Ne découvrez pas l'examen
le jour J

Réponse : Construire le schéma relationnel / Gérer les paramètres de la base.
Explication : Le client doit gérer la structure logique (schéma, paramètres) ; AWS gère l’infrastructure sous-jacente.

Réponse : Instances Spot.
Explication : Les instances Spot offrent des économies importantes et sont adaptées aux charges tolérantes à l’interruption, comme le transcodage média.

Réponse : Amazon Macie. Explication : Amazon Macie utilise l'apprentissage automatique pour découvrir et protéger automatiquement les données sensibles stockées dans Amazon S3. Il identifie les données personnelles, les données financières et autres contenus sensibles, offrant une visibilité sur les risques de sécurité des données.

Réponse : Amazon EFS et Amazon EBS.
Explication : Amazon EFS (Elastic File System) et Amazon EBS (Elastic Block Store) servent tous deux à stocker des fichiers sur AWS. EFS est un système de fichiers partagé, EBS fournit des volumes de stockage pour EC2.

Réponse : Gestion des correctifs de l’infrastructure sous-jacente / Chiffrement du système de fichiers.
Explication : En tant que client, vous êtes responsable de la gestion des correctifs sur vos ressources et du chiffrement des données, alors qu’AWS gère la couche physique et l’hyperviseur.

Réponse : Maîtrise du cloud. Explication : La perspective des personnes du AWS CAF se concentre sur la gestion du changement organisationnel. La maîtrise du cloud — comprendre les concepts, les avantages et les modes de fonctionnement du cloud — est une capacité fondamentale de la perspective des personnes.

Réponse : Ressources élastiques / Économies de coûts.
Explication : AWS offre l’élasticité (scalabilité à la demande) et des économies par rapport à l’investissement en capital sur site.

Réponse : A) Coût des licences logicielles d'application. Lors de la migration vers AWS, les clients conservent la responsabilité de leurs propres licences logicielles d'application. AWS gère les coûts du matériel, de la mise en réseau et de l'hyperviseur, mais les frais de licence au niveau de l'application restent la responsabilité directe du client selon le modèle de responsabilité partagée.

Réponse : AWS Fargate. Explication : AWS Fargate est un moteur de calcul sans serveur pour les conteneurs qui élimine le besoin de gérer l'infrastructure du cluster EC2. Il gère automatiquement la mise en service, la mise à l'échelle et la gestion du cluster, remplaçant l'approche manuelle de Docker sur EC2.

Réponse : AWS CloudTrail.
Explication : AWS CloudTrail consigne tous les appels d’API et accès sur les ressources AWS du compte.

Async Inference : service AWS conçu spécifiquement pour traiter des payloads volumineux et des tâches longues asynchronement. Contrairement à Real-Time Inference limité par des timeouts (15 min max), Async permet des traitements sans contrainte temporelle, stocke les résultats dans S3, et optimise les coûts en ressources. Idéal pour batch processing, traitement d'images haute résolution ou modèles complexes.

Data Drift et Pipeline de Réentraînement : le data drift (décalage des données en production) est la cause principale de dégradation. Analyser ce décalage permet d'identifier où le modèle échoue, puis automatiser le réentraînement garantit une adaptation continue. Augmenter les données d'entraînement original (sans comprendre le drift) ou changer le taux d'apprentissage ne résout pas le problème fondamental de distribution différente en production.

Évaluation humaine contextuelle : combiner les retours directs des employés avec des prompts personnalisés par groupe permet d'identifier le style communicationnel préféré, contrairement aux classements publics (génériques) ou à la latence (métrique technique, non fonctionnelle). Les prompts par défaut masquent les variations de style que seule l'évaluation empirique révèle.

Amazon Rekognition : service de vision par ordinateur qui analyse les images pour détecter automatiquement du contenu inapproprié, violent ou explicite grâce à des modèles de ML pré-entraînés. Contrairement à Comprehend (texte), Macie (données sensibles) ou Textract (extraction OCR), Rekognition se spécialise dans l'analyse visuelle et la modération d'images en temps réel.

Amazon Q Business est un assistant d'IA générative destiné aux employés d'une entreprise — il répond à des questions métier en exploitant les données internes (SharePoint, S3, Confluence, etc.). Amazon Q Developer est un assistant de codage intégré aux IDE (VS Code, JetBrains) qui génère, explique et corrige du code. Les deux sont des produits distincts optimisés pour des cas d'usage différents : productivité métier vs productivité développeur.

