Ne découvrez pas l'examen
le jour J

Réponse : Maîtrise du cloud. Explication : La perspective des personnes du AWS CAF se concentre sur la gestion du changement organisationnel. La maîtrise du cloud — comprendre les concepts, les avantages et les modes de fonctionnement du cloud — est une capacité fondamentale de la perspective des personnes.

Réponse : AWS CloudTrail.
Explication : AWS CloudTrail fournit l’audit des actions et identifie les utilisateurs ayant pris des mesures sur les ressources AWS.

Réponse : Groupes de sécurité / Network ACLs.
Explication : Les groupes de sécurité et les listes de contrôle d’accès réseau (NACL) filtrent le trafic indésirable et renforcent la sécurité des instances EC2.

Réponse : Automatiser autant que possible pour faciliter l’expérimentation architecturale.
Explication : L’automatisation permet de tester et déployer rapidement, réduisant les erreurs humaines et favorisant l’innovation.

Réponse : A) Configurer le pare-feu du groupe de sécurité ; B) Classer les actifs de l'entreprise dans le AWS Cloud. Selon le modèle de responsabilité partagée, les clients sont responsables de la sécurité DANS le cloud, incluant la configuration des contrôles réseau (groupes de sécurité), la classification des données sensibles, la gestion des identités et les autorisations, et la sécurité des applications.

Réponses : AWS Cost Explorer et AWS Compute Optimizer. AWS Cost Explorer analyse les modèles d'utilisation et de dépenses historiques pour identifier les instances sous-utilisées. AWS Compute Optimizer utilise l'apprentissage automatique pour analyser les métriques d'utilisation EC2 et recommander les types et tailles d'instances optimaux.

Réponse : Amazon RDS. Explication : Amazon RDS (Relational Database Service) est un service géré qui prend en charge plusieurs moteurs de base de données, y compris PostgreSQL. Il gère l'approvisionnement, la correction, la sauvegarde, la récupération et le basculement, en prenant en charge les charges de travail OLTP.

Réponse : AWS Trusted Advisor.
Explication : AWS Trusted Advisor analyse l’environnement et recommande des optimisations pour la sécurité, la performance, la résilience et les coûts.

Réponse : Réduction des coûts variables par rapport aux coûts fixes. Explication : Les économies d'échelle dans le cloud computing signifient qu'AWS peut agréger la demande de millions de clients et transmettre les économies d'efficacité aux clients sous forme de tarification variable inférieure (à l'usage) par rapport aux coûts d'infrastructure fixes sur site.

GuardDuty : service de détection de menaces managé qui utilise le machine learning pour analyser les événements de sécurité. Il examine CloudTrail, VPC Flow Logs et DNS logs sans configuration requise.

Prompt engineering : c'est la technique qui contrôle directement le style, la longueur et la langue des réponses sans modifier le modèle. Une instruction explicite ("Réponds en 2 phrases, en français") guide la génération. À l'inverse, la température affecte la créativité (non la langue), Top-K modifie la diversité lexicale, et la taille du FM change le modèle entier.

Data Drift et Pipeline de Réentraînement : le data drift (décalage des données en production) est la cause principale de dégradation. Analyser ce décalage permet d'identifier où le modèle échoue, puis automatiser le réentraînement garantit une adaptation continue. Augmenter les données d'entraînement original (sans comprendre le drift) ou changer le taux d'apprentissage ne résout pas le problème fondamental de distribution différente en production.

Évaluation humaine contextuelle : combiner les retours directs des employés avec des prompts personnalisés par groupe permet d'identifier le style communicationnel préféré, contrairement aux classements publics (génériques) ou à la latence (métrique technique, non fonctionnelle). Les prompts par défaut masquent les variations de style que seule l'évaluation empirique révèle.

Métrique d'erreur vs Classification : MSE (Mean Squared Error) mesure la distance numérique entre valeurs prédites et réelles, idéale pour la régression. En classification d'images, les étiquettes sont catégoriques (chat/chien), pas numériques continues. Les métriques appropriées sont Accuracy, Precision, Recall ou F1-score qui évaluent la correctness des prédictions catégoriques.

Un modèle de fondation est un large modèle de machine learning pré-entraîné sur des quantités massives de données (texte, images, code, etc.) qui peut être adapté à de nombreuses tâches via fine-tuning ou prompting. Contrairement aux modèles spécialisés entraînés pour une tâche unique, les modèles de fondation sont polyvalents. Claude (Anthropic), Titan (Amazon), Llama (Meta) sont des exemples. Leur taille et leur coût d'entraînement les rendent inaccessibles à la plupart des organisations sans services cloud.

CloudTrail vs Bedrock Invocation Logging : CloudTrail enregistre les appels API (qui a appelé, quand, statut), mais pas le contenu des prompts/réponses. Pour capturer le détail des interactions (prompts, réponses, tokens), vous devez activer explicitement l'invocation logging dans Bedrock. Ce sont deux couches de logging complémentaires, pas interchangeables.

Embeddings multi-modaux : projettent texte et images dans un même espace vectoriel, permettant de comparer directement leur similarité sémantique. Contrairement aux embeddings texte uniquement (unimodaux) qui ignorent les images, ou aux générateurs/classificateurs qui ne produisent pas de vecteurs comparables, ce modèle capture les relations cross-modales essentielles pour la recherche hybride.

Amazon Forecast : service de prévision de séries temporelles spécialisé dans la demande, les stocks et la planification. Utilise des modèles ML AutoML, traite saisonnalité et tendances sur données historiques longues pour produire prévisions précises 24 mois.

Knowledge Base Bedrock + RAG injectent seulement les passages nécessaires, réduisant coûts et améliorant la pertinence.

Amazon Comprehend : service NLP entièrement géré qui analyse automatiquement les sentiments (positif/négatif/neutre) et extrait les entités dans du texte, sans nécessiter de ML expertise. Contrairement à Polly (synthèse vocale), Rekognition (vision) et Lex (chatbots), Comprehend se concentre spécifiquement sur l'analyse textuelle intelligente pour les avis, commentaires et documents.

Engagement du Sprint Backlog : Le Sprint Goal est l'engagement associé au Sprint Backlog, et non au Product Goal. Le Product Goal engage le Product Backlog sur la durée. Chaque artefact possède son propre niveau d'engagement au sein du cadre Scrum.

Réponse : Vrai.
Explication : Les conditions minimales pour démarrer avec Scrum sont : un Product Owner disposant d'une vision suffisante pour un premier Sprint, une Équipe de Développement capable de le réaliser, et un Scrum Master pour faciliter le processus. Le Guide Scrum confirme que cela est suffisant pour commencer.

Taille limite de la Scrum Team : Le Guide Scrum recommande de limiter les Scrum Teams à 10 personnes maximum (Scrum Master et Product Owner inclus) afin de maintenir l'agilité, de réduire la charge de communication et de favoriser une collaboration et une prise de décision efficaces.

Réponse : La Scrum Team, dans un effort collaboratif.
Explication : L'ensemble de la Scrum Team crée la Definition of Done de manière collaborative. Si l'organisation dispose de standards, ceux-ci constituent le minimum. L'équipe peut uniquement renforcer ces standards organisationnels, jamais les affaiblir.

Definition of Done : Description formelle de l'état de l'Increment lorsqu'il répond aux standards de qualité. Elle garantit une compréhension partagée des critères de complétude au sein de la Scrum Team, empêchant la livraison de travail incomplet. Contrairement à une checklist (outil de suivi), il s'agit d'un engagement qualité ; contrairement aux Objectifs de Sprint ou aux user stories, elle s'applique à l'ensemble du travail réalisé.

Séquence des événements du Sprint : La Sprint Retrospective conclut le cycle du Sprint, en se tenant après la Sprint Review et avant le Sprint Planning du Sprint suivant. Cette inspection finale permet à l'équipe de réfléchir sur ses processus et de s'améliorer, garantissant une amélioration continue avant de démarrer le nouveau travail dans le prochain Sprint.

Cadre de travail léger : Scrum est délibérément minimal, fournissant les rôles, événements et artefacts essentiels sans prescrire les détails de mise en œuvre. Cette flexibilité permet aux équipes d'adapter leurs solutions à des problèmes complexes et imprévisibles. Contrairement aux méthodologies complètes qui dictent des étapes précises ou aux outils de gestion de projet contrôlés par des managers, Scrum donne aux équipes auto-organisées les moyens de générer de la valeur de manière itérative.

Le Sprint comme mini-projet : Chaque Sprint fonctionne comme une itération autonome avec des objectifs définis (Sprint Goal), un plan structuré (Sprint Backlog) et des livrables concrets (Increment). Ce conteneur à durée fixe reflète les caractéristiques d'un projet : durée déterminée, résultats clairs et progression mesurable. Comprendre les Sprints comme des projets aide les équipes à adopter une livraison itérative et à développer leur sens des responsabilités.

Gestion des obstacles dans Scrum : Les Developers identifient les blocages lors du Daily Scrum, puis travaillent activement à les résoudre. Le Scrum Master facilite la suppression des obstacles organisationnels en dehors de la réunion, en maintenant le Daily Scrum dans sa timebox et en le gardant concentré sur l'essentiel. Cette approche évite de prolonger les réunions ou de reporter la résolution des problèmes jusqu'à la Sprint Review.

La propriété du Product Backlog est flexible. Bien que le Product Owner soit responsable du Product Backlog, n'importe quel membre de l'équipe Scrum — voire des parties prenantes — peut y contribuer des éléments. Le Product Owner organise, ordonne et veille à la clarté, mais n'a pas besoin de rédiger chaque élément lui-même. Exiger que le PO rédige tous les éléments créerait un goulot d'étranglement et limiterait les contributions précieuses des Developers, qui disposent souvent d'une vision technique unique.

Réponse : Product Backlog, Sprint Backlog, Increment.
Explication : Les trois artefacts Scrum sont le Product Backlog, le Sprint Backlog et l'Increment — chacun étant associé à un engagement.

