Ne découvrez pas l'examen
le jour J

Réponse : Amazon Aurora. Explication : Amazon Aurora est une base de données relationnelle entièrement gérée, compatible avec MySQL et PostgreSQL, conçue pour le cloud. Elle offre jusqu'à 5 fois la performance du MySQL standard avec la simplicité et la rentabilité des bases de données open source.

Réponses : Détecter les ressources sous-utilisées pour économiser les coûts et améliorer la sécurité en surveillant de manière proactive l'environnement AWS. AWS Trusted Advisor fournit des conseils en temps réel dans cinq catégories : optimisation des coûts (détection des ressources inutilisées), sécurité, tolérance aux pannes, performance et limites de service, aidant les équipes à améliorer proactivement leur environnement AWS.

Réponse : Groupes de sécurité ; Listes de contrôle d'accès réseau. Explication : Les groupes de sécurité agissent comme des pare-feu virtuels pour les instances EC2 (avec état, au niveau de l'instance). Les listes de contrôle d'accès réseau opèrent au niveau du sous-réseau (sans état). Les deux peuvent être utilisés pour bloquer le trafic entrant ou sortant vers les instances.

Réponse : Chaque compte reçoit des remises sur volume.
Explication : Les comptes bénéficient de tarifs dégressifs sur les ressources partagées grâce à la consolidation.

Réponse : AWS Organizations.
Explication : AWS Organizations centralise la gestion des accès, permissions et factures pour plusieurs comptes AWS.

GuardDuty : service de détection de menaces managé qui utilise le machine learning pour analyser les événements de sécurité. Il examine CloudTrail, VPC Flow Logs et DNS logs sans configuration requise.

Réponse : Régions AWS. Explication : Les régions AWS permettent aux clients de déployer des ressources dans des emplacements géographiques spécifiques. Choisir une région proche de la localisation actuelle de l'entreprise minimise la latence et peut satisfaire les exigences de résidence des données lors de la migration.

Réponse : Amazon Inspector.
Explication : Amazon Inspector automatise l’analyse de sécurité des instances EC2 et détecte les vulnérabilités potentielles.

Réponse : Facturation à la seconde, minimum une minute.
Explication : AWS facture les instances Linux EC2 à la seconde, après la première minute de lancement (pour une grande flexibilité budgétaire).

Réponse : A) AWS WAF. AWS WAF (Web Application Firewall) protège les applications web contre les exploits courants, notamment l'injection SQL et les attaques XSS. Les règles peuvent être configurées pour inspecter les requêtes HTTP/S et bloquer les modèles malveillants correspondants, offrant une protection au niveau applicatif.

Prévention des injections de prompt : combine deux mécanismes. Les consignes claires définissent des limites strictes au modèle (system prompt robuste), réduisant les déviations malveillantes. Le principe du moindre privilège IAM limite les permissions des APIs appelées, contenant les dégâts même si une injection réussit. Ensemble, ils forment une défense en profondeur : une seule mesure reste insuffisante.

Orchestration conversationnelle : Amazon Lex gère les dialogues multi-tours, maintient le contexte et structure les intentions. Combiné à Bedrock pour la génération, il crée des chatbots sophistiqués avec mémorisation d'état.

SLMs optimisés sur edge : les Small Language Models (< 13B paramètres) associés à la quantification réduisent la taille modèle et la latence réseau en exécutant localement l'inférence. Les LLMs centralisés (70B+) engendrent latence réseau et délais batch incompatibles avec < 100ms. Seuls les SLMs quantifiés offrent le compromis optimal performance/ressources edge.

Amazon Textract : service spécialisé dans l'extraction de texte, champs et tableaux à partir de documents scannés ou images PDF. Il utilise la vision par ordinateur pour reconnaître et structurer les données, contrairement à Transcribe (audio→texte), Comprehend (analyse textuelle) et AWS Glue (intégration données). Textract détecte automatiquement les formulaires et tables, idéal pour numériser des documents papier.

Les Partial Dependence Plots (PDPs) montrent l’effet marginal d’une ou deux variables sur la prédiction, améliorant la transparence.

Faux. La température influence la génération en inférence. L’exactitude s’améliore via données/époques/optimisation.

Bedrock Invocation Logging : service dédié qui capture automatiquement les prompts (inputs) et réponses (outputs) des appels API aux modèles Bedrock pour audit, conformité et amélioration qualité. CloudTrail enregistre seulement les appels API métadonnées, non les contenus détaillés. Audit Manager et EventBridge ne permettent pas ce suivi granulaire des invocations.

Métrique d'erreur vs Classification : MSE (Mean Squared Error) mesure la distance numérique entre valeurs prédites et réelles, idéale pour la régression. En classification d'images, les étiquettes sont catégoriques (chat/chien), pas numériques continues. Les métriques appropriées sont Accuracy, Precision, Recall ou F1-score qui évaluent la correctness des prédictions catégoriques.

Transcribe + Translate : Transcribe convertit l'audio en texte avec haute précision dans 99+ langues. Translate, service automatisé, traduit le texte résultant vers les 8 langues cibles. Pipeline coût-efficace et parallélisable pour traiter 50 heures rapidement.

Pipeline RAG - Ordre critique des étapes : L'ingestion précède le chunking (sinon pas de documents à traiter), suivi de l'embedding (conversion texte→vecteurs) et du stockage vectoriel (indexation pour recherche). Cet ordre est irréversible : on ne peut générer d'embeddings sans chunks ni les stocker sans les embeddings d'abord.

Product Goal: a long-term objective describing the future state of the product that guides Sprint planning and team alignment. It persists across multiple Sprints, providing direction beyond individual increments, distinguishing it from shorter-term Sprint Goals which focus on specific Sprint outcomes.

Product Backlog Nature: The Product Backlog is a living, dynamic artifact that continuously evolves throughout the product's lifecycle. It's never "complete"—items are refined, reprioritized, and added as stakeholder needs and market conditions change. Sprint Planning uses the current state of the backlog, but refinement and updates continue beyond that point, making completeness a misconception about backlog characteristics.

Scrum Master's Role with Product Owner: The Scrum Master facilitates effective Product Goal definition and backlog management techniques rather than making decisions. This coaching approach empowers the Product Owner while respecting their accountability. Unlike distractors (writing items, approving, prioritizing), the Scrum Master enables capability, not execution.

Answer: Lost inspection/adaptation opportunities; impediments resolved slower; Sprint plan becomes inaccurate.
Explanation: The Daily Scrum's daily cadence is essential for rapid adaptation. Less frequent meetings mean the team cannot quickly detect deviations, address blockers, or keep the Sprint plan current with reality.

Stakeholder Engagement in Scrum: Stakeholders inspect the Increment at Sprint Review and provide feedback to influence future work. This collaborative inspection ensures the product aligns with business needs. Unlike Product Owners who prioritize, stakeholders advise; they don't attend Daily Scrums or direct Developers.

Answer: To inspect the product Increment with stakeholders and collect feedback on next steps.
Explanation: The Sprint Review is a collaborative working session where the Scrum Team and stakeholders inspect the Increment and adapt the Product Backlog based on what was learned.

Five Scrum Values: Commitment, Courage, Focus, Openness, and Respect form the foundation of Scrum culture. These values enable trust, transparency, and effective collaboration within the team. They guide behaviors and decisions throughout Sprint execution, distinguishing Scrum from process frameworks focusing solely on ceremonies or metrics like velocity.

Scrum Master Role: A servant leader who facilitates Scrum processes and removes impediments, not a traditional project manager. The Scrum Master serves the team, Product Owner, and organization, enabling self-organization rather than directing work or assigning tasks, which distinguishes this role from command-and-control project management.

Daily Scrum Purpose: The Daily Scrum is a 15-minute event where Developers inspect progress toward the Sprint Goal and adapt the Sprint Backlog. It's not status reporting to the Scrum Master, task assignment, or Product Backlog updates—it's self-organizing inspection and adaptation by the Development Team.

Key concept: Sprint cancellation authority and conditions. The Product Owner holds the exclusive authority to cancel a Sprint in Scrum, though this power is exercised only under specific circumstances. A Sprint may be cancelled when the Sprint Goal becomes obsolete due to changed business conditions, market shifts, or organizational priorities that render the planned work no longer valuable or relevant. This cancellation right reflects the Product Owner's accountability for maximizing product value and protecting stakeholder interests. While other Scrum roles (Scrum Master, Development Team) may recognize that cancellation is necessary, only the Product Owner possesses the formal authority to make this decision. Cancellations are rare in healthy Scrum environments, as Sprint Goals should be carefully selected and protected. The cancelled Sprint still requires closure activities: completed work is reviewed, incomplete work returns to the Product Backlog, and the team reflects on lessons learned before planning the next Sprint.