Défense en profondeur contre l'injection de prompts : Les templates sécurisés et délimiteurs explicites créent une barrière structurelle entre instructions système et données utilisateur, empêchant leur fusion malveillante. L'IAM least-privilege limite les dégâts post-injection, mais ne prévient pas l'attaque elle-même. La température affecte la créativité, non la sécurité. L'accès public aux données aggrave les risques.

Amazon Transcribe : service de conversion parole-texte (Speech-to-Text) indispensable pour transformer l'audio brut en contenu textuel exploitable. C'est l'étape préalable obligatoire avant toute analyse NLP. Amazon Lex gère le dialogue conversationnel, Comprehend analyse du texte déjà structuré, et Rekognition traite l'image/vidéo. Seul Transcribe déverrouille l'information linguistique cachée dans l'audio.

Fenêtre de contexte vs température : La fenêtre de contexte définit le nombre maximum de tokens acceptés (input + output), limitant physiquement la taille du prompt. La température contrôle la variabilité des réponses (0=déterministe, 1=créatif), sans affecter la longueur. Confusion courante : croire que la température restreint le prompt.

Les modèles Amazon Titan sont développés par AWS et disponibles nativement sur Bedrock. Titan Text génère et résume du texte en plusieurs langues. Titan Embeddings convertit du texte en vecteurs numériques pour la recherche sémantique et les pipelines RAG. Titan Image Generator crée des images depuis des descriptions textuelles. Titan n'inclut pas nativement de synthèse vocale (c'est Amazon Polly) ni de transcription (c'est Amazon Transcribe).

SageMaker Clarify : service AWS spécialisé dans l'explicabilité des modèles IA et la détection de biais. Il génère des rapports détaillés sur les prédictions (SHAP, LIME) et mesure les biais avant/après déploiement. Contrairement à Model Monitor (dérive de performance), Data Wrangler (préparation) et Feature Store (stockage), Clarify se concentre exclusivement sur la transparence et l'équité des modèles.

Objectif de la Sprint Review : Il s'agit d'un événement d'inspection au cours duquel la Scrum Team et les parties prenantes examinent le travail accompli afin de recueillir des retours et d'identifier les adaptations à apporter aux Sprints futurs. Cela diffère des évaluations de performance (qui n'en sont pas l'objet) ou des activités de planification (qui font l'objet d'événements distincts), et cet événement s'appuie sur la Definition of Done plutôt que de la mettre à jour.

Timebox du Sprint Planning : Le Guide Scrum établit 8 heures comme durée maximale pour le Sprint Planning dans le cadre d'un Sprint d'un mois, avec des timeboxes proportionnellement plus courtes pour les Sprints plus courts (par exemple, 4 heures pour des Sprints de deux semaines). Cela garantit un temps suffisant pour que la Development Team et le Product Owner puissent discuter et s'engager sur les Sprint Goals sans générer une surcharge de planification excessive.

Selon le Guide Scrum, un Sprint est limité dans le temps à un mois calendaire ou moins. Cette limite supérieure garantit que la complexité reste gérable et que les risques sont examinés fréquemment. Des Sprints plus courts créent davantage de boucles d'apprentissage et permettent une adaptation plus rapide. La durée du Sprint doit rester constante tout au long du projet — elle est décidée par la Scrum Team et ne varie pas d'un Sprint à l'autre.

Résultat de la Sprint Review : Le résultat principal est un Product Backlog révisé reflétant les retours des parties prenantes et le travail accompli. Ce raffinement collaboratif garantit que le Backlog évolue sur la base de l'inspection et de l'adaptation, ce qui le distingue des améliorations de processus (Sprint Retrospective), des rapports à la direction (qui ne sont pas des artefacts Scrum) ou des critères d'acceptation (définis en amont, et non comme résultats).

Réponse : 8 heures pour un Sprint d'un mois.
Explication : Le Sprint Planning est limité dans le temps à 8 heures pour un Sprint d'un mois. Pour des Sprints plus courts, la durée maximale est proportionnellement réduite (par exemple, 4 heures pour un Sprint de deux semaines).