Concept clé : Propriété et finalité du Sprint Backlog. Le Sprint Backlog appartient aux Developers car ils le créent lors du Sprint Planning pour définir leur travail pour le Sprint en cours. Cet artifact représente l'engagement des Developers à atteindre l'Objectif du Sprint grâce aux éléments du Product Backlog sélectionnés et aux tâches nécessaires pour les réaliser. Les Developers maintiennent et mettent à jour le Sprint Backlog tout au long du Sprint, ce qui en fait leur plan, et non celui du management ou un mandat du Product Owner. Cette appropriation garantit la transparence, la responsabilité et l'autonomie — des principes fondamentaux de Scrum. Contrairement au Product Backlog (appartenant au Product Owner) ou à l'Increment (le résultat de leur travail), le Sprint Backlog est exclusivement le document de travail des Developers.

Scrum s'appuie sur l'élaboration progressive. Seuls les éléments du Product Backlog en tête de liste — ceux susceptibles d'être sélectionnés lors du prochain Sprint — ont besoin d'un niveau de détail suffisant. Les éléments plus lointains sont intentionnellement laissés vagues, car les exigences évolueront avec les retours. Exiger une documentation complète avant le Sprint 1 est un anti-pattern de type cascade qui retarde la livraison de valeur et fige des hypothèses qui sont vouées à changer.

Les critères d'ordonnancement doivent refléter les facteurs qui influencent la livraison de valeur. La valeur des PBIs est le principal moteur. Les dépendances entre éléments peuvent nécessiter que certains éléments précèdent d'autres, indépendamment de leur valeur individuelle. Les dépendances externes (autres produits, systèmes, équipes) contraignent également le séquençage. La disponibilité du Scrum Master n'est pas pertinente pour l'ordonnancement par valeur métier — le SM facilite le processus, et non les décisions produit.

Un seul pour l'ensemble du produit est correct car le Scrum Guide 2020 stipule qu'il existe un seul Product Backlog par produit, quel que soit le nombre de Scrum Teams qui y travaillent. Plusieurs équipes peuvent travailler à partir du même Product Backlog, le Product Owner étant responsable de l'ordonnancement de tous les éléments afin de maximiser la valeur sur l'ensemble du produit. Avoir des backlogs séparés par équipe, par groupe de parties prenantes ou par Sprint fragmenterait la vision produit et créerait des priorités conflictuelles.

Concept clé : Séparation des responsabilités entre le Product Owner et les Developers. Le Product Owner est responsable de définir quoi construire et pourquoi cela a de l'importance (valeur métier, critères d'acceptation, priorités), tandis que les Developers déterminent comment le construire techniquement. La définition de toutes les spécifications techniques relève du domaine des Developers — ils décident de l'architecture, des patterns de conception, des choix technologiques et des approches d'implémentation. Le Product Owner peut décrire les critères d'acceptation et les exigences fonctionnelles, mais prescrire des solutions techniques va à l'encontre du principe d'auto-organisation des équipes Scrum et limite l'autonomie des Developers, réduisant ainsi l'innovation et le sentiment d'appropriation. Cette distinction garantit que le Product Owner se concentre sur la valeur apportée aux parties prenantes et la direction du produit plutôt que sur les décisions techniques.

Réponse : Les opportunités d'inspection et d'adaptation sont perdues ; le Sprint Backlog devient inexact ; les impediments remontent plus lentement.
Explication : La cadence quotidienne du Daily Scrum est essentielle pour permettre une adaptation rapide dans un travail complexe. Des intervalles plus longs entre les inspections laissent les plans s'éloigner de la réalité et permettent aux impediments de s'accumuler avant d'être pris en charge.

Réponse : Les Developers.
Explication : Les Developers sont responsables de la création d'un Increment « Done » à chaque Sprint. Le Product Owner définit l'objectif et le Scrum Master facilite le processus, mais ce sont les Developers qui créent le produit concret à valeur ajoutée.

Réponse : Vrai.
Explication : Le Product Backlog est la source unique de vérité pour tout le travail réalisé par la Scrum Team. Tout le travail produit planifié — fonctionnalités, bugs, tâches techniques, expérimentations — doit en être issu.

Gérance responsable (Stewardship) et transparence : La gérance responsable est le principe fondamental du PMBOK 7e édition qui établit explicitement une responsabilité éthique et fiduciaire envers les parties prenantes. Ce principe repose sur l'accountability, la transparence des décisions et des actions, ainsi que sur l'intégrité dans la gestion des ressources et des informations du projet. La confiance se construit directement par cette transparence : en communiquant ouvertement sur les progrès, les risques, les défis et les décisions, le chef de projet démontre qu'il agit dans l'intérêt collectif et non personnel. La gérance responsable impose également de rendre des comptes sur les résultats et d'assumer les conséquences de ses choix, ce qui renforce la crédibilité et la confiance auprès de tous les intervenants. Bien que le leadership respectueux et la pensée système soutiennent aussi indirectement ces valeurs, seule la gérance responsable les place au cœur même de son définition. La micro-gestion et la concentration sur le périmètre technique éloignent au contraire la transparence en fragmentant l'information et en marginalisant les parties prenantes, générant ainsi de la méfiance et des silos organisat

Pensée système et gestion de projets complexes : La pensée système est une approche holistique qui reconnaît qu'un projet n'est pas une simple somme de tâches isolées, mais un ensemble interconnecté d'éléments en interaction constante. Dans le PMBOK 7e édition, cette perspective est fondamentale pour naviguer la complexité croissante des environnements projectuels modernes. Pourquoi cette réponse est correcte : En comprenant les interdépendances entre les composantes du projet (ressources, activités, livrables, stakeholders, risques), le chef de projet anticipe les effets en cascade. Par exemple, un retard dans une phase de développement ne se limite pas à cette phase isolée : il impacte les tests, la formation utilisateurs, le déploiement et potentiellement le ROI global. La pensée système permet d'identifier ces chaînes de causalité et de prendre des décisions proactives plutôt que réactives. Elle intègre également les boucles de rétroaction (feedback loops) où les résultats d'une action influencent les conditions initiales, créant des cycles d'amélioration continue. Distinction des autres options : La deuxième option confond simplification avec pensée système – alors que cette dernière augmente la compréhension de la complexité plutôt que de la réduire. La troisième ignore que les projets complexes ex

Réponse : Réaligner le projet avec la stratégie de l’organisation en consultant le sponsor et les parties prenantes clés.

Analyse de Performance et Ajustement : Le SPI de 0,91 indique un retard (< 1,0). La démarche appropriée consiste à identifier les causes racines du retard via l'analyse avant d'ajuster le plan. Le fast-tracking sans évaluation risque d'augmenter les risques. Augmenter le budget ou modifier le calendrier sans comprendre les causes n'adresse pas le problème fondamental.

Gouvernance de projet et rôles/responsabilités clairs : Selon le PMBOK 7e édition, la gouvernance de projet constitue le cadre qui guide, supervise et contrôle les initiatives de l'organisation. Un système de gouvernance efficace repose sur des fondations essentielles : des rôles et responsabilités clairement définis pour tous les intervenants (sponsor, chef de projet, équipe, comité de gouvernance). Cette clarté évite les chevauchements, les conflits de pouvoir et les ambiguïtés décisionnelles qui paralysent les projets. Bien que les mécanismes d'escalade et de décision soient importants, ils sont secondaires sans rôles explicites. L'alignement stratégique est crucial mais découle d'une gouvernance bien structurée avec responsabilités claires. La suppression de toute supervision du sponsor est dangereuse et contraire aux bonnes pratiques : le sponsor doit rester impliqué pour valider les décisions majeures et l'alignement. Le reporting uniquement en fin de projet viole le principe de gouvernance continue du PMBOK 7, qui exige une surveillance régulière. Les rôles et responsabilités explicites constituent donc le pilier fondateur sur lequel s'édifient tous les autres éléments d'

Concept clé - Rétrospectives agiles et amélioration continue : Les rétrospectives agiles sont des cérémonies Scrum fondamentales qui se déroulent à la fin de chaque sprint. Leur objectif principal est d'examiner les processus, les pratiques et la collaboration de l'équipe pour identifier les opportunités d'amélioration collective, sans chercher à blâmer ou punir des individus. Selon le PMBOK 7e édition et le Scrum Guide, une rétrospective efficace crée un environnement psychologiquement sûr où les membres de l'équipe peuvent parler librement des défis rencontrés, des obstacles surmontés et des pratiques à ajuster. Cette approche centrée sur les processus (plutôt que sur les personnes) renforce la confiance, favorise l'apprentissage organisationnel et encourage l'appropriation collective des résultats. Les autres options sont inexactes : identifier des fautes individuelles contreviendrait aux principes agiles de responsabilité partagée ; affirmer que les rétrospectives sont facultatives ignorerait leur rôle essentiel dans le cadre Scrum ; et les confondre avec les revues de sprint est une erreur catégorique, car ces deux événements poursuivent des objectifs distincts (amélioration du processus versus démonstration des livrables).