Key concept: Scrum Master as Facilitator and Impediment Remover. The Scrum Master is accountable for facilitating all Scrum events (Sprint Planning, Daily Standup, Sprint Review, Sprint Retrospective) and serving the Scrum Team by removing organizational and technical impediments that block progress. While the Product Owner prioritizes the backlog and the team executes work, only the Scrum Master holds the explicit responsibility for facilitation and impediment removal. Project Managers and Architects have different roles outside the Scrum framework and lack this accountability.

Key concept: Sprint scope flexibility within Sprint Goal constraints. During a Sprint, the Development Team and Product Owner can refine and negotiate specific items in the Sprint Backlog to better deliver value and respond to emerging insights, provided the Sprint Goal remains protected. This differs from changing the Sprint Goal itself, which is prohibited. As work progresses, the team may discover that some items are larger than anticipated, require different approaches, or that new information emerges. The PO can swap lower-priority items for higher-value ones, remove items that no longer align with learning, or adjust acceptance criteria based on stakeholder feedback—all without abandoning the Sprint commitment. This flexibility enables empiricism while maintaining accountability, distinguishing Scrum from rigid waterfall approaches where scope is locked. However, scope changes must not compromise the Sprint Goal's achievability.

Answer: Conformance to the Definition of Done.
Explanation: An Increment must meet the DoD to be considered Done. It must also be usable and potentially releasable.

Increment Definition and Quality Standards: An Increment represents a concrete, working product version that embodies all completed work from a Sprint. Every Increment—without exception—must satisfy two non-negotiable criteria: it must be usable (functionally operable and valuable to stakeholders) and must conform to the Definition of Done (the team's explicit quality standards and acceptance criteria). This requirement holds true regardless of the Product Owner's decision to release it immediately. The Definition of Done ensures consistency, prevents technical debt accumulation, and maintains product integrity across sprints. A completed Product Backlog Item that doesn't meet these standards cannot be considered part of an Increment, preserving transparency and enabling reliable velocity forecasting. This is a foundational Scrum principle that protects both product quality and team accountability.

Answer: The Scrum Team (guided by the DoD).
Explanation: Quality is a shared responsibility of the entire Scrum Team. The Definition of Done guides the Developers in producing quality Increments.

Answer: Sprint Goal, selected PBIs, plan to deliver the Increment.
Explanation: The Sprint Backlog consists of the Sprint Goal (why), the PBIs selected (what), and the plan to deliver the Increment (how).

Answer: To have complete transparency into what has been done at the end of each Sprint.
Explanation: The Definition of Done creates a shared understanding of completeness. When all team members adhere to it, the PO can trust that 'Done' items are truly ready for release — removing ambiguity from Sprint Reviews.

Answer: False.
Explanation: The Sprint Review is a collaborative working session to inspect the Increment and adapt the Product Backlog — not a status report.

Answer: Conversion rate, user retention, customer satisfaction (NPS).
Explanation: EBM (Evidence-Based Management) focuses on outcomes: conversion, retention, and satisfaction metrics reflect real product value.

Le tailoring évite les activités non essentielles en ajustant méthodes et artefacts au contexte, concentrant l’effort sur ce qui crée réellement de la valeur.

Approche Agile : méthodologie itérative basée sur des cycles courts (sprints) avec livraisons régulières et intégration continue du feedback client. Elle privilégie la collaboration directe et l'adaptation rapide aux changements, essentiels quand le client doit valider fréquemment le produit. Contrairement au modèle prédictif qui fige les exigences en amont, l'agile accueille l'évolution des besoins. Une méthodologie hybride ad hoc ou des rapports sans implication réelle du client ne garantissent pas cette collaboration critique au succès.

Elle permet de comprendre les interactions et interdépendances entre différents éléments du projet et de l’organisation, évitant une vision en silos.

Le domaine Livraison dans le PMBOK 7 : représente un élément fondamental de la gestion de projet moderne qui transcende la simple transmission de livrables. Ce domaine englobe l'ensemble des activités permettant de satisfaire les exigences des parties prenantes tout en créant une véritable valeur commerciale et organisationnelle. Contrairement aux approches traditionnelles, le PMBOK 7ème édition reconnaît que la livraison ne se limite pas à la production de livrables, mais implique leur pertinence, leur qualité et leur capacité à générer des bénéfices mesurables. Le domaine Livraison intègre des principes agiles et adaptés, s'appliquant à tout type de projet (prédictif, itératif ou hybride). Il exige une collaboration étroite entre le chef de projet, l'équipe et les parties prenantes pour assurer que chaque livrable répond non seulement aux spécifications contractuelles, mais crée également de la valeur réelle. Les autres options sont incorrectes car elles réduisent la livraison à des aspects fragmentaires : la logistique seule, l'exclusion du chef de projet, ou une simple clôture administrative, qui ne reflètent pas la vision holistique et orientée-valeur du PMBOK 7.

Le burndown chart est le graphique Agile de référence pour visualiser l'évolution du travail restant au fil du sprint : axe X = jours, axe Y = points ou tâches restants. Une ligne idéale montre la progression attendue ; la ligne réelle révèle si l'équipe est en avance ou en retard. L'histogramme représente des distributions, le diagramme de Pareto analyse les causes d'erreurs (80/20), et le PERT modélise les dépendances de tâches dans les projets complexes.

Réponse : Utiliser un backlog produit priorisé par le Product Owner avec l’équipe pour gérer les changements de manière transparente.

Cycle de vie classique du projet : suit un ordre séquentiel strict où chaque phase prépare la suivante. Le Démarrage autorise le projet, la Planification définit comment le réaliser, l'Exécution produit les livrables, la Surveillance/Contrôle assure la conformité, et la Clôture finalise. Les distracteurs inversent cet ordre logique, rendant impossible une exécution maîtrisée sans plan préalable.

Cette question correspond à l’objectif d’apprentissage FL-3.2.4 (K2) – Comparer et opposer les différents types de revues.
La bonne réponse est d) 1B, 2A, 3C, 4D
● 1B) Correct → Une revue informelle ne suit pas de processus strict.
● 2A) Correct → L’inspection est une revue très structurée avec un modérateur et des
checklists.
● 3C) Correct → Une revue technique implique des experts métier ou techniques pour
examiner un document.
● 4D) Correct → La revue par les pairs est une analyse collaborative des documents.

Cette question correspond à l’objectif d’apprentissage FL-1.4.1 (K2) – Résumer les différentes activités et tâches de test.

La réponse correcte est a) 1A, 2B, 3C, 4D

● 1A (Correct) → Définir les critères d’entrée et de sortie fait partie de l’analyse des tests.
● 2B (Correct) → La conception des tests consiste à élaborer les cas de test à partir
des exigences et spécifications.
● 3C (Correct) → L’implémentation des tests inclut la préparation de l’environnement et des données de test.
● 4D (Correct) → La clôture des tests implique de vérifier l’exécution des tests et d’analyser les résultats.

Cette question correspond à l\'objectif d\'apprentissage FL-5.1.5 (K3) - Appliquer la priorisation des cas de test.

Pour déterminer l\'ordre d\'exécution, nous devons considérer à la fois les dépendances logiques et les priorités.

● TC 101 n\'a pas de dépendance et doit être exécuté en premier
● TC 102 dépend de TC 101 et doit être exécuté en deuxième
● TC 103 dépend de TC 102 et a la priorité la plus élevée (1), donc il doit être exécuté en troisième

● TC 104 et TC 105 dépendent tous deux de TC 103
● a) Faux → TC 105 ne peut être exécuté qu\'après TC 103.
● b) Faux → TC 104 ne peut être exécuté qu\'après TC 103.
● c) Faux → TC 101 doit être exécuté en premier.
● d) Correct→- TC 103 doit être exécuté en troisième position après TC 101 et TC 102.

Cette question correspond à l’objectif d’apprentissage FL-4.4.3 (K2) – Expliquer le test basé
sur des checklists.
● a) Faux → Une checklist ne garantit pas une couverture exhaustive.
● b) Correct → Les checklists servent à structurer le travail et éviter d’oublier des
éléments essentiels.
● c) Faux → Elles ne remplacent pas les tests exploratoires, mais peuvent être
complémentaires.
● d) Faux → Elles ne permettent pas d’automatiser entièrement le test

Cette question correspond à l\'objectif d\'apprentissage FL-5.1.7 (K2) - Résumer les quadrants du test et leurs relations avec les niveaux et les types de tests.

