu et rouge — couleurs de Paris (portées par les révolutionnaires lors de la prise de la Bastille) ; Blanc — couleur de la royauté française (les Bourbons). La cocarde tricolore est portée le 17 juillet 1789 par Louis XVI, symbolisant la réconciliation entre le roi et le peuple. Depuis la Constitution de 1958, le drapeau bleu-blanc-rouge est officiellement le drapeau national (article 2). L'ordre des bandes est : bleu au mât, rouge flottant.

Le siège officiel du Parlement européen est à Strasbourg (France), où se tiennent les sessions plénières. Cependant, les commissions parlementaires siègent à Bruxelles, où est aussi basée la Commission européenne. Luxembourg abrite le Secrétariat général du Parlement et la Cour de justice de l'UE. Ce découpage fait l'objet de critiques pour son coût, mais est inscrit dans les traités européens.

Concept clé : L'accountability dans l'éthique de l'AI. Les organisations doivent assumer la responsabilité des résultats des systèmes AI et établir des structures claires de responsabilité. Les tests doivent vérifier que des pistes d'audit existent, que la logique de décision peut être examinée, et que des mécanismes sont en place pour remédier aux préjudices causés par les décisions AI.

Réponse : Maximiser le nombre de changements informatiques réussis en vérifiant que les risques sont correctement évalués.
Explication : Maximiser les changements informatiques réussis en évaluant correctement les risques est un objectif central de la gestion des services, que le centre de services contribue à atteindre en coordonnant les demandes.

Réponse : Comprendre comment chaque élément contribue à la création de valeur.
Explication : Le principe \'Opter pour la simplicité\' demande de comprendre comment chaque élément contribue à la valeur, en éliminant ce qui n\'en apporte pas et en évitant la complexité inutile.

Réponse : Planifier.
Explication : L\'activité \'Planifier\' de la chaîne de valeur veille à ce que toutes les parties comprennent la vision, le statut actuel et les orientations de l\'organisation pour tous les produits et services.

Réponse : Il peut fournir un appariement automatisé des incidents aux problèmes ou aux erreurs connues.
Explication : Les outils ITSM peuvent automatiquement associer de nouveaux incidents aux problèmes ou erreurs connus, accélérant ainsi le diagnostic et permettant d\'appliquer des solutions de contournement documentées.

Réponse : Une autorité de changement doit être assignée pour chaque type et chaque modèle de changement.
Explication : Chaque type et modèle de changement doit avoir une autorité de changement désignée, garantissant une gouvernance claire et des décisions prises par les personnes appropriées selon le risque et l\'impact.

Réponse : L\'utilisateur ou son représentant autorisé.
Explication : En ITIL 4, ce sont les utilisateurs (ou leurs représentants autorisés) qui soumettent des demandes de services, car ils sont les consommateurs directs des services fournis.

Réponse : Résultats souhaités par une partie prenante.
Explication : Les résultats (outcomes) sont les effets souhaités par une partie prenante. Ils diffèrent des livrables (outputs) : le résultat est la valeur créée pour le consommateur, pas le produit livré.

Réponse : Elle permet de diriger l\'incident vers la zone de support appropriée.
Explication : La catégorisation des incidents permet de les acheminer rapidement vers la bonne équipe de support, ce qui accélère leur résolution et améliore l\'efficacité du processus.

Réponse : Pour planifier les changements et éviter les conflits.
Explication : Le calendrier des changements sert principalement à planifier les changements et à prévenir les conflits entre eux, en offrant une vue consolidée de tous les changements prévus.

Réponse : Une demande d\'un utilisateur concernant quelque chose qui fait partie intégrante de la fourniture normale des services.
Explication : La gestion des demandes de services prend en charge les demandes standard faisant partie de la fourniture normale des services, comme une réinitialisation de mot de passe ou la commande d\'un équipement.

Le Service Health Dashboard dans le centre d’administration Microsoft 365 permet :

• De consulter l’état actuel des services (Exchange, SharePoint, Teams, etc.)

• De voir les incidents en cours

• D’obtenir des mises à jour en temps réel

• De recevoir des avis et recommandations

Il aide les administrateurs à comprendre si un problème vient de Microsoft ou de leur propre environnement.