Gestion des risques réalisés et plans de contingence : Un risque réalisé est un événement d'incertitude qui s'est matérialisé et impacte le projet. Selon le PMBOK 7e édition, la gestion des risques inclut l'identification des risques potentiels lors de la planification, et la définition de plans de contingence (réponses préplanifiées). Lorsque la panne d'outil critique survient, c'est précisément le moment de déclencher le plan de contingence préalablement documenté. Cette approche proactive demontre une maîtrise disciplinée du projet : le chef de projet n'improvise pas, mais exécute une stratégie de réponse anticipée. Mettre en œuvre ce plan stabilise le projet et limite les dégâts. Parallèlement, informer les parties prenantes est obligatoire pour maintenir la transparence, gérer les attentes et préserver la confiance. Les autres options sont contre-productives : ignorer le problème (option 2) aggrave le retard sans le résoudre; accuser l'équipe (option 3) est une réaction émotionnelle qui ne corrige rien; arrêter le projet (option 4) est disproportionné sans exploration d'alternatives. La bonne réponse aligne donc planification des risques, exécution du plan d'action et communication stakeholder, trois

Le domaine Travail du projet selon le PMBOK 7e édition : Ce domaine regroupe toutes les activités directes liées à l'exécution et à la livraison du projet. Il englobe spécifiquement la gestion des ressources physiques (matériels, équipements, fournitures matérielles), qui constitue un élément essentiel pour permettre au projet de fonctionner. Pourquoi "Gestion des ressources physiques" est correcte : Cette fonction fait partie intégrante du domaine Travail du projet car elle assure la disponibilité et l'optimisation des actifs matériels nécessaires à la réalisation concrète des livrables. Distinction avec les autres options : L'approvisionnement (achats externes) relève du domaine Environnement du projet ; l'exécution des tâches est une activité générale non spécifiée dans un domaine particulier ; la clôture financière appartient au domaine Environnement du projet ; la définition de stratégie organisationnelle est externe au projet et relève de la gouvernance organisationnelle. Le domaine Travail du projet se concentre exclusivement sur les opérations pratiques et tangibles du projet lui-même.

Le principe d'adaptabilité dans le PMBOK 7e édition : L'adaptabilité est un principe fondamental du PMBOK 7 qui reconnaît que les projets opèrent dans des environnements complexes et changeants. Ce principe encourage les chefs de projet à évaluer régulièrement les pratiques, les processus et les approches utilisées pour s'assurer qu'ils restent pertinents et efficaces face à l'évolution du contexte du projet, des exigences des parties prenantes et des conditions externes. Contrairement au PMBOK 5e édition qui séparait les approches prédictives et adaptatives, la 7e édition reconnaît que la plupart des projets modernes bénéficient d'une combinaison d'approches. L'adaptabilité n'est pas un changement constant et impulsif, mais une révision réfléchie et régulière des stratégies de gestion. Elle s'applique à TOUS les types de projets, qu'ils soient traditionnels, agiles ou hybrides. Les autres réponses proposées sont incorrectes car : maintenir un plan initial rigide contredit directement ce principe ; limiter l'adaptabilité aux seuls projets Agile ignore que tous les projets modernes doivent s'adapter ; changer d'approche à chaque sprint sans justification va à l'encontre de la nature réfléchie

Cette question correspond à l’objectif d’apprentissage FL-3.1.2 (K2) – Expliquer la valeur du test statique.

La réponse correcte est a) 1A, 2B, 3C, 4D

● 1A) Correct : Moins de défauts en production = moins de coûts en fin de cycle.
● 2B) Correct : Le test statique permet d’identifier les erreurs avant que le code soit écrit.
● 3C) Correct : Les revues statiques aident l’équipe à mieux comprendre les exigences.
● 4 D) Correct : Le test statique n’exécute pas le code, il l’analyse.

Cette question correspond à l\'objectif d\'apprentissage FL-4.2.1 (K3) - Utiliser les partitions d\'équivalence pour dériver les cas de test.
● a) Faux → car ne couvre pas la partition \"longueur incorrecte\".
● b) Correct → La réponse correcte est b) 12345, 123AB, 12A, A12.
○ \"12345\" couvre \"longueur correcte\" et \"nombre de chiffres correct\"
○ \"123AB\" couvre \"longueur correcte\" et \"nombre de chiffres correct\"
○ \"12A\" couvre \"longueur incorrecte\" et \"nombre de chiffres incorrect\"
○ \"A12\" couvre \"longueur incorrecte\" et \"nombre de chiffres incorrect\"
● c) Faux → car ne couvre pas la partition \"nombre de chiffres incorrect\".
● d) Faux → car ne couvre pas toutes les partitions.

Cette question correspond à l’objectif d’apprentissage FL-1.1.1 (K1) – Identifier les objectifs habituels du test.
● a) Faux → Il est impossible de démontrer qu’un logiciel est totalement exempt de défauts.
● b) Correct → Les tests réduisent le risque de défauts et augmentent la probabilité que le logiciel réponde aux exigences.
● c) Faux → Vérifier la conformité aux spécifications est une partie des tests, mais pas leur seul objectif.
● d) Faux → Les tests ne remplacent pas l’assurance qualité, qui inclut d’autres activités comme l’analyse des processus.

Cette question correspond à l’objectif d’apprentissage FL-3.2.4 (K2) – Comparer et opposer les différents types de revues.
La bonne réponse est d) 1B, 2A, 3C, 4D
● 1B) Correct → Une revue informelle ne suit pas de processus strict.
● 2A) Correct → L’inspection est une revue très structurée avec un modérateur et des
checklists.
● 3C) Correct → Une revue technique implique des experts métier ou techniques pour
examiner un document.
● 4D) Correct → La revue par les pairs est une analyse collaborative des documents.

Cette question correspond à l’objectif d’apprentissage FL-4.2.4 (K3) – Utiliser les tests de transition d’état pour dériver les cas de test. Transitions identifiées :

1️⃣Accueil → Saisie du code PIN
2️⃣Saisie du code PIN → Sélection du montant
3️⃣Sélection du montant → Éjection du billet
4️⃣Éjection du billet → Fin de transaction
5️⃣Fin de transaction → Retour à l’accueil
6️⃣Annulation à tout moment → Retour à l’accueil

6 transitions minimum doivent être testées pour couvrir tous les cas.

● a) Faux → 5 transitions ne suffisent pas.
● b) Correct → 6 transitions couvrent toutes les possibilités.
● c) Faux → 7 transitions incluraient un test redondant.
● d) Faux → 8 transitions sont excessives.

Cette question correspond à l’objectif d’apprentissage FL-5.1.3 (K2) – Comparer et opposer
les critères d’entrée et les critères de sortie dans les tests.

● a) Faux → Ces critères sont inversés : l’exigence approuvée est un critère d’entrée.
● b) Faux → L’environnement de test est un critère d’entrée, pas de sortie.
● c) Correct → La disponibilité des données est bien une condition préalable (entrée), et le taux d’échec peut être utilisé comme condition de sortie (ex. : “moins de 5 % d’échecs”).
● d) Faux → Développement et revues ne sont pas liés directement aux phases
d’entrée/sortie du test.

Cette question correspond à l’objectif d’apprentissage FL-3.2.2 (K2) – Résumer les activités typiques du processus de revue.

La réponse correcte est a) 1C, 2A, 3D, 4B

● 1C) Correcte : La planification sert à organiser le processus, choisir le type de revue, les rôles, etc.
● 2A) Correcte : L’examen consiste à analyser le document individuellement.
● 3D) Correcte : La réunion permet à l’équipe de discuter des anomalies ensemble.
● 4B) Correcte : Le rework est le moment où l’auteur corrige ce qui a été signalé.

Cette question correspond à l’objectif d’apprentissage FL-1.4.1 (K2) – Résumer les différentes activités et tâches de test.

La réponse correcte est a) 1A, 2B, 3C, 4D

● 1A (Correct) → Définir les critères d’entrée et de sortie fait partie de l’analyse des tests.
● 2B (Correct) → La conception des tests consiste à élaborer les cas de test à partir
des exigences et spécifications.
● 3C (Correct) → L’implémentation des tests inclut la préparation de l’environnement et des données de test.
● 4D (Correct) → La clôture des tests implique de vérifier l’exécution des tests et d’analyser les résultats.

Cette question correspond à l’objectif d’apprentissage FL-5.3.1 (K1) – Rappeler des métriques utilisées dans les tests.

● a) Faux → C’est une métrique de gestion de projet, pas de test.
● b) Faux → Utile à l’analyse des exigences, mais pas une métrique standard de test.
● c) Correct → Le taux de réussite des cas de test est une métrique clé pour suivre la progression et la qualité.
● d) Faux → Ce n’est ni pertinent ni représentatif de la qualité du produit.

Cette question correspond à l’objectif FL-5.2.4 (K2) – Expliquer les mesures qui peuvent être prises en réponse à l\'analyse des risques produit.

La réponse correcte est a) 1B, 2D, 3A, 4C

● 1B) Correct →Risque de plantage dû à la charge → test de performance pour valider le comportement du système en situation de stress.

● 2D) Correct → Changement imposé par une source externe (nouvelle règle) → ce risque peut être transféré (ex. vers les juristes ou MOA).

● 3A) Correct → Une panne électrique peut être rare et incontrôlable → acceptation du risque si aucune action n’est envisageable en test.

4C) Correct → Mauvaise attribution de droits → peut être testé avecpartitionnement d’équivalence (groupes autorisés vs interdits).

La liste blanche d'applications (application allow-listing) : un contrôle de sécurité qui autorise uniquement les applications préapprouvées à s'exécuter sur un système. Cela empêche l'installation de logiciels malveillants en bloquant les logiciels non autorisés avant leur exécution, même si un employé les télécharge à son insu. Contrairement aux pare-feux basés sur l'hôte (qui contrôlent le trafic réseau) ou à l'isolation des systèmes (qui limite les accès entre systèmes), la liste blanche contrôle directement les programmes autorisés à s'exécuter. Le principe du moindre privilège réduit les dommages si un logiciel malveillant s'exécute, mais n'empêche pas son installation initiale.

CVSS (Common Vulnerability Scoring System) : Un cadre numérique standardisé (échelle de 0 à 10) qui mesure quantitativement la sévérité des vulnérabilités en fonction de leur exploitabilité, de leur impact et de facteurs environnementaux. Le CVE identifie les vulnérabilités par leur nom, la CIA décrit des principes de sécurité, et le CERT est une organisation — aucun d'entre eux ne fournit une notation quantitative comme le fait le CVSS.