La bonne réponse est b) :

1. Test d\'accessibilité - Orienté métier, critique du produit (C)
2. Test unitaire - Orienté technologie, support à l\'équipe de développement (A)
3. Test d\'acceptation utilisateur - Orienté métier, critique du produit (C)
4. Test de performance - Orienté technologie, critique du produit (D)
● a) Faux → Le test d\'acceptation utilisateur est en C (orienté métier, critique du produit), pas en B.
● b) Correct → Toutes les correspondances sont correctes.
● c) Faux →- Le test d\'accessibilité est en C, pas en D, et le test de performance est en D, pas en B.
● d) Faux → Le test d\'accessibilité est en C, pas en D, et le test unitaire est en A, pas en B.

Cette question correspond à l’objectif d\'apprentissage FL-1.4.5 (K2) – Comparer les rôles impliqués dans les tests.

La bonne réponse est d) 1A, 2B, 3C, 4D
● 1A) : Correct : Le testeur exécute, observe, consigne
● 2B) : Correct : L’analyste métier définit les attentes et exigences
● 3C) : Correct : Le développeur corrige les défauts
● 4D) : Correct : Le responsable planifie, suit, et coordonne

Cette question correspond à l’objectif d’apprentissage FL-5.1.3 (K2) – Comparer et opposer
les critères d\'entrée et les critères de sortie.
La bonne réponse est a) et c)
● a) Correct → L’exécution complète des cas de test prévus (comme ceux de non-régression) est un critère de sortie standard indiquant l’exhaustivité des tests.
● b) Faux → La validation de l’environnement de recette est une préparation au test et relève donc des critères d’entrée.
● c) Correct → Un seuil de couverture des exigences critiques est un indicateur objectif pour déterminer si les tests peuvent être considérés comme suffisants.
● d) Faux → L’approbation du plan de test concerne la préparation des activités de test, donc un critère d’entrée.
● e) Faux → L’outillage opérationnel est une condition préalable au bon déroulement des tests, donc là encore, un critère d’entrée.

Cette question correspond à l\'objectif d\'apprentissage FL-6.1.1 (K2) - Expliquer comment

différents types d\'outils de test soutiennent les tests.

● a) Correct → Cette combinaison associe correctement :
○ La conception des cas de test (1) aux outils de conception et
d\'implémentation de tests (A)
○ L\'exécution automatisée des tests (2) aux outils d\'exécution de tests (B)
○ La gestion des environnements de test (3) aux outils d\'infrastructure de test (D)
○ L\'analyse des résultats de test (4) aux outils de gestion des tests (C)
● b) Faux → Cette combinaison associe incorrectement la conception des cas de test (1) aux outils de gestion des tests (C) et l\'exécution automatisée des tests (2) aux outils de conception et d\'implémentation de tests (A).
● c) Faux → Cette combinaison associe incorrectement l\'exécution automatisée des tests (2) aux outils d\'infrastructure de test (D) et la gestion des environnements de test (3) aux outils d\'exécution de tests (B).
● d) Faux → Cette combinaison associe incorrectement la conception des cas de test (1) aux outils de gestion des tests (C) et la gestion des environnements de test (3)
aux outils de conception et d\'implémentation de tests (A).

Cette question correspond à l’objectif d’apprentissage FL-1.3.1 (K2) – Expliquer les sept principes du test.

Réponse correcte : a) i, ii, iii, v ont une influence significative ; iv non.

● i) Correct → Il est impossible de tester toutes les combinaisons d’entrées, ce qui limite la couverture des tests.
● ii) Correct → Certains défauts peuvent être masqués par d’autres erreurs et ne se manifester que plus tard.
● iii) Correct → Les tests sont conçus selon les spécifications, mais ne couvrent pas tous les scénarios réels.
● iv) Faux → Les tests ne sont pas uniquement axés sur la performance, ils incluent aussi la recherche de défauts.
● v) Correct → Modifier le logiciel peut introduire de nouveaux défauts, nécessitant des tests de régression.

Cette question correspond à FL-1.5.1 (K2) – Donner des exemples de compétences génériques requises pour le test.
● a) Faux → Trop spécifique, concerne plutôt les outils ou automatisation
● b) Correct → La communication claire est une compétence générique clé pour un testeur
● c) Faux → Optimisation du code = compétence de développement
● d) Faux → Réécriture d’exigences n’est pas une tâche standard du testeur

Un appel demandant un mot de passe sous prétexte d’urgence est une attaque de social engineering, exploitant la confiance et la peur.

Legal Hold: A court-mandated directive requiring organizations to preserve all potentially relevant data and communications indefinitely until litigation concludes. This prevents evidence destruction and ensures compliance with discovery obligations. Unlike temporary retention (30 days) or selective deletion, legal holds apply comprehensively to all related materials regardless of employee involvement in the lawsuit.

Phishing red flags: Urgent requests for sensitive information via email are hallmark phishing tactics designed to bypass rational decision-making. Attackers create artificial time pressure to prevent verification. Legitimate organizations never request passwords or credentials via email. Known senders (A) and secure links (B) indicate legitimacy, while password-protected documents (D) suggest security awareness.

Application whitelisting: a security control that permits only pre-approved applications to run on systems. This proactively prevents unauthorized software installation by blocking any executable not on the approved list. Unlike antivirus (reactive detection), encryption (data protection), or Group Policy (general configuration), whitelisting directly controls what can execute, making it the most effective solution for preventing unauthorized installations.

Answer: Reporting phishing attempts or other suspicious activities.
Explanation: Effective security awareness programs must include clear reporting procedures. Encouraging employees to report suspicious activities creates a human sensor network and enables rapid incident response before minor incidents become major breaches.

Denial-of-Service (DoS) / Distributed DoS (DDoS) attacks overwhelm a target system's resources — bandwidth, CPU, memory — to make it unavailable to legitimate users. A DoS comes from one source; a DDoS uses a botnet of compromised systems to generate massive traffic. Types include volumetric (bandwidth flooding), protocol (SYN flood), and application layer (HTTP GET flood). Mitigations include rate limiting, anycast network diffusion, WAF, and DDoS scrubbing services (AWS Shield, Cloudflare).

Answer: Ease of recovery; responsiveness.
Explanation: High availability network design must consider: ease of recovery (how quickly systems can be restored after failure — MTTR) and responsiveness (whether the network maintains adequate performance under load and during partial failures).

Separation of duties: A security principle requiring multiple individuals to authorize or execute critical tasks, preventing fraud and unauthorized actions. This differs from least privilege (limiting individual permissions) and job rotation (changing roles periodically) by specifically mandating shared responsibility for sensitive operations.

Encryption: transforms data into unreadable ciphertext using cryptographic algorithms, ensuring confidentiality even if unauthorized parties gain physical access to cloud storage. Firewalls and antivirus protect network perimeter and systems but don't protect data confidentiality. Patching addresses vulnerabilities but not data exposure at rest.

Human-centric defense: User awareness training is most effective because phishing exploits human psychology rather than technical vulnerabilities. Employees who recognize social engineering tactics can identify and report suspicious emails before clicking malicious links. While antivirus, firewalls, and patches address technical threats, they cannot prevent users from willingly entering credentials or downloading attachments—making education the critical first line of defense.

Azure RBAC (Role-Based Access Control) contrôle qui peut accéder à quelles ressources Azure et avec quels droits. Pour les services de données : un Data Reader peut lire des données mais pas les modifier ; un Storage Blob Data Contributor peut lire et écrire dans Blob Storage ; un Owner gère tout. Dans ADLS Gen2, les ACLs POSIX complètent le RBAC avec des contrôles granulaires au niveau des fichiers et dossiers. Le principe de moindre privilège (Least Privilege) s'applique : donner uniquement les droits nécessaires à chaque rôle.

Niveaux de stockage Blob Azure : Archive offre le coût minimal (0,01$/Go/mois) pour données archivées rarement consultées. Hot (accès fréquent) et Cool (accès occasionnel) sont plus chers. Archive impose délai de récupération (heures) mais économise drastiquement pour long terme.

Azure Data Lake Storage Gen2 est spécifiquement conçu pour stocker des volumes massifs de données dans un système de fichiers hiérarchique optimisé pour les workloads d'analyse big data, offrant scalabilité et performance pour le traitement analytique. Pourquoi les autres réponses sont incorrectes : « Héberger des bases de données relationnelles » décrit Azure SQL Database ou Cosmos DB, pas Data Lake Storage. « Fournir le streaming d'événements » est la fonction d'Azure Event Hubs ou IoT Hub. « Mettre en cache les résultats » correspond à des solutions de cache comme Azure Cache for Redis, non à Data Lake Storage qui est un système de stockage, pas un cache.