❌ Pourquoi les autres réponses sont incorrectes :

• A. Configurer des SLA personnalisés → Impossible. Les SLA sont définis par Microsoft.

• C. Correction automatique des incidents → Le dashboard informe, mais ne corrige pas automatiquement.

• D. Rapports mensuels détaillés de conformité SLA → Ce n’est pas sa fonction principale. Il montre l’état des services, pas des rapports analytiques mensuels complets.

  🎯 À retenir pour l’examen MS-900 :

  • Service Health Dashboard = visibilité en temps réel sur l’état des services Microsoft 365

  • Il informe, mais ne configure pas de SLA ni ne corrige automatiquement les incidents.

• Office 365 Message Encryption (OME) permet de :

  • Chiffrer automatiquement les emails selon des politiques définies

  • Protéger le contenu même si le destinataire n’utilise pas Office 365

• Les autres options ne répondent pas entièrement au besoin :

  • A : S/MIME nécessite que l’expéditeur configure manuellement le certificat et le chiffrement.

  • B : TLS sécurise la transmission, mais ne chiffre pas le contenu de manière persistante.

  • C : IRM contrôle l’utilisation et l’accès aux messages mais ne déclenche pas le chiffrement automatique basé sur des règles.

• Dans Microsoft Stream, on peut contrôler :

  • Qui peut regarder une vidéo (exiger l’authentification)

  • Si la vidéo peut être téléchargée (désactiver le téléchargement)

• Cette configuration garantit que seuls les employés authentifiés peuvent accéder au contenu et qu’aucun téléchargement n’est possible.

• Les autres options ne répondent pas au besoin :

  • A : OneDrive sync ne concerne pas Stream.

  • B : Désactiver l’accès invité protège l’ensemble du tenant, mais ne gère pas les vidéos internes.

  • D : Une politique de rétention supprime des vidéos, ne contrôle pas l’accès ou le téléchargement.

• Reminder (Rappel) permet d’envoyer une notification à une heure précise, même si l’application n’est pas ouverte.

• C’est la fonctionnalité qui déclenche une alerte automatique à 8h chaque matin.

  🎯 À retenir pour l’examen MS-900 :

  • Reminder = notification à une heure précise

  • Recurrence = répétition de la tâche

  • Les deux peuvent être combinés, mais pour recevoir une alerte à 8h, il faut activer le rappel.

Le portail My Account permet aux utilisateurs de :

• Voir leurs informations personnelles et licences attribuées

• Gérer leurs méthodes d’authentification (MFA)

• Se déconnecter des sessions actives

• Gérer leurs appareils

⚠️ En revanche, attribuer des licences à d’autres utilisateurs est une tâche administrative réservée aux administrateurs via le centre d’administration Microsoft 365.

❌ Pourquoi les autres réponses sont incorrectes :

• A. Viewing license assignments → Oui, les utilisateurs peuvent voir les licences qui leur sont attribuées.

• B. Updating phone number for MFA → Oui, ils peuvent modifier leurs informations de sécurité.

• D. Signing out of all sessions → Oui, ils peuvent se déconnecter de toutes leurs sessions.

🎯 À retenir pour l’examen MS-900 :

• My Account = gestion personnelle du compte

• Attribution de licences = rôle administrateur uniquement

• Dans Viva Connections, le menu de navigation global est alimenté par la navigation du site d’accueil SharePoint.

• En configurant un mega menu dans les paramètres du site, vous permettez aux employés de naviguer facilement vers les ressources importantes de l’entreprise.

• Les autres options ne créent pas de navigation globale :

  • A : List view web part affiche simplement une liste, pas un menu de navigation.

  • C : News web part affiche des actualités, pas des liens de navigation.

  • D : Quick links ne fournit qu’une section de liens sur la page, pas un menu global accessible depuis toutes les pages.

• Par défaut, les journaux d’audit Microsoft 365 ont une durée de conservation limitée.

• Pour les conserver plus longtemps (ex. 1 an ou plus), il faut configurer une Audit log retention policy dans Microsoft Purview.

• Cela permet de répondre aux exigences réglementaires et de conformité.