Stratégie de contrôle physique : la désactivation des ports USB élimine entièrement le vecteur d'attaque en empêchant l'accès aux supports amovibles non autorisés au niveau matériel. Bien que les mises à jour antivirus, le chiffrement et les mots de passe offrent des mesures réactives ou de protection des données, ils ne préviennent pas l'infection initiale. La désactivation des ports USB constitue le contrôle préventif le plus efficace, en particulier dans les environnements hautement sécurisés où les supports amovibles représentent un risque significatif.

L'onduleur (UPS) : Un dispositif alimenté par batterie qui fournit une alimentation de secours immédiate en cas de coupure du courant principal, garantissant que les systèmes critiques restent opérationnels lors des pannes. Contrairement aux pare-feux (sécurité réseau), aux antivirus (protection contre les logiciels malveillants) et à la gestion des correctifs (correction des vulnérabilités), un UPS répond directement à la disponibilité — l'un des piliers fondamentaux de la triade CIA.

Réponse : Créer une demande de contrôle des changements.
Explication : Les modifications apportées aux systèmes de production — même les correctifs urgents — doivent suivre le processus de gestion des changements. La création d'une demande de contrôle des changements garantit une approbation, une documentation, une planification du retour arrière et une communication appropriées avant l'application du correctif.

Moindre Privilège : Un principe de sécurité fondamental limitant l'accès des utilisateurs aux seules ressources et permissions minimales nécessaires à l'exercice de leurs fonctions. Cela réduit la surface d'attaque et les dommages causés par des comptes compromis. Contrairement au principe du « besoin d'en connaître » (classification de l'information), le moindre privilège s'applique aux droits d'accès aux systèmes. Contrairement à la « séparation des tâches » (prévention de la fraude par la division des rôles) ou à la « rotation des postes » (réduction des menaces internes), le moindre privilège se concentre sur un contrôle d'accès granulaire.

L'évaluation des vulnérabilités identifie et catégorise les failles de sécurité dans les systèmes (correctifs manquants, mauvaises configurations, mots de passe faibles). L'évaluation des risques va plus loin — elle évalue la probabilité et l'impact d'une menace exploitant chaque vulnérabilité, produisant un score de risque (Risque = Probabilité × Impact). Toutes les vulnérabilités ne représentent pas un risque égal : une vulnérabilité critique dans un système isolé du réseau présente moins de risque qu'une vulnérabilité moyenne sur un serveur exposé à Internet. L'évaluation des risques guide la priorisation et l'allocation des ressources pour la remédiation.

Prévention des pertes de données (DLP) : Une technologie de sécurité qui surveille, détecte et bloque la transmission non autorisée de données sensibles en dehors du périmètre réseau. Le DLP cible spécifiquement l'exfiltration de données via les e-mails, le stockage cloud et les supports amovibles. Contrairement au chiffrement (qui protège les données au repos et en transit), au VPN (qui fournit des connexions sécurisées) ou à l'antivirus (qui détecte les logiciels malveillants), le DLP applique activement les politiques de gestion des données et empêche leur suppression non autorisée.

Contrôle d'accès au réseau (NAC) : applique l'authentification et l'autorisation des appareils avant l'accès au réseau, empêchant ainsi les accès non autorisés au niveau du périmètre. Contrairement à l'antivirus (axé sur la détection), au chiffrement (protection des données) ou au WAF (défense au niveau de la couche applicative), le NAC bloque de manière proactive les appareils non conformes, ce qui en fait la solution la plus efficace pour le contrôle d'accès.

Réponse : Rouge.
Explication : L'équipe rouge (red team) mène des évaluations de sécurité offensives — tests d'intrusion et ingénierie sociale — en simulant des attaquants réels. L'équipe bleue (blue team) assure la défense, et l'équipe violette (purple team) combine les deux approches. L'équipe rouge est spécialisée dans la recherche et l'exploitation des vulnérabilités.

Données structurées : organisées dans un schéma fixe et prédéfini (tables relationnelles avec colonnes typées). Ex. : SQL Server, Excel. Données semi-structurées : ont une organisation partielle mais pas de schéma rigide. Ex. : JSON, XML, CSV. Données non structurées : sans schéma défini. Ex. : images, vidéos, emails, PDF. Azure propose des solutions adaptées à chaque type : SQL Database (structuré), Cosmos DB (semi-structuré), Azure Blob Storage (non structuré).

Une clé étrangère (Foreign Key) est une contrainte référentielle qui lie une colonne d'une table à la clé primaire d'une autre table. Elle garantit l'intégrité référentielle : on ne peut pas insérer une valeur dans la colonne FK si elle n'existe pas dans la table référencée, ni supprimer une ligne référencée sans gérer les dépendances. Exemple : une table Commandes avec un CustomerID (FK) référençant la table Clients (PK=CustomerID). Sans FK, on pourrait avoir des commandes orphelines sans client associé.

Normalisation en base de données : processus d'organisation structurée des données en tables pour éliminer la redondance et garantir l'intégrité. Elle prévient les anomalies de données (insertions, mises à jour, suppressions), améliore la cohérence et facilite la maintenance. Contrairement aux idées reçues, elle n'accélère pas toutes les requêtes ni ne chiffre les données, elle les structure simplement de manière logique et fiable.

Azure Synapse Analytics est un service d'analytique intégré qui combine : (1) Data warehousing avec Synapse SQL (pools dédiés pour OLAP à grande échelle), (2) Big Data avec Apache Spark intégré, (3) ETL/ELT avec des pipelines intégrés (similaire à Azure Data Factory), (4) Exploration avec Synapse Link (requêtes directes sur Cosmos DB et Azure SQL sans ETL). Il offre un workspace unifié où data engineers, data scientists et analystes collaborent. C'est la solution analytique de bout en bout d'Azure.

GRS (Geo-Redundant Storage) : option qui réplique vos données dans deux régions géographiquement distantes (région primaire + région secondaire distante de centaines de km). Cela protège contre les défaillances régionales majeures. À l'inverse, LRS reste local (une seule région) et ZRS se limite à une seule région avec distribution entre zones.

Azure Data Factory (ADF) est le service d'intégration de données cloud d'Azure. Il orchestre des pipelines de données visuellement (drag-and-drop) ou via code (ARM templates, SDK). Il propose plus de 90 connecteurs natifs vers des sources on-premises et cloud (SQL Server, Oracle, Salesforce, REST APIs, etc.). Les Triggers planifient l'exécution (schedulé, événementiel). Les Mapping Data Flows permettent des transformations sans code (ETL visuel). ADF s'intègre avec Azure Synapse, Databricks et Git pour le CI/CD des pipelines.

Clé primaire : colonne ou ensemble de colonnes garantissant l'unicité de chaque enregistrement dans une table relationnelle. Elle empêche les doublons et permet l'identification précise des données. Contrairement aux clés étrangères (qui créent des relations entre tables) ou aux index (qui optimisent les performances), la clé primaire est fondamentalement un mécanisme d'intégrité et de distinction des données.

Dynamic Data Masking (DDM) limite l'exposition des données sensibles en masquant automatiquement les données pour les utilisateurs non autorisés — sans modifier les données stockées. Exemple : un numéro de carte bancaire 4532-1234-5678-9012 apparaît comme XXXX-XXXX-XXXX-9012 pour un agent de support, mais en clair pour un administrateur financier. Le masquage s'applique au moment de la requête. Les règles définissent quelles colonnes masquer et selon quel pattern (email, numéro de téléphone, texte aléatoire). C'est une protection complémentaire au RBAC, pas un remplacement du chiffrement.

Réponse : Azure SQL Database. Explication : Azure SQL Database est un service de base de données relationnelle PaaS complètement géré, optimisé pour les charges de travail OLTP dans les applications SaaS. Il fournit la mise à l'échelle automatique, la haute disponibilité intégrée et la sécurité sans nécessiter de gestion d'infrastructure.

Microsoft Fabric : plateforme unifiée intégrant BI, data engineering, data science et gouvernance dans un seul environnement. Contrairement à Power BI (BI seul), Azure Databricks (data science) ou Azure SQL Database (stockage), Fabric consolide tous ces services avec Synapse Analytics, Data Factory et Purview en une expérience cohérente.

Réponse : Des services OData (SAP Gateway).
Explication : Les services OData exposent les opérations CRUD vers les modèles UI5 ; ils sont publiés et sécurisés via le Gateway.

Réponse : Le solde résiduel clôt l’original et crée un nouvel open item pour le reste ; le paiement partiel laisse l’original ouvert avec montant réduit.
Explication : Ces deux stratégies ont des impacts différents sur relances et suivi des postes.

Réponse : Permettre le lettrage poste par poste
La gestion des postes ouverts (OIM) permet de suivre individuellement chaque écriture débitrice et créditrice d'un compte, afin de les lettrer lors du paiement ou du règlement. Elle est activée sur les comptes bancaires, les comptes clients/fournisseurs via leurs comptes de réconciliation, et certains comptes GL spéciaux (GR/IR, par exemple).

Réponse : Équilibre par segment ; Scinde les lignes ; Ajoute lignes neutres.
Explication : Garantit des états financiers équilibrés par dimension.

Réponse : Accruals/deferrals + FX + GR/IR + F.13 + revue des comptes
Une check-list de clôture mensuelle FI inclut typiquement : les régularisations (accruals/deferrals), la valorisation des devises étrangères (FX), le nettoyage du compte GR/IR (MR11), le lettrage automatique (F.13), et la revue/validation des comptes avant publication.

Réponse : Le « Segment » (champ SEGMENT) pouvant être dérivé du centre de profit ou saisi directement.
Explication : Le segment supporte le reporting par secteurs/segments ; les business areas sont obsolètes pour cet usage.

Réponse : Une écriture d’ajustement de valeur en plus de l’amortissement planifié lorsque la valeur recouvrable diminue.
Explication : Elle corrige la valeur comptable indépendamment de la clé d’amortissement.

Réponse : ABUMN
Explication : ABUMN réalise un transfert intra-société ; des apps Fiori équivalentes existent.