Réponse correcte : Dans un schéma en étoile, les tables de faits contiennent les mesures quantifiables (ventes, quantités, revenus) tandis que les tables de dimensions fournissent le contexte descriptif (dates, produits, régions) pour analyser ces mesures. Cette structure permet une analyse efficace des données d'entreprise. Pourquoi les autres réponses sont incorrectes : • Les tables de faits ne stockent pas nécessairement des données historiques uniquement ; elles peuvent contenir des données actuelles aussi. • Les deux types de tables servent principalement en OLAP, bien qu'elles puissent avoir des usages en OLTP. • L'indexation n'est pas une différence définitionnelle entre ces deux types de tables ; les deux peuvent être indexées.

Azure Table Storage utilise un modèle clé-valeur où chaque entité est identifiée par une clé de partition (pour le sharding horizontal) et une clé de ligne (pour l'unicité au sein de la partition). Ce modèle NoSQL permet un stockage flexible et scalable, idéal pour les données semi-structurées. Le modèle relationnel avec clés étrangères concerne les bases de données SQL, le modèle Document JSON est utilisé par Azure Cosmos DB, et le modèle Graphe avec nœuds et arêtes correspond également à Cosmos DB.

Réponse correcte : Une clé étrangère (foreign key) est une colonne dans une table qui référence la clé primaire d'une autre table, créant ainsi une relation entre les deux tables et garantissant l'intégrité référentielle des données. Pourquoi les autres réponses sont incorrectes : • La première option confond la clé étrangère avec un mécanisme de gestion des secrets, ce qui n'a aucun rapport avec les relations entre tables. • La troisième option décrit un chiffrement de clé, pas une clé étrangère. • La quatrième option parle d'une clé composite, qui est un concept différent concernant une clé primaire composée de plusieurs colonnes au sein d'une même table.

La clause WHERE : filtre les lignes d'une table selon des conditions spécifiques AVANT le regroupement. Elle s'applique aux enregistrements individuels. À ne pas confondre avec HAVING (filtre après regroupement), ORDER BY (tri des résultats) ou GROUP BY (agrégation de données).

Réponse : sqlcmd. Explication : sqlcmd est l'utilitaire de ligne de commande pour se connecter et interroger SQL Server et les bases de données Azure SQL. Il supporte l'exécution de requêtes T-SQL, de scripts et de procédures stockées directement depuis la ligne de commande.

Gouvernance centralisée des données : Microsoft Purview est une plateforme de gouvernance unifiée qui crée un catalogue d'entreprise, découvre les données, les classe et applique des politiques de conformité. Contrairement à Azure Policy (gestion des ressources Azure), Azure Monitor (observabilité) ou Power BI (visualisation), Purview se concentre spécifiquement sur la gouvernance et la catalogation des données à l'échelle de l'organisation.

Azure Cosmos DB : base de données NoSQL native du cloud, conçue pour supporter plusieurs modèles de données (documents, clé-valeur, graphe, colonnes). Elle offre une réplication automatique et transparente across régions géographiques avec garanties de latence faible et haute disponibilité via SLA. Contrairement à PostgreSQL (relationnel), Blob Storage (objet) ou SQL Managed Instance (SQL traditionnel), Cosmos DB combine flexibilité multi-modèle et distribution mondiale.

Réponse correcte : Le Ledger d'Extension est un type de ledger dépendant qui hérite automatiquement de tous les mouvements d'un ledger de base, tout en permettant des entrées additionnelles ou d'ajustement. C'est sa caractéristique distinctive dans S/4HANA. Pourquoi les autres réponses sont incorrectes : Un 'ledger non directeur' pour rapports GAAP parallèles décrit les ledgers supplémentaires classiques, non les Ledgers d'Extension. Les Ledgers d'Extension ne sont pas des ledgers externes pour les autorités fiscales, ni ne sont réservés exclusivement à l'amortissement d'actifs — ce sont des fonctionnalités spécialisées différentes.

La Comptabilité Parallèle est une fonctionnalité qui maintient plusieurs ledgers comptables simultanément pour satisfaire différentes normes de reporting (IFRS, normes locales GAAP, etc.) dans un seul système. Cela garantit la conformité réglementaire tout en centralisant les données. Les autres options sont incorrectes : le traitement parallèle de plusieurs factures relève du traitement batch, la clôture simultanée de période concerne les processus de gestion de période, et le partage d'un plan comptable entre clients est un paramètre de configuration standard, pas une fonction de comptabilité parallèle.

Réponse : La clé de date de base définie dans la condition de paiement (souvent la date de facture).
Explication : La condition de paiement détermine la date de base utilisée pour calculer échéance et escomptes.

Le Fractionnement de Document est un mécanisme dans SAP S/4HANA qui distribue automatiquement les lignes de document comptable sur plusieurs dimensions (centre de profit, segment, etc.) pour générer des états financiers complets et conformes. Cela garantit que chaque transaction est enregistrée sur tous les axes analytiques pertinents. Les autres réponses sont incorrectes : la première le confond avec un workflow d'approbation, la troisième concerne l'allocation d'amortissement et non le fractionnement de document, et la quatrième se rapporte à une simple division administrative sans lien avec les dimensions de reporting financier.

Réponse : Les comptes bancaires sont gérés dans Bank Account Management (Fiori) ; Les banques propres sont nécessaires pour les paiements ; Les comptes doivent être assignés aux sociétés et utilisés par F110 ; Des signataires et statuts peuvent être gérés.
Explication : BAM remplace la création classique de comptes bancaires par société et centralise la gouvernance.

Réponse : Domaine d'activité ; secteur d'activité ; centre de profit. Explication : Les domaines d'activité, les secteurs d'activité et les centres de profit sont des unités organisationnelles qui peuvent être attribuées à plusieurs codes sociétés pour le reporting interentreprises. Ils ne sont pas liés à un seul code société, permettant une analyse financière de groupe entre les entités juridiques.

Ordre correct :

1. Créer dans le plan de comptes
2. Étendre au code société
3. Définir OI/Tax Category
4. Affecter Field Status Group
5. Sauvegarder

La création d'un compte G/L dans S/4HANA nécessite d'abord de le définir au niveau du plan de comptes (données communes), puis de l'étendre au niveau du code société avec ses paramètres spécifiques.

Réponse : L'imputation s'effectue dans FI-AA et dans FI-GL en ligne et en temps réel. Explication : SAP S/4HANA utilise une intégration en temps réel entre FI-AA et FI-GL (via le Journal universel). L'amortissement extraordinaire s'impute directement dans la comptabilité des immobilisations et le grand livre simultanément sans nécessiter une exécution de rapprochement séparée.

La société (Company Code) est l'entité juridique autonome pour laquelle une comptabilité complète est établie — elle dispose de son propre plan comptable, exercice fiscal et devise de référence. Le groupe de sociétés (Company) est une entité de consolidation regroupant plusieurs sociétés pour les reportings de groupe (consolidation légale). Dans S/4HANA, une Company Code appartient à exactement un Client (mandant) et peut être rattachée à une Company pour la consolidation. Controlling Area est distinct : il regroupe des Company Codes pour la comptabilité analytique (CO).

Réponse : Classe d'immobilisation ; détermination des comptes. Explication : Le compte de clearing technique peut être défini à deux niveaux : au niveau de la classe d'immobilisation (pour les comptes de clearing spécifiques à la classe) et au niveau de la détermination des comptes (pour une affectation plus généralisée à travers plusieurs classes d'immobilisations).

Le Parlement bicaméral : Le Sénat est l'une des deux chambres du Parlement français, aux côtés de l'Assemblée nationale. Son rôle fondamental est d'examiner et voter les lois en collaboration avec l'Assemblée. Contrairement aux distracteurs, le Sénat ne propose pas seul les lois, ne nomme pas le Président (rôle du Congrès) et ne contrôle pas les juges (pouvoir judiciaire indépendant).

Selon le Code civil, avoir des ascendants français (parents, grands-parents) ou un conjoint français constitue un lien familial facilitant l'accès à la naturalisation, car cela témoigne d'une intégration à la société française. Pour la naturalisation par mariage, le conjoint français doit avoir conservé sa nationalité pendant toute la durée de la vie commune. Avoir des amis français n'est pas un critère légal. Un contrat de travail est un indicateur d'intégration mais pas un avantage familial spécifique.