❌ Pourquoi les autres réponses sont incorrectes :

• B. Litigation Hold (Exchange) → Concerne la conservation des emails, pas les journaux d’audit globaux.

• C. Sensitivity label retention → Gère la protection et la conservation des documents/emails, pas des logs d’audit.

• D. Azure Information Protection → Sert à classifier et protéger les données, pas à gérer la durée des logs d’audit.

🎯 À retenir pour l’examen MS-900 :

• Audit logs = Microsoft Purview (Audit log retention policy)

• Litigation Hold = emails

• Sensitivity labels = protection des données

• Les labels de sensibilité doivent être publiés via une stratégie de labels et les utilisateurs doivent être inclus dans la portée pour que les labels apparaissent dans Office Online.

• Si la stratégie n’inclut pas PowerPoint Online ou si l’utilisateur n’est pas dans la portée, les labels n’apparaîtront pas.

• Les autres options ne sont pas pertinentes pour PowerPoint Online :

  • B : Azure RMS connector concerne les scénarios hybrides et on-premises.

  • C : La synchronisation des apps Purview sur le poste local n’affecte pas Office Online.

  • D : Le client AIP Unified Labeling est pour les applications desktop, pas pour Office Online.

• Proactive Remediations permet de :

  • Détecter les appareils affectés par un problème spécifique (via des scripts de détection)

  • Appliquer automatiquement des scripts de correction ou empêcher l’installation d’un pilote problématique

• Les autres options ne bloquent pas activement les mises à jour problématiques :

  • A : Startup Performance report analyse les temps de démarrage, pas les pilotes

  • C : Health Metrics fournit des scores de santé des appareils mais ne permet pas de remediation proactive

  • D : Recommended Actions exporte des suggestions, mais ne bloque rien automatiquement

• Le bloc-notes est stocké dans un site SharePoint d’équipe.

• L’URL correcte doit donc pointer vers :

  • Le tenant SharePoint principal (contoso.sharepoint.com)

  • Le site d’équipe (/sites/ProjectTeam)

  • Le dossier du bloc-notes

L’option B correspond à une URL SharePoint classique permettant :

• L’ouverture dans OneNote Desktop

• La synchronisation automatique

• Les mises à jour en temps réel pour tous les membres

❌ Pourquoi les autres réponses sont incorrectes :

• A et C → Utilisent contoso-my.sharepoint.com, qui correspond à OneDrive personnel, pas à un site SharePoint d’équipe.

• D → URL interne SharePoint (_layouts) utilisée pour l’interface web, pas pour un accès direct propre au bloc-notes.

🎯 À retenir pour l’examen MS-900 :

• tenant.sharepoint.com/sites/... = site d’équipe SharePoint

• tenant-my.sharepoint.com = OneDrive personnel

• Pour collaboration d’équipe → toujours utiliser l’URL du site SharePoint

Les Configuration Profiles dans Intune permettent :

• De configurer précisément FileVault

• De définir les exigences de mot de passe

• De configurer le pare-feu macOS

• D’appliquer des paramètres avancés de sécurité

• De cibler des groupes spécifiques (ex : développeurs)

Les profils de configuration sont le mécanisme direct permettant d’imposer ces paramètres.

Azure AD PIM permet de :

• Gérer les rôles Azure AD et Azure RBAC sensibles

• Fournir un accès Just-in-Time (JIT) pour limiter le temps pendant lequel un utilisateur a des privilèges élevés

• Exiger approbations ou vérifications périodiques pour l’accès aux rôles privilégiés

• Générer des logs d’audit et rapports pour le suivi des activités

Pourquoi c’est adapté :

• Le besoin est validation continue de l’accès privilégié

• PIM est la solution native Microsoft pour le contrôle et la gouvernance des comptes à privilèges élevés

• JIT réduit la fenêtre de risque en n’octroyant des droits qu’au moment nécessaire

• Mailbox Intelligence : analyse le comportement des utilisateurs pour identifier des emails suspects envoyés ou reçus

• Spoof Intelligence : détecte les tentatives d’usurpation d’identité (spoofing), notamment des domaines ou adresses similaires aux comptes internes

• Ensemble, ils permettent à Defender for Office 365 de :