Réponse : Financial Closing Cockpit (Fiori).
Explication : Le FCC fournit des modèles, des listes de tâches, des dépendances et un suivi d’exécution pour les clôtures périodiques et annuelles.

Réponse : Comptes gérés en postes ouverts ; Critères d’égalité (montant/devise/date) ; Champs de correspondance (référence/assignation).
Explication : F.13 lettrent automatiquement selon règles et champs de correspondance.

Concept clé : Test de conformité au RGPD. Le droit à l'oubli est une exigence fondamentale du RGPD. Les testeurs doivent valider que les systèmes AI gèrent correctement les demandes de suppression de données et que les informations personnelles sont réellement supprimées de l'ensemble des pipelines de traitement et des systèmes de stockage.

Concept clé : Audit d'équité pour la détection de biais. Les audits d'équité comparent les résultats entre catégories de genre pour des candidats ayant des qualifications équivalentes. Les testeurs doivent analyser systématiquement si le système recommande les candidats masculins et féminins ayant des qualifications équivalentes à des taux similaires, en identifiant un biais de genre si des disparités sont constatées.

Concept clé : Détection des biais dans les données d'entraînement. L'analyse de parité démographique évalue si les résultats du modèle sont équitables entre les groupes démographiques. L'échantillonnage stratifié garantit la représentation de tous les attributs protégés, permettant aux testeurs d'identifier les problèmes d'équité avant le déploiement.

Réponse : Flux de valeur et processus.
Explication : La dimension \'Flux de valeur et processus\' se concentre sur les activités et leur coordination pour créer de la valeur. Elle définit comment les différentes parties d\'une organisation collaborent pour livrer des services.

Réponse : Le centre de services.
Explication : Le centre de services est le point d\'entrée unique pour les utilisateurs. Il inclut la classification et la propriété de toutes les questions et demandes, qu\'il redirige vers les équipes appropriées.

Réponse : protéger.
Explication : La pratique de gestion de la sécurité de l\'information a pour but de protéger les informations de l\'organisation contre les menaces, en assurant confidentialité, intégrité et disponibilité.

Réponse : La gestion des mises en production.
Explication : La gestion des mises en production a pour but de mettre à disposition des services et fonctionnalités nouveaux ou modifiés, en coordonnant le packaging et le déploiement des releases.

Réponse : Les coûts supprimés par le service et les coûts imposés par le service.
Explication : Le consommateur d\'un service doit évaluer les coûts supprimés (ce qu\'il n\'a plus à gérer) et les coûts imposés (ce qu\'il doit payer), pour déterminer si la valeur nette est positive.

Réponse : les résultats.
Explication : Selon ITIL 4, un service est un moyen de co-créer de la valeur en facilitant les résultats que les clients souhaitent atteindre, sans qu\'ils aient à gérer les coûts et risques spécifiques.

Réponse : Le problème conserve l\'état d\'erreur connue.
Explication : Lorsqu\'une solution de contournement devient permanente car le problème ne peut être résolu définitivement, le problème reste dans l\'état \'erreur connue\' : documenté mais non résolu.

Réponse : Planifier.
Explication : L\'activité \'Planifier\' de la chaîne de valeur veille à ce que toutes les parties comprennent la vision, le statut actuel et les orientations de l\'organisation pour tous les produits et services.

Réponse : Le système de valeur des services.
Explication : Le système de valeur des services (SVS) est le concept ITIL 4 qui décrit comment tous les composants et activités, y compris la gouvernance, fonctionnent ensemble pour créer de la valeur.

Réponse : Maximiser le nombre de changements informatiques réussis en vérifiant que les risques sont correctement évalués.
Explication : Maximiser les changements informatiques réussis en évaluant correctement les risques est un objectif central de la gestion des services, que le centre de services contribue à atteindre en coordonnant les demandes.

• Copilot Chat dans Microsoft Teams peut analyser les conversations et générer des tâches.

• Limitation actuelle : il peut créer des tâches dans Microsoft Planner, mais ne prend pas encore en charge la création directe de tâches dans Microsoft To Do.

• Cela signifie que si vous demandez à Copilot de convertir des éléments d’action en To Do, la commande ne fonctionnera pas directement.

💡 Explication :

• Defender for Cloud Apps permet de surveiller les activités des utilisateurs dans les applications SaaS.

• Avec une politique d’activité + règles de détection d’anomalies, vous pouvez :

  • Détecter des comportements inhabituels (ex : partage massif de fichiers)

  • Définir un seuil et déclencher une alerte automatique lorsque ce seuil est dépassé

    🎯 À retenir pour l’examen MS-900 :

    • Alertes automatiques sur activités SaaS = Activity policy + anomaly detection dans Defender for Cloud Apps.

    • L’accès conditionnel et Sentinel peuvent compléter, mais ne remplacent pas cette fonctionnalité.

L’application mobile OneDrive permet :

• D’accéder aux fichiers sur tablette et smartphone

• De rendre certains fichiers ou dossiers disponibles hors ligne

• De minimiser le stockage local, car seuls les fichiers sélectionnés sont téléchargés pour un accès hors ligne, le reste reste dans le cloud.

  🎯 À retenir pour l’examen MS-900 :

  • OneDrive mobile app + disponibilité hors ligne = accès aux fichiers sur appareils mobiles même sans connexion, avec stockage local limité.

  • Les autres solutions (navigateur, WebDAV, laptop) ne répondent pas au besoin mobile hors ligne.

• La Timeline view (vue Chronologie) permet :

  • D’afficher les tâches ou phases sur une ligne de temps

  • De visualiser clairement les dates de début et de fin

  • D’avoir une vue simple et synthétique adaptée à un partage dans Teams

Elle est idéale pour donner une vue globale rapide du projet.

❌ Pourquoi les autres réponses sont incorrectes :

• A. Gantt Chart view → Plus détaillée et orientée gestion avancée (dépendances, planification complexe). Moins “simple” pour un aperçu rapide.

• B. Project Roadmap → Sert à consolider plusieurs projets, pas juste à afficher un planning simple d’un projet.

• D. Calendar view → Affiche les tâches par date dans un calendrier, mais ne donne pas une vision linéaire claire des phases.

🎯 À retenir pour l’examen MS-900 :

• Timeline view = vue simple et visuelle des dates de début et fin

• Gantt = gestion avancée

• Calendar = vue mensuelle/journalière
  Roadmap = consolidation multi-projets
  
  

Dans Microsoft Viva Goals, il est possible de contrôler la visibilité des objectifs (Goals) et des OKR en configurant des autorisations au niveau de l’équipe ou de l’objectif.

👉 Les contrôles d’accès basés sur l’équipe permettent :

• De limiter la visibilité d’un objectif à une équipe spécifique (par exemple : Finance)

• D’empêcher les autres utilisateurs de l’organisation d’y accéder

• De garantir la confidentialité des OKR sensibles

C’est la méthode appropriée pour gérer la visibilité directement dans Viva Goals.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) est un protocole d’authentification des e-mails qui :

• S’appuie sur SPF (Sender Policy Framework) pour vérifier que l’expéditeur est autorisé à envoyer des e-mails pour un domaine donné.

• Utilise DKIM (DomainKeys Identified Mail) pour valider l’intégrité du message grâce à une signature numérique.

• Ajoute une politique (policy) permettant au propriétaire du domaine d’indiquer aux serveurs destinataires quoi faire si l’authentification échoue :

  • Ne rien faire (monitoring)

  • Mettre en quarantaine

  • Rejeter le message

👉 DMARC joue donc un rôle clé dans la lutte contre le phishing, l’usurpation d’identité (spoofing) et la fraude par e-mail.

• Teams recording : Permet d’avoir la source du contenu vidéo du webinaire.

• Copilot dans Microsoft 365 Apps (Word, OneNote, Teams, etc.) :

  • Peut analyser le contenu enregistré (texte transcrit)

  • Générer automatiquement un résumé clair des étapes de dépannage.

• Cela offre une solution complète de transcription + synthèse via Copilot.

  🎯 À retenir pour l’examen MS-900 :

  • Pour générer des résumés automatiques de contenus Teams :

    • Source = enregistrement Teams

    • Analyse et résumé = Copilot dans Microsoft 365 Apps

Pour protéger l’accès aux données d’entreprise sur les appareils mobiles :

1. Intune App Protection Policies (politiques de protection d’application) :

   • Permettent de protéger les applications professionnelles (ex : Outlook, Teams) même sur des appareils personnels.

   • Restreignent l’accès aux applications si l’appareil ne respecte pas les règles de conformité (ex : pas de chiffrement, jailbreak détecté).

2. Conditional Access (Accès conditionnel) :

   • Applique des conditions pour accéder aux ressources cloud (ex : Exchange Online).

   • Peut bloquer l’accès aux e-mails si l’appareil est non conforme ou compromis selon les signaux d’Intune.

✅ Ensemble, ces deux fonctionnalités permettent de sécuriser l’accès aux e-mails sur mobiles sans recourir à des solutions tierces.

• Les labels de sensibilité doivent être publiés via une stratégie de labels et les utilisateurs doivent être inclus dans la portée pour que les labels apparaissent dans Office Online.

• Si la stratégie n’inclut pas PowerPoint Online ou si l’utilisateur n’est pas dans la portée, les labels n’apparaîtront pas.

• Les autres options ne sont pas pertinentes pour PowerPoint Online :

  • B : Azure RMS connector concerne les scénarios hybrides et on-premises.

  • C : La synchronisation des apps Purview sur le poste local n’affecte pas Office Online.

  • D : Le client AIP Unified Labeling est pour les applications desktop, pas pour Office Online.

• Par défaut, les journaux d’audit Microsoft 365 ont une durée de conservation limitée.

• Pour les conserver plus longtemps (ex. 1 an ou plus), il faut configurer une Audit log retention policy dans Microsoft Purview.

• Cela permet de répondre aux exigences réglementaires et de conformité.