Pour une naturalisation par mariage, la vie commune doit être continue et effective pendant la durée exigée (4 ans minimum). Une séparation temporaire peut remettre en cause la continuité et conduire au rejet du dossier. L'administration vérifie la réalité de la vie commune via des preuves concrètes : bail commun, factures, attestations. Une séparation de corps ou une procédure de divorce en cours est rédhibitoire.

Naturalisation française : processus juridique accordant la nationalité française à un étranger, lui permettant d'exercer les droits civiques (vote, éligibilité) et politiques tout en acceptant les devoirs du citoyen. Contrairement aux idées reçues, elle ne vise pas l'accès aux allocations ni la double nationalité permanente, mais l'intégration civique complète.

Continuité de la nationalité française : Le conjoint français doit avoir conservé sans interruption sa nationalité française pendant toute la durée de la vie commune. Cette exigence garantit une stabilité juridique et un engagement durable dans la communauté française. Si le conjoint avait perdu ou renoncé à sa nationalité à un moment quelconque, les conditions d'accélération de naturalisation ne s'appliqueraient plus, car elles supposent un lien de nationalité ininterrompu.

Séparation des pouvoirs : La République française repose sur trois pouvoirs distincts pour éviter la concentration du pouvoir. Le pouvoir exécutif (Président, Gouvernement) applique les lois ; le pouvoir législatif (Parlement) les vote ; le pouvoir judiciaire les interprète. Cette répartition garantit l'équilibre démocratique et protège les libertés individuelles.

« Liberté, Égalité, Fraternité » est la devise officielle de la République française, inscrite dans la Constitution. Liberté : droit de chacun de faire ce que les lois permettent, sans nuire à autrui (Déclaration de 1789). Égalité : tous les citoyens sont égaux devant la loi, sans distinction d'origine, de race ou de religion. Fraternité : solidarité entre les membres de la nation, aide aux plus démunis. Cette devise est issue de la Révolution française et officialisée sous la IIIe République.

La Loire est le plus long fleuve de France avec environ 1 006 km. Elle prend sa source au mont Gerbier-de-Jonc (Ardèche) et se jette dans l'Atlantique à Saint-Nazaire. Elle traverse les régions Auvergne-Rhône-Alpes, Centre-Val de Loire, Pays de la Loire. La Seine (775 km) traverse Paris. Le Rhône (812 km en France) est le plus important en débit. La Garonne (575 km) passe par Toulouse et Bordeaux.

Liberté, Égalité, Fraternité est la devise officielle de la République française, inscrite dans la Constitution de 1958. Adoptée lors de la Révolution française, elle symbolise les trois valeurs fondatrices : la liberté individuelle, l'égalité de tous devant la loi, et la fraternité comme lien de solidarité entre les citoyens. Travail, Famille, Patrie était la devise du régime de Vichy (1940-1944) et non de la République.

Le coq gaulois est un symbole non officiel mais traditionnel de la France, hérité d'un jeu de mots latin entre « Gallus » (coq) et « Galli » (les Gaulois). Il incarne le courage, la vigilance et la fierté. On le retrouve sur les grilles de l'Élysée, les équipements sportifs des équipes de France (maillots, emblèmes), les pièces de monnaie historiques. Il est distinct du symbole officiel (Marianne, la devise, le drapeau tricolore) mais fait partie de l'imaginaire national français depuis le Moyen Âge.

Réponse : L\'utilisateur ou son représentant autorisé.
Explication : En ITIL 4, ce sont les utilisateurs (ou leurs représentants autorisés) qui soumettent des demandes de services, car ils sont les consommateurs directs des services fournis.

Réponse : Offre de service.
Explication : Une offre de service est un ensemble de produits et services proposé à un consommateur. Le package (ordinateur + logiciels + licences + support) constitue une offre de service complète et packagée.

Réponse : Commencer là où vous êtes.
Explication : Le principe \'Commencer là où vous êtes\' recommande d\'évaluer l\'existant avant de décider ce qui peut être réutilisé, plutôt que de repartir de zéro sans connaître ce qui fonctionne déjà.

Réponse : Planifier.
Explication : L\'activité \'Planifier\' de la chaîne de valeur veille à ce que toutes les parties comprennent la vision, le statut actuel et les orientations de l\'organisation pour tous les produits et services.

Réponse : Ajouter, modifier ou supprimer tout ce qui pourrait avoir un effet direct ou indirect sur les services.
Explication : En ITIL 4, un changement est l\'ajout, la modification ou la suppression de tout élément pouvant avoir un effet direct ou indirect sur les services, qu\'il soit matériel, logiciel ou organisationnel.

Réponse : Comprendre comment chaque élément contribue à la création de valeur.
Explication : Le principe \'Opter pour la simplicité\' demande de comprendre comment chaque élément contribue à la valeur, en éliminant ce qui n\'en apporte pas et en évitant la complexité inutile.

Réponse : Chaque activité de la chaîne de valeur contribue à la chaîne de valeur en transformant des entrées spécifiques en livrables.
Explication : Chaque activité de la chaîne de valeur transforme des entrées en livrables spécifiques. Les activités ne sont pas séquentielles mais s\'interconnectent selon les besoins pour créer de la valeur.

Réponse : La gestion des mises en production.
Explication : La gestion des mises en production a pour but de mettre à disposition des services et fonctionnalités nouveaux ou modifiés, en coordonnant le packaging et le déploiement des releases.

Réponse : Le centre de services.
Explication : Le centre de services constitue le point de contact unique (SPOC) entre le fournisseur de services et les utilisateurs pour toutes les communications, demandes et incidents.

Réponse : Assurance qu\'un produit ou service répondra aux exigences convenues.
Explication : La garantie est l\'assurance qu\'un produit ou service répondra aux exigences convenues. Elle couvre la disponibilité, la capacité, la continuité et la sécurité du service fourni.

Microsoft 365 Apps propose différents canaux de mise à jour :

1. Current Channel (Canal actuel)

   • Reçoit les dernières fonctionnalités, correctifs et mises à jour de sécurité dès qu’elles sont publiées.

   • Idéal pour les utilisateurs qui veulent accéder rapidement aux nouveautés.

2. Monthly Enterprise Channel (Canal mensuel pour entreprises)

   • Regroupe les nouvelles fonctionnalités et correctifs dans une seule mise à jour mensuelle.

   • Fournit un rythme plus prévisible pour les équipes informatiques, tout en maintenant les correctifs de sécurité à jour.

• Dynamics 365 Sales est une solution SaaS conçue pour :

  • Gérer les prospects et clients

  • Suivre les opportunités commerciales

  • Centraliser les interactions avec les clients

• Elle ne nécessite pas de déploiement d’infrastructure, tout est géré dans le cloud par Microsoft.

  🎯 À retenir pour l’examen MS-900 :

  • Dynamics 365 Sales = SaaS pour la gestion commerciale complète

  • Azure SQL ou Functions = nécessitent une application personnalisée pour gérer les ventes.

  • Power BI = visualisation des données, pas gestion opérationnelle des ventes.

• Les labels de sensibilité doivent être publiés via une stratégie de labels et les utilisateurs doivent être inclus dans la portée pour que les labels apparaissent dans Office Online.

• Si la stratégie n’inclut pas PowerPoint Online ou si l’utilisateur n’est pas dans la portée, les labels n’apparaîtront pas.

• Les autres options ne sont pas pertinentes pour PowerPoint Online :

  • B : Azure RMS connector concerne les scénarios hybrides et on-premises.

  • C : La synchronisation des apps Purview sur le poste local n’affecte pas Office Online.

  • D : Le client AIP Unified Labeling est pour les applications desktop, pas pour Office Online.

• PaaS fournit un environnement cloud prêt à l’emploi pour développer, exécuter et gérer des applications ou traitements, sans gérer l’infrastructure sous-jacente (VM, stockage, réseau).

• Dans ce scénario :

  • L’équipe peut créer et exécuter des jobs big-data

  • Tout l’environnement est géré par le fournisseur (ex. Azure Synapse Analytics, Azure Databricks)
    
    

    🎯 À retenir pour l’examen MS-900 :

    • PaaS = plateforme gérée pour créer et exécuter des applications ou jobs sans gérer l’infrastructure

    • IaaS = gérer l’infrastructure

    • SaaS = utiliser l’application

    • Hybrid = combinaison cloud et on-prem

• onditional Access + Intune compliance policies permet de :

  • Vérifier que les appareils respectent les règles de sécurité avant de leur donner accès aux services Microsoft 365 (Exchange, SharePoint, Teams, etc.)

• Cette fonctionnalité nécessite Microsoft 365 (E3/E5) avec Azure AD Premium P1, et n’est pas disponible dans un Office 365 standalone.