  • Bloquer ou marquer les emails imitant des comptes internes ou exécutifs

  • Réduire les risques d’account takeover via phishing ciblé

• Problème : les applications legacy utilisent souvent des protocoles d’authentification non sécurisés (ex : IMAP, POP3, SMTP Auth)

• Ces protocoles contournent Conditional Access, ce qui crée une surface d’attaque importante

• Solution Microsoft recommandée pour Zero Trust :

  • Bloquer la legacy authentication dans Conditional Access

  • Appliquer MFA et autres contrôles modernes uniquement sur les applications et utilisateurs qui supportent les protocoles modernes

  • Réduire considérablement le risque de compromission des identités

Azure Key Vault est un composant critique pour la sécurité :

• Il stocke des clés cryptographiques, certificats et secrets essentiels pour le chiffrement des données et la sécurité des transactions.

• Le vecteur de menace le plus critique est l’accès non autorisé :

  • Si un attaquant obtient l’accès à Key Vault, il peut récupérer les clés et décrypter les données sensibles ou signer des transactions frauduleuses.

• La protection contre ce vecteur repose sur :

  • Des politiques d’accès strictes (RBAC ou policies Key Vault)

  • L’activation de Azure AD Conditional Access

  • L’utilisation du principle du moindre privilège

Azure Update Manager (anciennement Azure Automation Update Management) permet :

• La gestion centralisée des mises à jour pour :

  • Machines virtuelles Azure

  • Serveurs on-premises

  • Environnements multi-cloud (via Azure Arc)

• Le suivi de la conformité des correctifs

• La génération de rapports détaillés

• L’intégration avec Log Analytics pour :

  • Requêtes avancées

  • Tableaux de bord personnalisés

  • Export des données pour audit

👉 C’est une solution native conçue spécifiquement pour la gestion et le reporting des mises à jour dans des environnements hybrides.

Cela correspond exactement au besoin :
✔ Hybride
✔ État des patches
✔ Rapports audit-ready

• Microsoft Entra Internet Access (EIA) : solution SSE qui fournit :

  • Filtrage d’accès Internet

  • Protection contre les applications non approuvées

  • Application des politiques d’usage acceptable

• Intégration avec Microsoft Defender for Cloud Apps :

  • Permet de détecter et contrôler l’usage des applications SaaS

  • Active les politiques Conditional Access pour :

    • Bloquer les connexions à des applications non sanctionnées

    • Appliquer des restrictions ou des alertes pour les applications approuvées

  • Assure visibilité, contrôle et gouvernance centralisée

• C’est la meilleure pratique Microsoft SSE pour sécuriser l’accès SaaS et Internet.

• Microsoft recommande pour les workloads AKS exposés aux APIs :

  • Multi-layer defense : défense en profondeur (defense-in-depth)

  • Azure Firewall pour contrôler le trafic réseau entrant/sortant

  • DDoS Protection Standard pour se protéger contre les attaques volumétriques sur le réseau

  • Application Gateway WAF pour inspecter et protéger les APIs contre :

    • SQL injection

    • Cross-site scripting

    • Autres attaques applicatives

• Cette approche est la baseline de sécurité recommandée pour AKS exposé à Internet.

• Scenario : appliquer MFA aux guests externes, sans dépendre de la configuration du tenant partenaire.

• Conditional Access (CA) permet de :

  • Créer une politique ciblant uniquement les utilisateurs invités (User type = Guest)

  • Exiger MFA avant l’accès à vos ressources Microsoft 365 ou Azure

  • Fonctionner indépendamment du tenant d’origine de l’utilisateur → aucun changement requis côté partenaire

• C’est la meilleure pratique Microsoft pour sécuriser l’accès externe tout en restant compatible avec Zero Trust.

• Microsoft Secure Score :

  • Mesure la posture de sécurité de l’organisation en comparant les configurations actuelles avec les recommandations de Microsoft

  • Indique des opportunités d’amélioration, mais ne garantit pas l’absence d’incident ou de violation

  • Permet de suivre la progression dans le temps et prioriser les actions de sécurité

• Il s’agit d’un indicateur de tendance, pas d’une mesure absolue ou d’un score de risque parfait.