Propriété du Sprint Backlog : Les Developers mettent à jour le Sprint Backlog de manière exclusive pendant le Sprint, car celui-ci représente leur plan de travail engagé. Eux seuls possèdent les connaissances techniques nécessaires pour affiner les tâches, ajuster les estimations et gérer les détails de mise en œuvre. Bien que le Product Owner influence les priorités et que le Scrum Master facilite le processus, aucun des deux ne peut modifier unilatéralement les éléments du Sprint Backlog — préservant ainsi l'autonomie et la responsabilité des Developers.

La progression dans Scrum : Le Guide Scrum définit l'Increment fonctionnel répondant à la Definition of Done comme la mesure principale de la progression — et non la vélocité. La vélocité est un outil de planification utile, mais elle n'est pas mentionnée dans le Guide comme une mesure formelle de la progression.

Propriété du Sprint Backlog : Le Sprint Backlog appartient exclusivement aux Developers et est géré par eux. Bien que d'autres personnes (Product Owner, Scrum Master, parties prenantes) puissent demander des modifications, seuls les Developers peuvent le modifier directement, en fonction de leur compréhension évolutive du travail. Cette autonomie garantit que l'équipe maintient ses engagements et une planification réaliste tout au long du Sprint.

Participation au Sprint Planning : Le Sprint Planning est un événement Scrum au cours duquel toute la Scrum Team collabore pour définir le Sprint Goal et sélectionner les éléments du Product Backlog pour le Sprint à venir. Le Product Owner présente les priorités et clarifie les exigences, les Developers estiment l'effort et s'engagent sur les livrables, et le Scrum Master facilite l'événement et lève les obstacles. Cette participation collective garantit une compréhension partagée, des engagements réalistes et un alignement sur la livraison de valeur. L'exclusion des managers préserve l'autonomie de l'équipe, tandis que l'exclusion des parties prenantes maintient le pouvoir de décision focalisé de la Scrum Team durant la planification.

Réponse : Faux.
Explication : Le Scrum Guide n'exige pas que des critères d'acceptation complets soient définis avant la sélection lors du Sprint Planning. Un niveau de clarté suffisant est nécessaire pour que l'équipe de développement comprenne et s'engage sur le travail, mais une spécification complète n'est ni obligatoire ni souhaitable, et constitue souvent un gaspillage.

Le Daily Scrum est un événement de 15 minutes réservé aux Développeurs pour synchroniser leur travail et planifier leurs prochaines 24 heures. Le Product Owner n'a aucun rôle ni responsabilité requis lors de cette cérémonie, bien qu'il puisse y assister en tant qu'observateur s'il y est invité. C'est le Scrum Master qui facilite l'événement, et non le Product Owner, et les mises à jour de statut sont échangées entre les Développeurs, et non rapportées au Product Owner. Les mises à jour du Sprint Backlog et les approbations d'éléments se font en dehors du Daily Scrum, dans le cadre d'une collaboration continue.

La définition du Sprint Goal est une activité collaborative réalisée lors du Sprint Planning. Le Product Owner apporte un objectif métier — le « pourquoi » du Sprint — tandis que les Développeurs contribuent leur perspective technique sur ce qui est faisable. Le Product Owner ne définit pas le périmètre de manière unilatérale, et n'arrive pas non plus avec un Sprint Goal rédigé à l'avance. Cette collaboration garantit que le Sprint Goal reflète à la fois la valeur métier et la réalité du développement.

Réponse : Un ordre clair, un Product Goal, des éléments suffisamment clairs.
Explication : La transparence est assurée par un ordonnancement approprié, un alignement sur un Product Goal et des éléments compréhensibles par l'ensemble des parties prenantes.

Les rôles Scrum sont limités : Le cadre Scrum définit exactement trois rôles — Product Owner, Scrum Master et Developers — sans prescrire de titres de poste spécifiques tels qu'Analyste Métier ou Testeur. Bien que les membres de l'équipe Developers puissent réaliser des travaux de test ou d'analyse, Scrum maintient intentionnellement des rôles flexibles afin de s'adapter à diverses structures organisationnelles et compositions d'équipe.