❌ Pourquoi les autres réponses sont incorrectes :

• B. Litigation Hold (Exchange) → Concerne la conservation des emails, pas les journaux d’audit globaux.

• C. Sensitivity label retention → Gère la protection et la conservation des documents/emails, pas des logs d’audit.

• D. Azure Information Protection → Sert à classifier et protéger les données, pas à gérer la durée des logs d’audit.

🎯 À retenir pour l’examen MS-900 :

• Audit logs = Microsoft Purview (Audit log retention policy)

• Litigation Hold = emails

• Sensitivity labels = protection des données

Microsoft Defender for Cloud – multi-cloud capabilities :

• Permet de centraliser la gestion de la posture de sécurité sur plusieurs clouds

• Offre assessments, recommandations et alertes de sécurité pour Azure, AWS et GCP

• Les connecteurs multi-cloud :

  • Onboard facilement les comptes AWS/GCP

  • Surveillent les configurations, vulnérabilités et risques

  • Fournissent des recommandations cohérentes à travers les environnements

• MCAS / Defender for Cloud Apps :

  • Fournit visibilité complète sur les applications SaaS connectées à Entra ID

  • Identifie les applications non approuvées ou risquées

  • Permet de :

    • Appliquer des politiques d’accès

    • Restreindre ou contrôler l’usage des applications

    • Surveiller les activités et détecter les risques liés aux utilisateurs et aux sessions

• C’est la solution Microsoft recommandée pour le Shadow IT et la gouvernance SaaS.

Les Configuration Profiles dans Intune permettent :

• De configurer précisément FileVault

• De définir les exigences de mot de passe

• De configurer le pare-feu macOS

• D’appliquer des paramètres avancés de sécurité

• De cibler des groupes spécifiques (ex : développeurs)

Les profils de configuration sont le mécanisme direct permettant d’imposer ces paramètres.

• LSASS (Local Security Authority Subsystem Service) stocke les hashes et tokens d’authentification Windows.

• Les attaquants peuvent utiliser des techniques comme Mimikatz pour voler des credentials depuis LSASS.

• Windows Defender Credential Guard :

  • Utilise la virtualisation basée sur le hardware pour isoler les secrets Windows (NTLM, Kerberos, LSA secrets)

  • Empêche les logiciels malveillants et les attaquants ayant un accès administrateur local de voler les credentials

  • Protège spécifiquement les domain controllers et endpoints sensibles

• C’est la meilleure pratique Microsoft pour sécuriser les contrôleurs de domaine contre le vol de credentials.

• CAF DevSecOps recommande d’intégrer la sécurité et la conformité dès la phase de conception et de déploiement.

• Azure Blueprints permet de :

  • Appliquer des politiques et des contrôles RBAC cohérents sur plusieurs souscriptions

  • Garantir que toutes les ressources déployées respectent les standards internes et réglementaires

  • Automatiser la conformité dès la création de l’infrastructure (Infrastructure as Code)

• Cela offre une remédiation et un contrôle centralisé, ce qui répond directement aux exigences de gouvernance DevSecOps.

External Attack Surface Management (EASM) permet de :

• Identifier les actifs exposés à Internet

• Détecter les vulnérabilités ou configurations non sécurisées

• Prioriser les risques externes

Pourquoi Microsoft Sentinel est le meilleur choix pour le pipeline de remédiation :

• Sentinel centralise tous les logs et alertes de sécurité

• Permet de corréler les découvertes EASM avec d’autres événements (Azure AD, endpoints, cloud apps)

• Fournit des playbooks et automatisations (Logic Apps) pour la remédiation rapide

• Facilite la réponse proactive et le suivi des incidents

Pour respecter PCI DSS (chiffrement des données au repos et en transit) :

• Azure Policy permet de :

  • Définir des règles obligatoires pour le chiffrement au repos (ex. Storage Service Encryption, SQL TDE)

  • Définir des règles pour le chiffrement en transit (ex. TLS obligatoire pour les services)

  • Appliquer ces règles à toutes les ressources Azure via des initiatives intégrées ou personnalisées

  • Auditer la conformité et générer des rapports

• Initiatives intégrées : Microsoft propose des initiatives prêtes à l’emploi pour le chiffrement et la sécurité des données, alignées avec PCI DSS, NIST et autres standards.

• GitHub Advanced Security permet de :

  • Analyser automatiquement les dépendances dans les projets (npm, NuGet, Maven, etc.)

  • Identifier les vulnérabilités à haute gravité

  • Proposer ou appliquer automatiquement les mises à jour de sécurité via Dependabot

• Cette approche préventive empêche que du code vulnérable atteigne les environnements de production.

• Prompt injection : manipulation du modèle via des entrées malveillantes → peut révéler des données sensibles ou modifier le comportement attendu.

• Data exfiltration : sortie involontaire de données sensibles dans les réponses du modèle.

• Microsoft recommande pour Azure OpenAI :

  • Placer API Management (APIM) devant le service OpenAI

  • Valider toutes les entrées (ex : rejeter caractères, commandes ou prompts suspects)

  • Filtrer et contrôler la sortie pour éviter l’exfiltration de données sensibles

• Cela fournit une barrière de sécurité en amont et en aval du modèle et suit la baseline Zero Trust et Microsoft Security.

Les journaux d'audit d'accès aux données pour Cloud Storage enregistrent toutes les opérations de lecture (GetObject, etc.) avec l'identité du demandeur, l'horodatage et les détails de l'objet accédé. C'est exactement ce qui est requis pour la conformité légale.

Data Catalog est le service GCP de découverte et de gestion des métadonnées. Une simple recherche de 'employee_ssn' trouve instantanément toutes les tables contenant cette colonne dans tous les projets, sans écrire de scripts.

Automatic Scaling avec min_idle_instances=3 répond exactement aux exigences : App Engine scale automatiquement selon le taux de requêtes ET maintient toujours au minimum 3 instances disponibles en attente. Basic Scaling n'a pas de paramètre min_instances.

La méthode la plus simple est d'installer un client RDP, définir le mot de passe Windows dans la console GCP, puis se connecter. La console GCP crée automatiquement la règle de pare-feu pour le port 3389, donc aucune vérification manuelle n'est nécessaire.

Ajouter un nouveau node pool n2-highmem-16 au cluster existant est la solution sans temps d'arrêt. Les pods existants continuent de tourner sur les noeuds n1-standard-2 pendant que les nouveaux pods sont schedulés sur le nouveau node pool.

La commande gcloud compute reset-windows-password génère un nom d'utilisateur et un mot de passe Windows pour la VM, qui peuvent ensuite être utilisés pour se connecter via RDP. C'est la méthode officielle GCP pour accéder aux VMs Windows.

Accorder Storage Object Viewer au compte de service des noeuds GKE dans le projet où les images sont stockées est la méthode recommandée. Elle utilise IAM correctement, sans clés supplémentaires ni accès trop larges.

La méthode correcte est de d'abord créer le projet avec gcloud, puis de déployer l'application dans ce projet. gcloud ne crée pas automatiquement un projet lors du déploiement, et 'copier' une application App Engine déployée n'est pas une fonctionnalité native.

Les deux méthodes efficaces sont : les quotas personnalisés (limitent les octets traités par utilisateur/projet) et le passage au modèle forfaitaire avec slots (coût fixe prévisible). Créer des copies multiples augmenterait les coûts de stockage.

La commande gcloud config set compute/zone europe-west1-d définit la zone par défaut pour toutes les commandes gcloud ultérieures, évitant de la spécifier à chaque fois. C'est la méthode recommandée et persistante.

Le Scrum Master maintient la productivité de l'équipe en supprimant les obstacles et en facilitant les décisions, et non en gérant les tâches ou en contrôlant les processus. Les autres options décrivent des comportements de type commande-et-contrôle ou des tâches administratives qui détournent de son rôle fondamental de leader au service de l'équipe. Selon le Guide Scrum, le Scrum Master sert le Development Team en supprimant les blocages et en favorisant l'auto-organisation.

Correct : Option 3 - L'auto-organisation est une valeur fondamentale de Scrum qui exige que les équipes de développement déterminent de manière autonome la meilleure façon d'accomplir leur travail dans des limites clairement définies. Les options 1 et 2 représentent des approches de commandement et de contrôle dans lesquelles la direction alloue les ressources, ce qui nuit à la capacité d'auto-organisation de l'équipe et viole les principes de Scrum.

L'option B est correcte. Le Scrum Master doit accompagner le Product Owner en lui expliquant que l'empirisme et l'émergence sont au cœur de Scrum ; la complexité rend toute prévision parfaite impossible. Les nouveaux apprentissages réalisés durant le Sprint affectent naturellement le Sprint Backlog. L'option A démotive l'équipe par une pression irréaliste, l'option C est défensive et ignore les préoccupations des parties prenantes, et l'option D enfreint le principe selon lequel l'ajout de personnes en cours de Sprint réduit la productivité et ne résout pas les problèmes de fond.

Scrum est un framework, non une méthodologie ni un processus défini. Il fournit des rôles, des événements et des artefacts, mais ne prescrit pas un processus unique de développement logiciel. Cela s'aligne avec l'objectif de Scrum : aborder la complexité dans des environnements imprévisibles par l'empirisme, plutôt que par le respect de procédures prédéfinies.

Le Scrum Master enseigne et facilite — il aide les parties prenantes externes à comprendre les interactions Scrum et accompagne l'équipe dans le respect de la discipline du timebox. L'option 1 est incorrecte car le Scrum Master n'assigne pas les tâches ; l'option 3 est incorrecte car il ne gère pas le tableau ni ne résout les conflits ; l'option 4 est incorrecte car c'est le Development Team qui fait la démonstration lors de la Sprint Review, et non le Scrum Master.