La protection contre la suppression (deletion protection) empêche toute suppression accidentelle de l'instance, même pour les utilisateurs avec des droits d'administration. Il faut explicitement désactiver cette protection avant de pouvoir supprimer l'instance.

La séquence correcte est : obtenir l'ID du projet avec gcloud projects list, puis lister les services activés avec gcloud services list --project. --available liste toutes les APIs disponibles (pas seulement les activées).

Pour du point-in-time recovery avec Cloud SQL MySQL, il faut activer la journalisation binaire (binary logging) qui enregistre toutes les modifications de la base de données. Cloud Spanner est surdimensionné et trop coûteux pour un petit ensemble de données local.

La commande gsutil rsync synchronise automatiquement les nouveaux fichiers entre le stockage local et Cloud Storage. Planifiée comme cron job, c'est la solution la plus simple pour automatiser l'upload des nouvelles images médicales.

Dans GCP, les règles de pare-feu s'appliquent par ordre de priorité (lower = higher priority). Une règle deny-all basse priorité (65534) bloque tout par défaut, et une règle allow haute priorité (1000) ouvre uniquement les ports nécessaires — principe du moindre accès.

GCP Marketplace propose des solutions pré-configurées comme Jenkins qui se déploient en quelques clics. C'est la méthode la plus rapide — tout est automatisé : création de VM, installation, configuration initiale. Aucune installation manuelle n'est nécessaire.

Le rôle roles/logging.privateLogViewer inclut l'accès aux journaux d'audit d'administration ET aux journaux d'accès aux données. Diriger l'auditeur vers les journaux de modifications IAM compète la vue complète. Pas besoin d'export — l'accès direct suffit.

La méthode correcte est de d'abord créer le projet avec gcloud, puis de déployer l'application dans ce projet. gcloud ne crée pas automatiquement un projet lors du déploiement, et 'copier' une application App Engine déployée n'est pas une fonctionnalité native.

La solution entièrement automatisée est : Cloud Monitoring → webhook → Cloud Function qui ajuste le nombre de noeuds Spanner. Cela réagit automatiquement aux variations de charge dans les deux sens (scale up/down) sans intervention humaine.

Automatic Scaling avec min_idle_instances=3 répond exactement aux exigences : App Engine scale automatiquement selon le taux de requêtes ET maintient toujours au minimum 3 instances disponibles en attente. Basic Scaling n'a pas de paramètre min_instances.

All of the above. Trust forms the foundation of all five Scrum values: Respect (trust in team members' capabilities), Courage (trust to take risks), Commitment (trust in goals), Openness (trust to communicate honestly), and Focus (trust in priorities). Without trust, none of these values can flourish.

The main benefits of self-organization are increased creativity, self-accountability, and commitment (option 4). Self-organizing teams feel ownership and autonomy, driving innovation and intrinsic motivation. Options 1-3 emphasize compliance or output, which are byproducts, not primary benefits. Self-organization fundamentally taps into Scrum values of commitment and focus.

The best response shares relevant transparency: the Product Backlog and release projections allow Peter to understand progress toward objectives. This demonstrates the Scrum pillar of transparency and addresses his concerns constructively. P&L reports, impediment lists, or status reports are less relevant to productivity and progress concerns.

The Development Team member should share the security risk with the team immediately so they can address it collaboratively. This is not a matter for test teams, backlogs, or retrospectives—security risks require urgent transparent communication across the team per Scrum's transparency pillar.

The Scrum Master keeps the team productive by removing impediments and facilitating decisions, not by managing tasks or controlling processes. The other options describe command-and-control behaviors or administrative work that distract from the core servant-leader role. Per the Scrum Guide, the Scrum Master serves the Development Team by removing blockers and enabling self-organization.

Options A and D are correct. Option A reflects empiricism: the team forecasts likely items based on the business objective and continues discovering/refining during the Sprint. Option D ensures learning from the challenge occurs in the Retrospective. Option B violates the timebox principle, and Option C wastes time in planning paralysis when the team can discover during the Sprint.

Creating Product Backlog items for security concerns and/or adding security to the Definition of Done ensures security is transparent and continuously addressed throughout development, reflecting Scrum's empirical process. This approach integrates security into regular work rather than isolating it. Separate security sprints, external delegation, or waiting for specialists violate the principle of transparency and shared accountability within the Scrum Team.