Concept clé : La Sprint Retrospective est un événement Scrum appartenant à l'équipe de développement et facilité par le Scrum Master, sans être contrôlé par le Product Owner. Bien que le PO puisse y assister et y participer, il n'en définit ni le contenu ni l'ordre du jour. La Retrospective se concentre sur les améliorations des processus de l'équipe, les modes de collaboration et les façons de travailler — ce qui est distinct du rôle du PO dans la gestion de la valeur produit et des priorités du Backlog. L'équipe détermine ce qu'elle doit inspecter et adapter concernant ses processus, faisant de cet événement une activité pilotée par l'équipe et auto-organisée, plutôt qu'une activité dirigée par le PO.

Réponse : Unique par produit, peut contenir des bugs et des risques, émergent et évolutif.
Explication : Le Product Backlog est une liste unique et évolutive contenant des éléments variés — fonctionnalités, bugs, risques, travaux techniques — tous ordonnés par le Product Owner.

Concept clé : L'autorité d'annulation d'un Sprint appartient exclusivement au Product Owner. Le Product Owner détient le pouvoir d'annuler un Sprint lorsque l'Objectif du Sprint devient obsolète ou n'est plus aligné avec les priorités métier. Cela garantit que l'organisation peut pivoter rapidement lorsque les conditions du marché, les besoins des parties prenantes ou la direction stratégique changent fondamentalement. Bien que le Scrum Master facilite le processus et accompagne l'équipe, et que les Developers exécutent le travail, aucun d'eux ne possède l'autorité d'annulation. Le PMO, en tant qu'organe de gouvernance externe, ne fait pas partie de la structure de décision du cadre Scrum pour les Sprints individuels. Cette autorité concentrée prévient les annulations arbitraires tout en maintenant l'agilité au niveau organisationnel.

Concept clé : Le Product Goal représente l'objectif à long terme et l'engagement formel du Product Backlog. Selon le Guide Scrum 2020, chaque Product Backlog possède un unique Product Goal qui décrit l'état futur que le produit atteindra. Cet engagement fournit une direction, une cohérence et un sens à tous les éléments du Product Backlog ainsi qu'au travail des Sprints. Le Product Goal se distingue des user stories individuelles ou des Sprint Goals — c'est la vision globale qui guide la priorisation et garantit que tous les efforts de refinement du Backlog et de développement s'alignent avec la stratégie organisationnelle. Comprendre cet engagement est essentiel pour que les Product Owners maintiennent leur focus et communiquent la valeur livrée aux parties prenantes tout au long de l'évolution du produit.

Réponse : Examiner les besoins virtuels de l’équipe. La collaboration dépend des outils, processus et interactions, pas seulement des horaires.

Diagramme de réseau (PERT/CPM) : Outil fondamental de planification qui représente graphiquement l'ensemble des activités du projet et leurs interdépendances logiques. Chaque activité est représentée par un nœud ou une flèche, reliée aux autres par des liens de dépendance (fin-début, début-début, fin-fin, début-fin). Ce diagramme permet d'identifier le chemin critique, les marges de manœuvre et la durée minimale du projet. C'est l'outil par excellence pour visualiser comment les activités s'enchaînent et s'influencent mutuellement.

Pourquoi les autres options sont incorrectes : Le diagramme de Pareto analyse la distribution des problèmes (loi 80/20), l'histogramme affiche les ressources ou données quantitatives dans le temps, et le diagramme d'Ishikawa (causes-effets) explore les causes de problèmes qualité. Aucun n'est conçu pour montrer les relations séquentielles entre activités. Selon le PMBOK 7e édition, le diagramme de réseau est le livrable clé du processus de planification de l'ordonnancement (Sequence Activities), indispensable pour la gestion efficace des dépendances et l'analyse du chemin critique.

Ordre des processus de gestion des risques : Planifier → Identifier → Analyser → Planifier les réponses → Surveiller. La planification établit d'abord la stratégie, puis l'identification découvre les risques, l'analyse les évalue, les réponses les traitent, et la surveillance assure le suivi continu. Cet ordre logique garantit une gestion structurée et complète.

Charte de projet : document formel qui autorise officiellement le lancement du projet et habilite le chef de projet à utiliser les ressources organisationnelles. Émise par le sponsor, elle valide le business case et précède le plan détaillé. Le plan de management vient après et détaille l'exécution.