• Les autres options ne gèrent pas le contrôle d’accès basé sur la conformité des appareils :

  • A : DLP protège les données mais ne contrôle pas l’accès selon la conformité des appareils.

  • C : Gestion de base des apps mobiles ne couvre pas l’accès aux services cloud.

  • D : Multi-Geo gère la localisation des données, pas la conformité des appareils.

• Intune device compliance policies permettent de s’assurer que seuls les appareils conformes (sécurisés, à jour, chiffrés) peuvent accéder aux données.

• Azure AD Conditional Access applique des règles basées sur l’identité et l’état de l’appareil pour contrôler l’accès aux services Microsoft 365.

• Ensemble, ces fonctionnalités assurent un accès sécurisé aux dossiers patients tout en respectant les normes de conformité.

Les autres options ne couvrent pas à la fois sécurité des appareils et contrôle d’accès :

• B : Azure Information Protection protège les fichiers mais ne contrôle pas l’accès en fonction de l’appareil.

• C : Stream et SharePoint versioning gèrent le contenu mais pas la sécurité des accès.

• D : DLP et Teams Shifts protègent certains contenus ou planifications, pas l’accès sécurisé aux dossiers patients.

• Pour pouvoir réclamer un crédit SLA, il est essentiel de documenter immédiatement toute interruption et de la comparer aux seuils définis dans le SLA.

• Sans preuves précises et horodatées, Microsoft peut rejeter la demande, même si le service a été interrompu.

• Les autres options ne résolvent pas le problème de suivi et documentation :

  • Automatiser les crédits (B) n’est pas possible.

  • Migrer vers un autre tenant (C) est excessif et non nécessaire.

  • Configurer des alertes (D) aide à la notification mais ne remplace pas la documentation des interruptions.

Dans Microsoft Entra ID (Azure AD) :

• Cloud-only identity : L’utilisateur est créé directement dans Azure AD. Aucun lien avec l’AD local, mot de passe géré dans le cloud.

• Synced identity (Identité synchronisée) :

  • Les comptes utilisateurs et les mots de passe (hashs) sont synchronisés depuis Active Directory on-premises via Azure AD Connect.

  • L’authentification se fait dans le cloud, mais les identités sont gérées depuis l’AD local.

• Federated identity (Identité fédérée) :

  • Utilise des services comme AD FS pour l’authentification directe auprès de l’AD local. Les mots de passe ne sont pas synchronisés vers le cloud.

• On-prem delegated identity : Terme moins courant, utilisé pour certaines configurations hybrides spécifiques, mais pas standard pour la synchronisation cloud.

👉 La synchronisation des comptes et des mots de passe via Azure AD Connect correspond donc à une identité synchronisée (Synced identity).

Le programme Cloud Solution Provider (CSP) permet aux organisations :

• D’acheter des licences Microsoft 365 via un partenaire Microsoft, qui gère la facturation et le support.

• De modifier le nombre de licences chaque mois (ajouter ou supprimer des utilisateurs) sans engagement annuel rigide.

• De bénéficier d’un accompagnement personnalisé via le partenaire.

Pour protéger l’accès aux données d’entreprise sur les appareils mobiles :

1. Intune App Protection Policies (politiques de protection d’application) :

   • Permettent de protéger les applications professionnelles (ex : Outlook, Teams) même sur des appareils personnels.

   • Restreignent l’accès aux applications si l’appareil ne respecte pas les règles de conformité (ex : pas de chiffrement, jailbreak détecté).

2. Conditional Access (Accès conditionnel) :

   • Applique des conditions pour accéder aux ressources cloud (ex : Exchange Online).

   • Peut bloquer l’accès aux e-mails si l’appareil est non conforme ou compromis selon les signaux d’Intune.

✅ Ensemble, ces deux fonctionnalités permettent de sécuriser l’accès aux e-mails sur mobiles sans recourir à des solutions tierces.

• Zero Trust Remote Access exige :

  • Aucun port entrant exposé sur Internet

  • Accès sécurisé aux applications internes uniquement après authentification et autorisation contextuelles

• Microsoft Entra Private Access :

  • Fournit un accès Zero Trust aux applications internes

  • Les employés se connectent via une passerelle sécurisée, sans exposer de ports publics

  • Contrôle l’accès en fonction de l’identité, du rôle et du contexte

• C’est la solution native Microsoft pour répondre à cette exigence Zero Trust.

Azure Update Manager (anciennement Azure Automation Update Management) permet :

• La gestion centralisée des mises à jour pour :

  • Machines virtuelles Azure

  • Serveurs on-premises

  • Environnements multi-cloud (via Azure Arc)

• Le suivi de la conformité des correctifs

• La génération de rapports détaillés

• L’intégration avec Log Analytics pour :

  • Requêtes avancées

  • Tableaux de bord personnalisés

  • Export des données pour audit

👉 C’est une solution native conçue spécifiquement pour la gestion et le reporting des mises à jour dans des environnements hybrides.

Cela correspond exactement au besoin :
✔ Hybride
✔ État des patches
✔ Rapports audit-ready

• Air-gapped backups : sauvegardes isolées du réseau principal pour empêcher toute attaque ransomware ou accès malveillant

• Recovery Services Vault dans une souscription séparée :

  • Sépare physiquement la gestion des backups de l’environnement de production

  • Permet RBAC strict et contrôle d’accès granulaire

  • Empêche les attaques réseau ou les utilisateurs compromis dans la souscription principale d’atteindre les sauvegardes

• Approche recommandée par Microsoft pour Protection contre ransomware et menaces internes sur les données critiques opérationnelles

• Problème : les applications legacy utilisent souvent des protocoles d’authentification non sécurisés (ex : IMAP, POP3, SMTP Auth)

• Ces protocoles contournent Conditional Access, ce qui crée une surface d’attaque importante

• Solution Microsoft recommandée pour Zero Trust :

  • Bloquer la legacy authentication dans Conditional Access

  • Appliquer MFA et autres contrôles modernes uniquement sur les applications et utilisateurs qui supportent les protocoles modernes

  • Réduire considérablement le risque de compromission des identités

• Prompt injection : manipulation du modèle via des entrées malveillantes → peut révéler des données sensibles ou modifier le comportement attendu.

• Data exfiltration : sortie involontaire de données sensibles dans les réponses du modèle.

• Microsoft recommande pour Azure OpenAI :

  • Placer API Management (APIM) devant le service OpenAI

  • Valider toutes les entrées (ex : rejeter caractères, commandes ou prompts suspects)

  • Filtrer et contrôler la sortie pour éviter l’exfiltration de données sensibles

• Cela fournit une barrière de sécurité en amont et en aval du modèle et suit la baseline Zero Trust et Microsoft Security.

• Business Impact Analysis (BIA) classe les risques en fonction de :

  • L’impact financier, réglementaire et opérationnel

  • La criticité des actifs pour le fonctionnement de l’organisation

• Dans cet exemple :

  • La divulgation des EHR entraîne des amendes HIPAA jusqu’à 2M$ → impact financier élevé et conformité critique

  • Une simple interruption n’a pas le même impact → faible perte opérationnelle

• Donc, pour la menace de divulgation, l’impact est élevé (High Business Impact)

• Fusion detection :

  • Fonctionnalité native de Sentinel pour corréler automatiquement les alertes provenant de différentes sources

  • Regroupe des alertes apparemment indépendantes mais liées à un même incident ou attaquant

  • Réduit le bruit (alert fatigue) et facilite le triage rapide par les analystes SOC

• Avantages :

  • Détecte des attaques avancées persistantes (APT) et chaînes d’attaques multi-sources

  • Crée des incidents uniques regroupant plusieurs alertes, plutôt que d’avoir des centaines d’alertes isolées

• Microsoft Entra Internet Access (EIA) : solution SSE qui fournit :

  • Filtrage d’accès Internet

  • Protection contre les applications non approuvées

  • Application des politiques d’usage acceptable

• Intégration avec Microsoft Defender for Cloud Apps :

  • Permet de détecter et contrôler l’usage des applications SaaS

  • Active les politiques Conditional Access pour :

    • Bloquer les connexions à des applications non sanctionnées

    • Appliquer des restrictions ou des alertes pour les applications approuvées

  • Assure visibilité, contrôle et gouvernance centralisée

• C’est la meilleure pratique Microsoft SSE pour sécuriser l’accès SaaS et Internet.