The Daily Scrum is a timeboxed event essential for team synchronization, not optional. Options A and C are correct: Steven should coach the team on the Daily Scrum's purpose for self-organization and Sprint plan updates (A), and help them understand that reduced communication frequency increases disconnect (C). Options B and D are inappropriate—voting doesn't validate Scrum principles, and simply accepting the proposal abdicates the Scrum Master's coaching responsibility.

Option A is FALSE because the Sprint Goal is not a forecast that changes during the Sprint. While the Development Team may discover better implementation approaches, the Sprint Goal itself remains stable as a commitment. The Scrum Guide states the Goal guides the team throughout the Sprint and should only change if circumstances fundamentally shift the business objective.

Correct: Options 1 and 2 - Scrum enables empirical budgeting by delivering working increments each Sprint, allowing stakeholders to measure value against investment and adjust funding based on actual outcomes. Option 2 shows how releases span multiple Sprints with continuous value delivery. Options 3 and 4 are incorrect because operational costs exist and budgets are often necessary—Scrum just changes how they're managed.

Réponse : Qualité d\'entrée inconnue due au développement par un tiers.
Explication : D est correct car la qualité d\'entrée inconnue provenant du développement par un tiers crée le plus grand risque d\'estimateur : variance élevée des taux de défauts, comportements d\'intégration imprévisibles et efforts de vérification imprévisibles qui gonflent directement les estimations de temps et ressources. Les hypothèses quantifiées deviennent invalides avec les entrées tierces.

Réponse : Pourcentage des exigences métier exercées.
Explication : La mesure la plus appropriée de couverture de test pour un rapport de progression métier hebdomadaire est le pourcentage des exigences métier exercées. Cette métrique s\'aligne directement avec les priorités métier : valider que le logiciel remplit son objectif et fournit une valeur tangible aux parties prenantes.

Réponse : En fournissant un atelier sur les techniques de conception de tests.
Explication : Un atelier sur les techniques de conception de tests remédie directement à la faible efficacité de détection des défauts en dotant les testeurs de méthodes systématiques et répétables pour dériver des cas de test de meilleure qualité. Les techniques pratiques (partitionnement des équivalences, analyse des valeurs limites, tables de décision, transitions d\'état, techniques d\'appairage) améliorent la couverture et augmentent la probabilité de détection des défauts.

Réponse : TMMi ne peut être utilisé qu\'avec le modèle V traditionnel, tandis que TPI peut être utilisé avec tous les types de cycles de vie logiciels..
Explication : D est incorrect car TMMi n\'est pas limité au modèle V ; il est indépendant du cycle de vie et applicable aux modèles V, itératifs et agiles. TPI l\'est aussi, contredisant l\'affirmation d\'une dichotomie entre les deux approches.

Réponse : Gestion et pilotage de projet.
Explication : B est correct car la gestion et le pilotage de projet sont des préoccupations transversales à tous les cycles de vie, non spécifiques au test en RAD. Les attributs distinctifs du RAD—prototypage itératif, exigences évolutives, délais serrés—créent des problèmes centrés sur le test : exigences instables, régressions fréquentes, cycles de test compressés.

Réponse : Une approche des tests de régression.
Explication : Le plan directeur de test est un document stratégique de haut niveau qui définit l\'approche globale, la portée, les objectifs et les risques. L\'approche des tests de régression est une décision stratégique appropriée à couvrir en détail, contrairement aux détails tactiques comme les valeurs limites ou l\'organisation des cas de test.

Réponse : Définir les attentes concernant les tâches et les livrables / Canaux de communication clairs / Cultures possiblement différentes.
Explication : BCD est correct. L\'externalisation introduit des ambiguïtés contractuelles sur les livrables, nécessite des canaux de communication robustes et expose le projet à des différences culturelles. La définition précise des attentes, des critères d\'acceptation et des SLA est essentielle pour éviter les dérives de périmètre et les litiges.