Valeur Acquise (EVM) : méthode intégrée combinant portée, calendrier et coûts pour mesurer la performance réelle du projet. Elle permet de comparer le travail réalisé (valeur acquise) au travail planifié (valeur planifiée) et aux coûts engagés, offrant une vision globale et objective de l'état du projet, contrairement aux approches isolées mesurant un seul paramètre.

Registre des activités (Activity List) : c'est le document fondamental qui énumère de manière exhaustive et structurée toutes les activités nécessaires pour accomplir le projet. Il représente la décomposition détaillée des livrables du WBS en activités spécifiques, mesurables et exécutables, incluant les descriptions, les durées estimées et les dépendances. Le registre des activités est créé lors du processus de définition des activités (Define Activities) et sert de base pour la planification des délais, des ressources et des coûts. Contrairement au WBS qui organise les livrables de manière hiérarchique par domaines ou phases, le registre des activités présente une liste séquentielle et détaillée des tâches concrètes. La charte de projet n'offre qu'une autorisation et une vision de haut niveau, tandis que le plan de management du projet est un ensemble plus large de plans intégrés. En pratique agile (PMBOK 7e), bien que l'approche soit itérative, le registre des activités ou un équivalent (comme le product backlog décomposé en tâches) reste essentiel pour la traçabilité et la gestion opérationnelle du projet.

Gérance responsable (Stewardship) dans le PMBOK 7e édition : La gérance responsable représente l'obligation éthique et morale du chef de projet à agir avec intégrité et transparence envers tous les stakeholders. Cette approche fondamentale signifie honorer les responsabilités confiées en mettant l'intérêt collectif du projet avant les bénéfices personnels. Pourquoi cette réponse est correcte : L'intégrité (agir conformément aux valeurs éthiques) et la transparence (communiquer ouvertement et honnêtement) constituent les deux piliers essentiels du stewardship selon le PMBOK. Cela englobe la prise de décisions justes, la communication honnête des risques et des problèmes, et le respect des engagements. Distinction des autres options : Bien que "Protéger les ressources et données confiées" soit un comportement important du stewardship, ce n'en est qu'une composante et non l'essence même. "Dissimuler les problèmes pour éviter l'escalade" contredit directement le principe de transparence, tandis que "Optimiser sa notoriété personnelle avant celle du projet" viole le principe fondamental de placer l'intérêt du projet avant l'intérêt personnel. Le steward

Un tableau axé valeur inclut des bénéfices attendus vs réalisés, des jalons de valeur, et des indicateurs de résultats d’usage/satisfaction; les heures saisies brutes ou le nombre de pages de documentation sont peu pertinents pour la valeur.

Plan de réalisation des bénéfices : document qui définit comment identifier, mesurer et suivre les bénéfices attendus du projet après sa clôture. Contrairement à la charte (lancement), il se concentre spécifiquement sur la phase post-projet et la création de valeur à long terme.

Cette question correspond à l’objectif FL-2.2.2 (K2) – Distinguer les différents types de tests.
La réponse correcte est a) 1A, 2C, 3B, 4D
● 1)A : Correct : Régression = vérifier que rien n’a été cassé par un changement.
● 2)C : Correct : Confirmation = retester une correction spécifique.
● 3)B : Correct : Acceptation = répondre aux besoins métier.
● 4)D : Correct : Intégration = test des interfaces entre composants.

Cette question correspond à l’objectif d’apprentissage FL-5.4.1 (K2) – Résumer la manière dont la gestion de configuration soutient les tests.

● a) Faux → Ce serait insuffisant, et trop simpliste.
● b) Faux → Ce n’est ni lié à la vitesse ni au type de test.

● c) Correct → C’est l’essence même de la gestion de configuration dans un contexte de test multi-version.

● d) Faux → Cela relève du contrôle de version de code, pas du test.

Cette question correspond à l’objectif d’apprentissage FL-3.2.4 (K2) – Comparer et opposer les différents types de revues.
La bonne réponse est d) 1B, 2A, 3C, 4D
● 1B) Correct → Une revue informelle ne suit pas de processus strict.
● 2A) Correct → L’inspection est une revue très structurée avec un modérateur et des
checklists.
● 3C) Correct → Une revue technique implique des experts métier ou techniques pour
examiner un document.
● 4D) Correct → La revue par les pairs est une analyse collaborative des documents.

Cette question correspond à l’objectif d’apprentissage FL-3.1.2 (K2) – Expliquer la valeur du test statique.