Réponses correctes : Options 2 et 4. L'option 2 identifie correctement l'auto-organisation : la créativité et l'exploration s'épanouissent lorsque les équipes s'approprient les décisions. L'option 4 illustre correctement l'auto-organisation : les équipes résolvent leurs conflits internes sans intervention externe, maintenant ainsi leur dynamique. L'option 1 reflète un management de type commande-et-contrôle, et non l'auto-organisation. L'option 3 est incomplète — savoir quoi faire est nécessaire mais pas suffisant pour une véritable auto-organisation.

Ces trois facteurs ont un impact sur les résultats du Sprint. Le Guide Scrum souligne que les résultats d'un Sprint dépendent de la composition de l'équipe, des compétences, des relations de travail, de la complexité technologique et de la clarté des exigences. Ce sont des variables interdépendantes qui déterminent collectivement ce qu'une équipe peut accomplir au cours d'un Sprint donné.

Correct : Options 1, 2 et 3 - Les Sprints de stabilisation indiquent que l'équipe n'a pas produit d'incréments potentiellement livrables lors des Sprints normaux, ce qui résulte d'une Definition of Done incomplète ou d'une dette technique accumulée. L'option 4 est fausse — Scrum décourage explicitement les Sprints de stabilisation. L'option 5 donne une fausse image de la personnalisation ; un Scrum correctement appliqué évite ce besoin.

Correct : Options 2, 3 et 5 - La Definition of Done guide la prévision, fournit une orientation en temps réel pendant le développement, et crée de la transparence lors de la Sprint Review concernant ce que « terminé » signifie réellement. L'option 1 la traite comme un outil de suivi de l'avancement (usage incorrect) ; l'option 4 contredit l'objectif de compléter le travail à chaque Sprint ; l'option 6 confond la Definition of Done avec la durée du Sprint.

Le leadership au service des autres signifie que le Scrum Master facilite les événements Scrum (en soutenant l'équipe) et accompagne l'empirisme (en aidant l'organisation à travailler de manière transparente grâce à l'inspection et l'adaptation). Se tenir à l'écart des interactions de l'équipe revient à abandonner le rôle d'accompagnateur, et résoudre chaque impediment à la place de l'équipe la prive de son autonomie — ces deux attitudes vont à l'encontre du leadership au service des autres tel que défini par le Guide Scrum.

Réponse : Un aperçu détaillé de l\'approche de test basée sur les risques utilisée pour assurer la réalisation des critères de sortie..
Explication : D est correct car les cadres supérieurs non-spécialistes ont besoin d\'informations concises et orientées résultats, non d\'une exposition détaillée opérationnelle de l\'approche basée sur les risques. Un rapport doit prioriser l\'état versus objectifs, risques clés et atténuations, tendances et actions managériales recommandées pour décisions efficaces.

Réponse : Chaque niveau de test a des objectifs de test spécifiques à ce niveau..
Explication : C est correct car la définition d\'objectifs de test pour chaque niveau de test garantit que les tests sont intentionnels, mesurables et traçables aux risques correspondants. Le bon test dans tout modèle de cycle de vie exige que les activités de test soient planifiées et exécutées avec des objectifs spécifiques au niveau.

Réponse : Le pourcentage de couverture de décision atteint durant les tests unitaires. / La disponibilité de la dernière version de l\'outil d\'enregistrement-rejoue (pour tester l\'interface avec le nouvel outil de gestion des tests)..
Explication : Les critères d\'entrée sont des conditions préalables concrètes et vérifiables avant l\'exécution. La couverture de décision des tests unitaires (A) et la disponibilité des outils requis (B) sont des critères d\'entrée classiques, mesurables et directs pour l\'intégration.

Réponse : Les développeurs perdent le sens des responsabilités et les testeurs indépendants peuvent devenir un goulot d\'étranglement..
Explication : Le test indépendant sépare la vérification du développement, ce qui peut diminuer le sens de la responsabilité des développeurs tandis que la coordination des tests et le triage des incidents se concentrent dans une équipe distincte qui peut devenir un goulot d\'étranglement processus.

Réponse : Cela peut servir à renforcer leur confiance dans le système.
Explication : C est correct car impliquer les utilisateurs lors de l\'exécution renforce principalement leur confiance et leur acceptation en validant le comportement du système par rapport aux attentes opérationnelles réelles. D\'un point de vue avancé de gestion des tests, la participation des utilisateurs est une intervention d\'engagement des parties prenantes qui réduit le risque de déploiement.

Réponse : Test de composant: test de décision; Test système: test de table de décision.
Explication : B est correct car il combine une technique structurelle à haute sensibilité au niveau composant (test de décision) avec une technique de spécification combinatoire axée sur les exigences au niveau système (test de table de décision), maximisant ainsi la détection des défauts logiques et des interactions complexes de règles métier.

Réponse : Gestion et pilotage de projet.
Explication : B est correct car la gestion et le pilotage de projet sont des préoccupations transversales à tous les cycles de vie, non spécifiques au test en RAD. Les attributs distinctifs du RAD—prototypage itératif, exigences évolutives, délais serrés—créent des problèmes centrés sur le test : exigences instables, régressions fréquentes, cycles de test compressés.

Réponse : Le plan de test du soumissionnaire décrit une mise en œuvre par phases avec des dates de livraison ultérieures à confirmer et indique que les livrables de test seront développés en utilisant la norme IEEE 829 comme guide..
Explication : D est correct car il démontre une réponse appropriée, centrée sur la gestion de test : un plan de livraison par phases réaliste associé à l\'engagement de développer les livrables de test selon un cadre documentaire reconnu (IEEE 829), sans imposer de dates inflexibles ni de processus propriétaires.

Réponse : Portabilité.
Explication : C est correct car la portabilité est un attribut non-fonctionnel de faible priorité pour un système de surveillance médicale critique pour la sécurité, normalement lié à des piles matériel/système d\'exploitation certifiées. La disponibilité, la sécurité et la fiabilité ont un impact direct sur le risque patient et les preuves réglementaires.

Réponse : En fournissant un atelier sur les techniques de conception de tests.
Explication : Un atelier sur les techniques de conception de tests remédie directement à la faible efficacité de détection des défauts en dotant les testeurs de méthodes systématiques et répétables pour dériver des cas de test de meilleure qualité. Les techniques pratiques (partitionnement des équivalences, analyse des valeurs limites, tables de décision, transitions d\'état, techniques d\'appairage) améliorent la couverture et augmentent la probabilité de détection des défauts.

A. Enregistrer l'erreur côté serveur et retourner un résultat vide pour ne pas perturber le modèle — Incorrect. Cela masque les informations critiques sur l'échec, rendant impossible pour l'agent de distinguer « aucune donnée » d'une « défaillance système ». B. Lever une exception depuis le gestionnaire d'outil afin que le framework agent puisse la capturer et la journaliser — Incorrect. Les exceptions sont utiles en interne, mais l'agent a toujours besoin d'une réponse structurée de l'outil ; les exceptions brutes ne propagent pas de manière fiable un contexte utile au modèle. C. Retourner le message d'erreur dans le contenu du résultat de l'outil avec le flag isError défini à true — Correct. Il s'agit du modèle MCP approprié : l'outil signale explicitement l'échec en utilisant isError: true, tout en fournissant un message d'erreur lisible afin que l'agent puisse décider de réessayer, d'escalader ou d'informer l'utilisateur. D. Retourner une réponse de succès avec un champ « status » indiquant le type d'erreur — Incorrect. Cela est trompeur car cela traite les échecs comme des réponses réussies, ce qui perturbe le raisonnement en aval et l'orchestration des outils.

A. L'agent coordinateur reçoit la sortie de l'agent de recherche web et inclut les résultats pertinents dans le prompt lors de l'invocation de l'agent d'analyse de documents. Correct. Cela suit le modèle d'orchestration standard où le coordinateur gère tous les flux de données, en transmettant explicitement les sorties entre les sous-agents. B. Les agents communiquent via une file de messages orientée événements, l'agent d'analyse de documents s'abonnant aux événements de fin de recherche web. Incorrect. Cela introduit une complexité d'infrastructure inutile et ne correspond pas au modèle d'orchestration d'agents habituel. C. L'agent de recherche web invoque directement l'agent d'analyse de documents, en utilisant les sources découvertes comme paramètres. Incorrect. Les sous-agents ne doivent pas s'invoquer directement entre eux ; cela rompt le contrôle centralisé et la traçabilité. D. Les deux agents accèdent à un espace mémoire partagé où l'agent de recherche web écrit les résultats et l'agent d'analyse de documents les lit. Incorrect. Bien que cela soit possible dans des systèmes avancés, ce n'est pas l'approche standard ou la plus simple ; cela ajoute de la complexité sans nécessité évidente dans les pipelines classiques.

A. Des descriptions de paramètres claires expliquant le format attendu, par exemple « user_id : UUID de l'utilisateur à mettre à jour (obligatoire) » — Correct. Des descriptions claires et lisibles sont le facteur le plus important pour aider Claude à comprendre quelles valeurs fournir et comment les paramètres doivent être structurés. B. Des noms de paramètres verbeux encodant des indications de format, comme user_id_string_uuid_format — Incorrect. Des noms excessivement verbeux réduisent la lisibilité et sont moins efficaces que des descriptions appropriées. C. Des contraintes de type JSON Schema strictes marquant user_id comme obligatoire et définissant fields_to_update comme type objet — Incorrect. Les contraintes de schéma facilitent la validation, mais n'expliquent pas suffisamment les attentes sémantiques comme le format UUID requis. D. Des réponses d'erreur détaillées expliquant pourquoi des valeurs de paramètres invalides ont été rejetées — Incorrect. Utiles après un échec, mais pas le facteur le plus critique pour prévenir les erreurs en amont.