Réponse : Chaque niveau de test a des objectifs de test spécifiques à ce niveau..
Explication : C est correct car la définition d\'objectifs de test pour chaque niveau de test garantit que les tests sont intentionnels, mesurables et traçables aux risques correspondants. Le bon test dans tout modèle de cycle de vie exige que les activités de test soient planifiées et exécutées avec des objectifs spécifiques au niveau.

Réponse : 63.
Explication : Le Numéro de Priorité de Risque (NPR) est calculé en multipliant la probabilité d\'occurrence, la gravité de l\'impact et la détectabilité. Pour l\'élément de risque 2, ce calcul donne 63.

Réponse : Exécution des tests.
Explication : L\'exécution des tests représente la portion la plus importante et la moins prévisible de la variabilité (taux de découverte de défauts, disponibilité de l\'environnement, productivité humaine, boucles de rework). C\'est donc la partie la plus difficile à estimer.

A. Provide the subagent with tool definitions that allow it to request outputs from other subagents via callbacks. Incorrect. This introduces unnecessary coupling and complexity. Subagents shouldn't need to actively fetch data from others. B. Include the complete findings from both subagents directly in the synthesis subagent's prompt. Incorrect. While simple, this approach does not scale well for large outputs and can exceed context limits, reducing efficiency. C. Pass reference identifiers and configure the subagent with read access to a shared memory store where other subagents deposited their results. Correct. This is the most scalable and production-ready approach. It preserves information fidelity while avoiding context bloat, allowing the synthesis agent to retrieve exactly what it needs. D. Spawn the subagent with only a brief task description, relying on automatic context inheritance from the coordinator. Incorrect. There is no automatic context inheritance--without explicit data access, the synthesis agent cannot function properly.

A. Define a tool with your target schema as input parameters and have Claude call it with the extracted data. Correct. Tool use enforces strict schema compliance at generation time, ensuring valid, structured JSON that downstream systems can reliably consume. B. Pre-fill Claude's response with an opening brace to force JSON output, then complete and parse the response. Incorrect. This is a fragile workaround and does not guarantee valid or schema-compliant JSON. C. Append instructions like "Output only valid JSON matching the schema exactly" and implement retry logic to re-prompt when JSON parsing fails. Incorrect. Helpful but not reliable--models can still produce malformed or non-conformant JSON. D. Include detailed JSON formatting instructions and the target schema in your prompt, then parse Claude's text response as JSON. Incorrect. Prompt-based formatting alone cannot guarantee strict compliance, especially in edge cases.

A. Return an empty flight list as if the search succeeded but found no matching flights. Incorrect. This hides the failure and misleads the system into thinking no flights exist, which can lead to incorrect conclusions. B. Log the error internally and return an empty response, letting the model continue without the flight data. Incorrect. This still suppresses the failure signal, preventing the agent from taking corrective action. C. Return an error message in the tool result explaining the service is temporarily unavailable. Incorrect. While transparent, this alone doesn't attempt recovery and may degrade user experience unnecessarily. D. Automatically retry the request up to five times with exponential backoff before returning results to the agent. Correct. This is the most effective approach--handles transient failures gracefully, improves reliability, and only surfaces errors if retries fail.

A. URLs that users can click to open the document in their browser. Incorrect. URLs are useful for users, but not ideal for agents performing multi-step workflows that require reliable referencing and further operations. B. Structured data containing document IDs and metadata for each result. Correct. This enables the agent to programmatically reference specific documents (via IDs) across multiple steps, making workflows like follow-up queries or document retrieval precise and reliable. C. A JSON array of document titles extracted from the search results. Incorrect. Titles alone are ambiguous and not stable identifiers, making it difficult for agents to reliably act on specific documents. D. More detailed human-readable descriptions including the size and authors. Incorrect. Helpful for users, but still unstructured and not suitable for precise multi-step agent operations.

A. Claude's memory retention is limited to two conversational turns by default, requiring explicit configuration to extend it. Incorrect. There is no fixed "two-turn memory limit" like this; context is determined by what the application sends, not a built-in short memory window. B. The prompt lacks instructions telling Claude to remember information across multiple exchanges. Incorrect. System prompts don't control memory persistence. The model does not "forget" within context unless information is missing from input. C. The verification tool is clearing the agent's internal state after each successful validation step. Incorrect. Tools do not automatically reset conversational context unless explicitly designed to do so--and that would be an application-level bug, not the most likely general cause. D. The conversation history isn't being passed in subsequent API requests. Correct. This is the most likely cause. The model is stateless, so if prior messages aren't included in each request, it behaves as if earlier verification steps never happened--leading to repeated questions like asking for the name again.