Pour respecter PCI DSS (chiffrement des données au repos et en transit) :

• Azure Policy permet de :

  • Définir des règles obligatoires pour le chiffrement au repos (ex. Storage Service Encryption, SQL TDE)

  • Définir des règles pour le chiffrement en transit (ex. TLS obligatoire pour les services)

  • Appliquer ces règles à toutes les ressources Azure via des initiatives intégrées ou personnalisées

  • Auditer la conformité et générer des rapports

• Initiatives intégrées : Microsoft propose des initiatives prêtes à l’emploi pour le chiffrement et la sécurité des données, alignées avec PCI DSS, NIST et autres standards.

• Microsoft indique officiellement que pour un RPO très court sur Blob Storage, il faut utiliser Azure Backup avec des snapshots fréquents (option D)

• Continuous backup est utile mais dans certains contextes / préversions, et n’est pas la configuration par défaut pour répondre aux SLA stricts d’entreprise.

Storage Admin accorde le contrôle complet des buckets ET des objets, ce qui est nécessaire pour gérer buckets et fichiers. Storage Object Admin ne permet pas de gérer les buckets eux-mêmes. Project Editor donne trop de permissions au-delà de Cloud Storage.

La commande gsutil rsync synchronise automatiquement les nouveaux fichiers entre le stockage local et Cloud Storage. Planifiée comme cron job, c'est la solution la plus simple pour automatiser l'upload des nouvelles images médicales.

La section IAM dans la console GCP affiche tous les membres (utilisateurs, groupes, comptes de service) et leurs rôles attribués dans le projet. gcloud iam roles list affiche les rôles disponibles, pas les attributions. gcloud iam service-accounts list ne montre que les comptes de service.

L'agent Cloud Logging collecte les journaux applicatifs écrits sur le disque et les envoie vers Cloud Logging. Sans l'agent, les journaux locaux ne sont pas visibles dans Cloud Logging. Une fois installé, les journaux peuvent être consultés et analysés depuis la console.

Pour du point-in-time recovery avec Cloud SQL MySQL, il faut activer la journalisation binaire (binary logging) qui enregistre toutes les modifications de la base de données. Cloud Spanner est surdimensionné et trop coûteux pour un petit ensemble de données local.

La commande gcloud auth activate-service-account --key-file=chemin/vers/clé.json authentifie gcloud avec le compte de service. Toutes les commandes gcloud ultérieures s'exécutent sous l'identité de ce compte de service.

Les comptes G Suite (Workspace) sont directement utilisables comme identités GCP. Il suffit d'accorder les rôles IAM en utilisant l'adresse email G Suite des utilisateurs — aucune conversion ou configuration supplémentaire n'est nécessaire.

Attribuer le rôle BigQuery User à un groupe Google permet à tous les membres d'exécuter des requêtes SQL directement sur BigQuery. C'est la bonne pratique : groupes pour la gestion facilitée, rôle minimal pour les requêtes.

Les bonnes pratiques Google recommandent d'utiliser des groupes plutôt que des comptes individuels et des rôles prédéfinis plutôt que des rôles personnalisés quand ils répondent au besoin. logging.viewer + bigQuery.dataViewer couvrent exactement les besoins d'audit.

La cause d'échec est généralement un conflit de noms entre les instances et les disques persistants existants. Créer un nouveau template valide et supprimer les disques conflictuels résout le problème sans over-engineering supplémentaire.

The Scrum Master's role is to coach the team on Scrum principles rather than dictate decisions. The Daily Scrum's purpose is for the Development Team to synchronize work and plan the day—not to report status to the Product Owner. By facilitating understanding of the event's true purpose, Steven empowers the team to self-organize the solution, embodying servant-leadership and transparency.

The Development Team is responsible for all estimates in Scrum. The Scrum Master should not dictate the format (Story Points vs. other relative units) or sequence—only that the Development Team owns the estimation process. This protects team autonomy and accountability.

The Scrum Master coordinates by removing impediments and facilitating inspection and adaptation, not through direct task assignment or conflict escalation to management. This servant-leadership approach enables teams to self-organize and solve problems. The Scrum Master coaches teams on dependencies and collaboration rather than commanding coordination, respecting Scrum's self-organizing values.

Creating Product Backlog items for security concerns and/or adding security to the Definition of Done ensures security is transparent and continuously addressed throughout development, reflecting Scrum's empirical process. This approach integrates security into regular work rather than isolating it. Separate security sprints, external delegation, or waiting for specialists violate the principle of transparency and shared accountability within the Scrum Team.

The Development Team ignored a new member's ideas and viewpoints, violating three Scrum Values: Respect (valuing individuals), Openness (welcoming different perspectives), and Courage (creating psychological safety to speak up). Commitment and Focus relate to the team's dedication to work, not interpersonal inclusion. Transparency concerns information visibility, not team dynamics.

Scrum is a framework, not a methodology or defined process. It provides roles, events, and artifacts but doesn't prescribe a single software development process. This aligns with Scrum's purpose: addressing complexity in unpredictable environments through empiricism rather than adherence to predefined procedures.

All three factors impact Sprint outcomes. The Scrum Guide emphasizes that Sprint results depend on team composition, skills, working relationships, technology complexity, and requirement clarity. These are interdependent variables that collectively determine what a team can accomplish in a given Sprint.

The Scrum Master should teach teams to self-organize with the skills and competencies needed to create integrated Increments independently. The Scrum Master doesn't coordinate work directly; rather, they facilitate conditions for teams to coordinate themselves. Options A, C, and D inappropriately centralize coordination or create artificial synchronization, violating Scrum's self-organization principle.

Correct answers: Options 2 and 4. Option 2 correctly explains that time-boxes empower those closest to problems to make best decisions within constraints—a core self-organization principle. Option 4 correctly shows time-boxes align focus and shared understanding across the team. Option 1 confuses commitment with enforcement, and Option 3 misrepresents time-boxing's purpose in forecasting planning.

All of the above. Trust forms the foundation of all five Scrum values: Respect (trust in team members' capabilities), Courage (trust to take risks), Commitment (trust in goals), Openness (trust to communicate honestly), and Focus (trust in priorities). Without trust, none of these values can flourish.

Réponse : Créer une estimation basée sur la technique d\'analyse de points de fonction et l\'analyse de points de test.
Explication : La réponse A est correcte car l\'analyse de points de fonction combinée à l\'analyse de points de test produit une estimation précoce basée sur la taille, spécifique aux tests, indépendante de la disponibilité du code source. L\'APF fournit une métrique de taille fonctionnelle, l\'APT traduit cette taille en effort de test en appliquant les facteurs de testabilité et de qualité.

Réponse : En fournissant un atelier sur les techniques de conception de tests.
Explication : Un atelier sur les techniques de conception de tests remédie directement à la faible efficacité de détection des défauts en dotant les testeurs de méthodes systématiques et répétables pour dériver des cas de test de meilleure qualité. Les techniques pratiques (partitionnement des équivalences, analyse des valeurs limites, tables de décision, transitions d\'état, techniques d\'appairage) améliorent la couverture et augmentent la probabilité de détection des défauts.

Réponse : La qualité de l\'estimation du développement peut être médiocre. / Utiliser le même pourcentage chaque fois ne tient pas compte du niveau de risque de l\'application à tester. / La maturité de l\'organisation, par exemple la qualité de la base de test, la qualité des tests de développement, la gestion de configuration, la disponibilité des outils de test, influencent également l\'effort requis pour le test..
Explication : Les réponses A, D et E désignent des sources distinctes de variance qu\'un simple pourcentage du développement ne peut pas capturer. A: les estimations de développement peuvent être inexactes, propageant l\'erreur d\'estimation. D: un pourcentage fixe ignore le risque spécifique, la criticité métier et les profils d\'impact des défauts. E: la maturité organisationnelle (qualité de la base de test, tests unitaires du développement, gestion de configuration, outils disponibles) influence directement l\'effort de test.

Réponse : Une approche des tests de régression.
Explication : Le plan directeur de test est un document stratégique de haut niveau qui définit l\'approche globale, la portée, les objectifs et les risques. L\'approche des tests de régression est une décision stratégique appropriée à couvrir en détail, contrairement aux détails tactiques comme les valeurs limites ou l\'organisation des cas de test.

Réponse : TMMi ne peut être utilisé qu\'avec le modèle V traditionnel, tandis que TPI peut être utilisé avec tous les types de cycles de vie logiciels..
Explication : D est incorrect car TMMi n\'est pas limité au modèle V ; il est indépendant du cycle de vie et applicable aux modèles V, itératifs et agiles. TPI l\'est aussi, contredisant l\'affirmation d\'une dichotomie entre les deux approches.

Réponse : Clôture du projet de test.
Explication : D est correct car la phase de clôture du projet de test produit le rapport de synthèse formelle, les artefacts de retours d\'expérience et les métriques consolidées qui constituent les principales entrées utilisées pour piloter et prioriser l\'amélioration du processus de test.