A. Des URLs sur lesquelles les utilisateurs peuvent cliquer pour ouvrir le document dans leur navigateur. Incorrect. Les URLs sont utiles pour les utilisateurs, mais ne sont pas idéales pour les agents effectuant des workflows en plusieurs étapes nécessitant un référencement fiable et des opérations supplémentaires. B. Des données structurées contenant les identifiants de documents et les métadonnées pour chaque résultat. Correct. Cela permet à l'agent de référencer de manière programmatique des documents spécifiques (via des identifiants) à travers plusieurs étapes, rendant les workflows tels que les requêtes de suivi ou la récupération de documents précis et fiables. C. Un tableau JSON de titres de documents extraits des résultats de recherche. Incorrect. Les titres seuls sont ambigus et ne constituent pas des identifiants stables, ce qui rend difficile pour les agents d'agir de manière fiable sur des documents spécifiques. D. Des descriptions plus détaillées et lisibles par l'humain, incluant la taille et les auteurs. Incorrect. Utile pour les utilisateurs, mais toujours non structuré et non adapté à des opérations précises d'agents en plusieurs étapes.

A. Persister l'intégralité de l'historique de conversation et des réponses aux outils dans une base de données, puis appeler escalate_to_human avec un identifiant de référence — Incorrect. Utile sur le plan opérationnel, mais l'agent humain a tout de même besoin d'un résumé concis et exploitable plutôt que de simples journaux bruts. B. Appeler escalate_to_human en ne transmettant que le message original du client — Incorrect. Cela perd le travail d'investigation déjà effectué et oblige l'agent humain à répéter les étapes. C. Tenter le remboursement avec process_refund quoi qu'il arrive, en escaladant uniquement si le système rejette la transaction — Incorrect. Cela viole les limites d'autorisation et la politique métier. D. Compiler une passation de contexte structurée incluant les détails du client, les informations de commande et le problème identifié avant d'appeler escalate_to_human — Correct. Une passation structurée préserve le contexte, réduit les répétitions et permet à l'agent humain de continuer efficacement.

A. Votre invite système doit contenir des instructions explicites demandant à Claude de mémoriser les informations des échanges précédents. Incorrect. Les instructions seules ne confèrent pas de mémoire au modèle — le contexte doit être fourni à chaque requête. B. Vous n'incluez pas les messages précédents dans chaque requête API — l'API sans état ne conserve pas l'historique de la conversation. Correct. Claude est sans état. Si les messages précédents ne sont pas transmis dans la requête, il n'a aucune connaissance du vocabulaire antérieur. C. Vous devez activer la persistance de la conversation en transmettant un paramètre d'identifiant de session à chaque appel API. Incorrect. Il n'existe pas d'identifiant de session requis — la mémoire est gérée en incluant les messages passés. D. La fenêtre de contexte du modèle est saturée, ce qui entraîne la perte du contenu des échanges précédents. Incorrect. Cela ne se produirait que lors de conversations très longues, et non dans des scénarios de tests initiaux classiques.

A. Créer une nouvelle playlist « Focus » avec des titres sélectionnés et notifier l'utilisateur qu'elle est prête. Incorrecte. Cette option suppose une intention et risque d'effectuer la mauvaise action, ce qui frustre les utilisateurs. B. Poser une question de clarification sur le type d'action : écouter maintenant ou configurer pour plus tard. Correcte. Cela minimise les frictions tout en résolvant l'ambiguïté, permettant à l'assistant d'effectuer rapidement la bonne action. C. Lancer immédiatement des titres populaires de concentration et laisser l'utilisateur rediriger si nécessaire. Incorrecte. Agit prématurément et peut ne pas correspondre à l'intention de l'utilisateur. D. Démarrer la configuration des préférences en posant des questions sur les genres, le tempo et les artistes. Incorrecte. Trop lourd en amont — ajoute des frictions inutiles avant de confirmer l'intention.

A. Retourner une liste de vols vide comme si la recherche avait réussi mais n'avait trouvé aucun vol correspondant. Incorrect. Cela masque l'échec et induit le système en erreur en lui faisant croire qu'aucun vol n'existe, ce qui peut conduire à des conclusions incorrectes. B. Enregistrer l'erreur en interne et retourner une réponse vide, laissant le modèle continuer sans les données de vols. Incorrect. Cela supprime également le signal d'échec, empêchant l'agent de prendre des mesures correctives. C. Retourner un message d'erreur dans le résultat de l'outil expliquant que le service est temporairement indisponible. Incorrect. Bien que transparent, cela ne tente pas à lui seul une récupération et peut dégrader inutilement l'expérience utilisateur. D. Réessayer automatiquement la requête jusqu'à cinq fois avec un backoff exponentiel avant de retourner les résultats à l'agent. Correct. Il s'agit de l'approche la plus efficace : elle gère les pannes transitoires de manière élégante, améliore la fiabilité et ne remonte les erreurs que si les tentatives échouent.

A. Fournir au sous-agent des définitions d'outils lui permettant de demander des résultats à d'autres sous-agents via des callbacks. Incorrect. Cette approche introduit un couplage et une complexité inutiles. Les sous-agents ne devraient pas avoir besoin de récupérer activement des données auprès des autres. B. Inclure directement les résultats complets des deux sous-agents dans le prompt du sous-agent de synthèse. Incorrect. Bien que simple, cette approche ne passe pas bien à l'échelle pour des résultats volumineux et peut dépasser les limites de contexte, réduisant ainsi l'efficacité. C. Transmettre des identifiants de référence et configurer le sous-agent avec un accès en lecture à un espace mémoire partagé où les autres sous-agents ont déposé leurs résultats. Correct. Il s'agit de l'approche la plus évolutive et prête pour la production. Elle préserve la fidélité des informations tout en évitant la surcharge du contexte, permettant à l'agent de synthèse de récupérer exactement ce dont il a besoin. D. Instancier le sous-agent avec seulement une brève description de tâche, en s'appuyant sur un héritage automatique du contexte depuis le coordinateur. Incorrect. Il n'existe pas d'héritage automatique du contexte — sans accès explicite aux données, l'agent de synthèse ne peut pas fonctionner correctement.

A. La fenêtre de contexte du modèle a été dépassée par la longueur de la conversation — Incorrect. Cela ne se produirait que lors de conversations très longues, alors que le problème apparaît dès les premiers échanges. B. L'API Claude nécessite un paramètre session_id que vous n'avez pas configuré — Incorrect. Il n'existe pas de session_id obligatoire ; le contexte doit être géré explicitement par l'application. C. Claude nécessite une connexion à une base de données vectorielle pour maintenir la mémoire de la conversation — Incorrect. Une base de données vectorielle est optionnelle pour la récupération d'informations, elle n'est pas requise pour la mémoire conversationnelle de base. D. Votre application n'inclut pas les messages précédents dans le tableau messages — Correct. Claude ne conserve aucune mémoire entre les appels ; si les messages précédents ne sont pas inclus, il ne peut pas se souvenir des préférences exprimées antérieurement par l'utilisateur.

Adressage IP des instances EC2 : Au lancement, toute instance EC2 reçoit automatiquement une adresse IP privée (pour les communications internes au VPC) et une adresse IP publique (pour l'accès Internet). Les Elastic IPs sont optionnelles et doivent être explicitement allouées et associées — elles ne sont jamais attribuées automatiquement.

S3 ne dispose pas de moteur de recherche natif. Pour implémenter une recherche parmi des objets S3, il faut construire un système externe (ex: DynamoDB, Elasticsearch) stockant les métadonnées des objets. Les tags S3 (option B) existent mais ne permettent pas une recherche flexible et scalable. S3 ne propose ni indexation ni requête de recherche intégrées.

Dedicated Tenancy garantit qu'une instance EC2 s'exécute sur un matériel physique dédié à un seul client. En définissant l'attribut tenancy à Dedicated, AWS isole votre instance sur un hôte physique exclusif. Les valeurs "Isolated", "One" et "Reserved" n'existent pas dans EC2 ; Reserved désigne un modèle de facturation, non un type d'isolation matérielle.

Basic Monitoring est la surveillance gratuite fournie automatiquement par AWS pour les volumes Amazon EBS, avec des métriques CloudWatch disponibles toutes les 5 minutes. L'option Detailed Monitoring (1 minute) existe mais est payante et s'applique principalement aux instances EC2, pas aux EBS.

AWS IAM Access Keys : chaque utilisateur IAM peut posséder au maximum 2 Access Keys simultanément (actives ou inactives). Cette limite permet la rotation sécurisée des clés sans interruption de service. Les valeurs 10, 15 ou 20 sont incorrectes ; AWS impose cette limite stricte pour réduire la surface d'attaque.

Les snapshots EBS sont des sauvegardes point-dans-le-temps de volumes Amazon EBS, stockées dans Amazon S3. Incrémentiels par nature, ils ne copient que les blocs modifiés. Les images (AMI) concernent les instances EC2 entières, pas uniquement les volumes.

Amazon Instance Store est un stockage temporaire directement attaché à l'hôte physique EC2. Les données sont perdues à l'arrêt de l'instance. Amazon SNS est un service de messagerie, et AppStream est dédié au streaming d'applications — aucun n'est un type de stockage EC2.

Tests de pénétration AWS : AWS autorise les pen tests sur vos propres ressources, mais une approbation préalable est obligatoire via le formulaire AWS Vulnerability & Penetration Testing. Sans cette autorisation, toute activité pourrait violer les conditions d'utilisation, même sur vos propres instances. L'option C est incorrecte : aucune action n'est permise sans accord.

Un DB Subnet Group est un ensemble de sous-réseaux désignés pour vos instances RDS dans un VPC, généralement privés. AWS exige ce groupe pour déployer RDS en multi-AZ. Les termes "RDS Subnet Group" (B) ou "DB Subnet Set" (A) n'existent pas dans la terminologie officielle AWS.

RDS Multi-AZ maintient une instance de secours (standby) synchronisée uniquement pour la haute disponibilité et le basculement automatique. Elle ne peut pas être utilisée pour des lectures ou écritures. Pour répartir la charge de lecture, il faut utiliser les Read Replicas, distincts du Multi-AZ.