La réponse correcte est a) 1A, 2B, 3C, 4D

● 1A) Correct : Moins de défauts en production = moins de coûts en fin de cycle.
● 2B) Correct : Le test statique permet d’identifier les erreurs avant que le code soit écrit.
● 3C) Correct : Les revues statiques aident l’équipe à mieux comprendre les exigences.
● 4 D) Correct : Le test statique n’exécute pas le code, il l’analyse.

Cette question correspond à l\'objectif d\'apprentissage FL-4.4.2 (K2) - Expliquer le test exploratoire.

● a) Faux → Les tests basés sur des listes de contrôle nécessitent généralement que les exigences soient connues à l\'avance pour créer les listes appropriées.
● b) Faux → L\'estimation d\'erreur est utile pour anticiper les défauts basés sur l\'expérience, mais n\'est pas la meilleure approche dans cette situation où une couverture systématique est nécessaire rapidement.
● c) Correct → Les tests exploratoires sont idéaux quand le temps est limité et que les exigences ne sont pas complètement disponibles. Cette technique s\'appuie sur
les connaissances du domaine et les compétences analytiques du testeur pour explorer le système de manière structurée mais flexible.
● d) Faux → Les tests de branche sont une technique de test de structure \"boîte blanche\" qui nécessite l\'accès au code source, ce qui n\'est pas mentionné dans le scénario et ne résout pas le problème du manque d\'exigences.

Cette question correspond à l’objectif FL-5.3.3 (K2) – Donner des exemples de communication de l’état d’avancement des tests.
● a) Faux → Trop technique, inutile pour un suivi métier.
● b) Faux → La revue de code concerne la qualité du code, pas l’avancement des tests.
● c) Correct → Le burndown chart est un excellent moyen visuel de suivre la progression dans le temps.
● d) Faux → Les commits ne donnent pas de vue globale sur l’exécution des tests.

Cette question correspond à l’objectif FL-5.5.1 (K3) – Préparer un rapport de défaut.
● a) Faux → Utile, mais pas bloquant pour comprendre l’erreur.
● b) Correct → Sans résultat attendu, il est impossible de savoir ce qui aurait dû se produire → c’est l’élément clé manquant
● c) Faux → Peu utile dans la reproduction du défaut.
● d) Faux → Intéressant dans certains cas (web), mais pas toujours essentiel

Cette question correspond à l’objectif d\'apprentissage FL-2.1.6 (K2) – Expliquer comment les rétrospectives peuvent être utilisées comme mécanisme d\'amélioration des processus.
● a) Faux → Supprimer une activité essentielle n’est pas une amélioration mais une régression.
● b) Faux → Agrandir les sprints ne règle pas le problème d’origine.
● c) Correct → La rétrospective permet d’analyser, comprendre et agir sur les causes racines, ce qui est une véritable démarche d’amélioration continue.
● d) Faux → Cela aggraverait le manque de communication, au lieu de résoudre le problème.

Cette question correspond à l’objectif d’apprentissage FL-5.3.2 (K2) – Résumer les objectifs,le contenu et les destinataires des rapports de test.

● a) Faux → Le rapport ne vise pas à convaincre, mais à informer objectivement.
● b) Correct → C’est exactement ce que doit contenir un rapport de test clair et utile pour les parties prenantes.
● c) Faux → Ce rôle revient aux développeurs, pas aux testeurs.
● d) Faux → Le fonctionnement de l’outil n’est pas pertinent pour la majorité des destinataires

Cette question correspond à l’objectif d’apprentissage FL-1.4.1 (K2) – Résumer les différentes activités et tâches de test.

La réponse correcte est a) 1A, 2B, 3C, 4D

● 1A (Correct) → Définir les critères d’entrée et de sortie fait partie de l’analyse des tests.
● 2B (Correct) → La conception des tests consiste à élaborer les cas de test à partir
des exigences et spécifications.
● 3C (Correct) → L’implémentation des tests inclut la préparation de l’environnement et des données de test.
● 4D (Correct) → La clôture des tests implique de vérifier l’exécution des tests et d’analyser les résultats.