Réponse : Portabilité.
Explication : C est correct car la portabilité est un attribut non-fonctionnel de faible priorité pour un système de surveillance médicale critique pour la sécurité, normalement lié à des piles matériel/système d\'exploitation certifiées. La disponibilité, la sécurité et la fiabilité ont un impact direct sur le risque patient et les preuves réglementaires.

Réponse : Pourcentage des exigences métier exercées.
Explication : La mesure la plus appropriée de couverture de test pour un rapport de progression métier hebdomadaire est le pourcentage des exigences métier exercées. Cette métrique s\'aligne directement avec les priorités métier : valider que le logiciel remplit son objectif et fournit une valeur tangible aux parties prenantes.

Réponse : Les développeurs perdent le sens des responsabilités et les testeurs indépendants peuvent devenir un goulot d\'étranglement..
Explication : Le test indépendant sépare la vérification du développement, ce qui peut diminuer le sens de la responsabilité des développeurs tandis que la coordination des tests et le triage des incidents se concentrent dans une équipe distincte qui peut devenir un goulot d\'étranglement processus.

Réponse : Organiser une réunion avec la direction générale pour qu\'elle aborde l\'importance d\'une bonne qualité de test pour ce projet.
Explication : D est correct car l\'appui visible de la direction générale élève la priorité organisationnelle des tests, fournit une reconnaissance et supprime les obstacles systémiques. Cela augmente la signification de la tâche et aligne l\'effort individuel avec les objectifs organisationnels, motivant durablement l\'équipe.

A. The coordinator agent receives the web search agent's output and includes relevant findings in the prompt when invoking the document analysis agent. Correct. This follows the standard orchestration pattern where the coordinator manages all data flow, explicitly passing outputs between subagents. B. The agents communicate through an event-driven message queue, with the document analysis agent subscribing to web search completion events. Incorrect. This introduces unnecessary infrastructure complexity and is not the typical agent orchestration model. C. The web search agent directly invokes the document analysis agent, using the discovered sources as parameters. Incorrect. Subagents should not invoke each other directly; this breaks centralized control and observability. D. Both agents access a shared memory store where the web search agent writes findings and the document analysis agent reads them. Incorrect. While possible in advanced systems, this is not the standard or simplest approach; it adds complexity without clear necessity in typical pipelines.

A. Enable the document analysis subagent to spawn its own specialized subagents dynamically when it encounters cases with many citations. Incorrect. This decentralizes orchestration and makes the system harder to monitor and debug. The coordinator loses visibility into dynamically spawned agents. B. Implement a message queue where precedent analysis tasks are processed asynchronously by a pool of worker agents. Incorrect. While this improves scalability, it introduces infrastructure complexity and reduces transparency for debugging at the coordinator level. C. Create a recursive agent hierarchy where analysis agents subdivide work among child agents until reaching single-precedent granularity. Incorrect. This further complicates the architecture and makes tracing execution paths difficult, reducing observability and control. D. Have the coordinator spawn parallel document analysis subagents, each handling a subset of precedents, then aggregate results before synthesis. Correct. This enables parallel processing to reduce latency while keeping orchestration centralized. The coordinator retains full visibility, making monitoring and debugging easier.

A. Implement semantic deduplication to identify and remove redundant information across the accumulated RAG results and conversation turns Incorrect. This reduces redundancy but doesn't solve the core issue of unbounded accumulation of RAG context. B. Implement a sliding window for RAG results from the last 2­3 queries while preserving conversation history Correct. This directly addresses context crowding by limiting RAG growth while keeping conversation continuity intact. C. Shift context budget to favor RAG results while reducing conversation history allocation Incorrect. This worsens coherence by sacrificing conversation context. D. Compress all RAG results into a consolidated summary document that updates incrementally after each retrieval Incorrect. This can introduce information loss and summary drift, especially across many turns.

A. Create separate search products and fetch more results tools for pagination. Incorrect. This exposes pagination mechanics to the agent, increasing complexity and coupling tool usage with control flow. B. Implement server-side relevance ranking and return only the top 50 most relevant items. Incorrect. While this reduces latency, it removes access to the full result set, limiting flexibility when more results are actually needed. C. Add a max pages parameter (default: 2) that controls how many pages are fetched internally. Incorrect. This is an improvement over fetching everything, but it still hides pagination control inside the tool and may fetch unnecessary data. D. Return the first page with total match count and cursor for additional pages. Correct. This enables lazy loading and explicit control, allowing the agent to fetch more results only when needed-- balancing performance and completeness.

B. The order details are added to the conversation and the model reasons about which action to take. Correct. In an agentic loop, tool results (like "purchased 45 days ago") are fed back into the model's context, and the model re-evaluates the situation dynamically. It then decides whether to proceed with process_refund, escalate to a human, or take another action based on policy and the updated information. Why the others are not correct: A. Fixed tool sequence planned at the start Incorrect Agentic systems are not static workflows; they adapt after each observation. C. Pre-configured decision tree Incorrect This is rule-based automation, not LLM-driven reasoning. D. Orchestration layer automatically routes next tool call Incorrect That removes the model's reasoning role and turns it into deterministic routing.

A. Claude's memory retention is limited to two conversational turns by default, requiring explicit configuration to extend it. Incorrect. There is no fixed "two-turn memory limit" like this; context is determined by what the application sends, not a built-in short memory window. B. The prompt lacks instructions telling Claude to remember information across multiple exchanges. Incorrect. System prompts don't control memory persistence. The model does not "forget" within context unless information is missing from input. C. The verification tool is clearing the agent's internal state after each successful validation step. Incorrect. Tools do not automatically reset conversational context unless explicitly designed to do so--and that would be an application-level bug, not the most likely general cause. D. The conversation history isn't being passed in subsequent API requests. Correct. This is the most likely cause. The model is stateless, so if prior messages aren't included in each request, it behaves as if earlier verification steps never happened--leading to repeated questions like asking for the name again.

A. Add a user_acknowledged: boolean parameter that must be set true, with instructions for the agent to only set it after the user explicitly confirms they reviewed the details Incorrect. This relies on agent discipline and is easy to bypass or mis-handle; it doesn't guarantee users actually see or understand key details. B. Implement a 60-second hold before execution completes, allowing users time to review pending allocations and cancel if needed Incorrect. Delays alone don't improve understanding; they only slow execution and may frustrate users without ensuring informed approval. C. Add a detail_level parameter with options "minimal" or "comprehensive" that controls how much context the agent presents in confirmations Incorrect. This improves formatting flexibility but does not ensure critical cost and impact information is consistently surfaced before approval. D. Return structured data including cost estimate, target project, resource specifications, and impact summary in the tool response Correct. This ensures that every allocation includes explicit, structured, reviewable details, reducing uninformed approvals and enabling users to understand cost and impact before proceeding.

A. Your system prompt needs explicit instructions telling Claude to remember information from earlier turns. Incorrect. Instructions alone don't give the model memory--context must be provided with each request. B. You're not including prior messages in each API request--the stateless API doesn't retain conversation history. Correct. Claude is stateless. If earlier messages aren't passed in the request, it has no awareness of prior vocabulary. C. You need to enable conversation persistence by passing a session ID parameter with each API call. Incorrect. There's no required session ID--memory is handled by including past messages. D. The model's context window has filled up, causing earlier conversation content to be dropped. Incorrect. This would only happen in very long conversations, not typical early testing scenarios.

A. Create a new "Focus" playlist with curated tracks and notify the user it's ready. Incorrect. This assumes intent and may do the wrong action, frustrating users. B. Ask one clarifying question about action type: play now or configure for later Correct. This minimizes friction while resolving ambiguity, enabling the assistant to take the right action quickly. C. Play popular focus tracks immediately and let the user redirect if needed Incorrect. Acts prematurely and may not match user intent. D. Start preference configuration by asking about genres, tempo, and artists Incorrect. Too heavy upfront--adds unnecessary friction before confirming intent.

A. In the first assistant message, instructing Claude to follow these guidelines going forward Incorrect. Assistant messages don't reliably control future behavior and can be overridden by later context. B. Prepended to each user message before sending to the API Incorrect. User messages carry less authority than system-level instructions and are less reliable for enforcing behavior. C. In the system prompt Correct. The system prompt is the highest-priority instruction layer, making it the most reliable place to enforce consistent tone, reasoning style, and questioning behavior. D. In environmental variables that your application passes to the API client Incorrect. Environment variables are not part of the model's context and have no effect on behavior unless explicitly included in the prompt.