B. The order details are added to the conversation and the model reasons about which action to take. Correct. In an agentic loop, tool results (like "purchased 45 days ago") are fed back into the model's context, and the model re-evaluates the situation dynamically. It then decides whether to proceed with process_refund, escalate to a human, or take another action based on policy and the updated information. Why the others are not correct: A. Fixed tool sequence planned at the start Incorrect Agentic systems are not static workflows; they adapt after each observation. C. Pre-configured decision tree Incorrect This is rule-based automation, not LLM-driven reasoning. D. Orchestration layer automatically routes next tool call Incorrect That removes the model's reasoning role and turns it into deterministic routing.

A. Clear parameter descriptions explaining expected format, such as "user_id: UUID of the user to update (required)" Correct. Clear, human-readable descriptions are the most important guidance for helping Claude understand what values to provide and how parameters should be structured. B. Verbose parameter names encoding format hints, such as user_id_string_uuid_format Incorrect. Overly verbose names reduce readability and are less effective than proper descriptions. C. Strict JSON Schema type constraints marking user_id as required and defining fields_to_update as an object type Incorrect. Schema constraints help validation, but they don't sufficiently explain semantic expectations like the required UUID format. D. Detailed error responses explaining why invalid parameter values were rejected Incorrect. Helpful after failure, but not the most critical factor for preventing mistakes initially.

A. Create separate search products and fetch more results tools for pagination. Incorrect. This exposes pagination mechanics to the agent, increasing complexity and coupling tool usage with control flow. B. Implement server-side relevance ranking and return only the top 50 most relevant items. Incorrect. While this reduces latency, it removes access to the full result set, limiting flexibility when more results are actually needed. C. Add a max pages parameter (default: 2) that controls how many pages are fetched internally. Incorrect. This is an improvement over fetching everything, but it still hides pagination control inside the tool and may fetch unnecessary data. D. Return the first page with total match count and cursor for additional pages. Correct. This enables lazy loading and explicit control, allowing the agent to fetch more results only when needed-- balancing performance and completeness.

A. Verify that 97% accuracy meets requirements for all downstream systems that consume the extracted data. Incorrect. Important, but it doesn't ensure the confidence signal is reliable across different cases--it only checks overall acceptability. B. Analyze accuracy by document type and field to verify high-confidence extractions perform consistently across all segments, not just in aggregate. Correct. Aggregate accuracy can hide weak spots. You need to ensure confidence >90% is trustworthy across all segments, otherwise automation may introduce systematic errors. C. Compare accuracy at different confidence thresholds (85%, 90%, 95%) to find the optimal cutoff that maximizes automation while minimizing errors. Incorrect. Useful for tuning, but only after confirming the confidence signal is consistent and reliable across segments. D. Run a two-week pilot routing 25% of high-confidence extractions directly to downstream systems and monitor error reports. Incorrect. A pilot is valuable, but deploying without validating segment-level reliability first introduces avoidable risk.

A. Enable the document analysis subagent to spawn its own specialized subagents dynamically when it encounters cases with many citations. Incorrect. This decentralizes orchestration and makes the system harder to monitor and debug. The coordinator loses visibility into dynamically spawned agents. B. Implement a message queue where precedent analysis tasks are processed asynchronously by a pool of worker agents. Incorrect. While this improves scalability, it introduces infrastructure complexity and reduces transparency for debugging at the coordinator level. C. Create a recursive agent hierarchy where analysis agents subdivide work among child agents until reaching single-precedent granularity. Incorrect. This further complicates the architecture and makes tracing execution paths difficult, reducing observability and control. D. Have the coordinator spawn parallel document analysis subagents, each handling a subset of precedents, then aggregate results before synthesis. Correct. This enables parallel processing to reduce latency while keeping orchestration centralized. The coordinator retains full visibility, making monitoring and debugging easier.