Le contrôle d'accès obligatoire (MAC) est le modèle le plus restrictif — une autorité centrale (administrateur système, responsable de la sécurité) attribue des étiquettes de sensibilité aux sujets (utilisateurs) et aux objets (fichiers). L'accès n'est accordé que lorsque le niveau d'habilitation du sujet est égal ou supérieur à la classification de l'objet (par exemple, un utilisateur avec une habilitation « Secret » peut accéder aux fichiers « Secret » et « Non classifié », mais pas aux fichiers « Très Secret »). Le DAC laisse les propriétaires décider qui accède à leurs ressources. Le RBAC attribue les permissions en fonction des rôles professionnels. L'ABAC utilise des attributs et des politiques.

L'énoncé des travaux (Statement of Work - SOW) : Un document contractuel contraignant qui précise le périmètre du projet, les livrables, le calendrier, l'allocation des ressources et les estimations horaires pour les services d'un prestataire. Contrairement aux SLA (métriques de performance), aux NDA (confidentialité) ou aux BPA (termes de partenariat), le SOW définit directement les limites de la mission et les coûts de main-d'œuvre.

Réponse : Site tiède (Warm).
Explication : Un site tiède (warm site) dispose d'un matériel partiellement configuré et d'une capacité limitée de restauration des données, offrant un RTO/RPO de quelques heures à quelques jours. Il est économique (moins coûteux qu'un site chaud) tout en satisfaisant une exigence de reprise en 2 jours, contrairement à un site froid qui nécessiterait plusieurs semaines.

Phase d'analyse : Cette phase consiste à examiner les indicateurs d'incident afin de déterminer les causes profondes, les vecteurs d'attaque et l'étendue de la compromission. Comprendre l'origine d'une attaque nécessite un examen détaillé des journaux, des artefacts et du comportement des systèmes. La détection permet d'identifier qu'un incident s'est produit, le confinement en stoppe la propagation, et les retours d'expérience interviennent après l'incident — seule la phase d'analyse se concentre sur l'investigation de la source.

Ransomware : logiciel malveillant qui chiffre les fichiers de la victime et en restreint l'accès, exigeant un paiement (rançon) en échange des clés de déchiffrement. Contrairement aux chevaux de Troie (diffusion trompeuse), aux virus (auto-réplication) ou aux logiciels espions (vol de données), la caractéristique distinctive du ransomware est l'extorsion par chiffrement.

Réponse : Un attaquant tente de forcer par brute force le compte de jsmith.
Explication : De multiples tentatives de connexion échouées contre le même compte, provenant d'une ou plusieurs adresses IP, sont caractéristiques d'une attaque par force brute. Les journaux afficheraient des échecs d'authentification répétés pour jsmith sur une courte période.

Réponse : Le client.
Explication : Dans un modèle cloud IaaS, le client est responsable de la sécurisation de tout ce qui se trouve au-dessus de l'hyperviseur : le système d'exploitation, les logiciels de base de données, l'application, les données et les contrôles d'accès. Le fournisseur cloud sécurise l'infrastructure physique et l'hyperviseur.

Fonction d'un pare-feu : Un pare-feu examine le trafic réseau entrant et sortant, en appliquant des règles pour autoriser ou bloquer des paquets de données selon des politiques de sécurité prédéfinies. Cela empêche les accès non autorisés et protège les réseaux contre les menaces. Contrairement au chiffrement (B) qui sécurise le contenu des données, ou à la gestion des mots de passe (C) qui gère l'authentification, les pare-feux opèrent au périmètre du réseau pour contrôler le flux de trafic.

La classification des données de santé : la loi HIPAA exige que les informations médicales des patients soient classifiées comme « Sensibles » en raison de leur statut d'informations de santé protégées (PHI), imposant ainsi le chiffrement et des contrôles d'accès. Contrairement à la catégorie « Publique » (sans restriction), « Privée » (personnelle mais non réglementée) ou « Critique » (axée sur la disponibilité des systèmes), la catégorie « Sensible » désigne spécifiquement les données réglementées nécessitant une protection renforcée et des obligations de notification en cas de violation.

Le Jailbreaking : le processus consistant à supprimer les restrictions de sécurité imposées par le fabricant sur les appareils mobiles, permettant aux utilisateurs d'installer des applications non autorisées et de modifier les paramètres système. Dans les environnements BYOD, cela crée des risques significatifs, notamment l'installation de logiciels malveillants, l'exposition aux violations de données et la perte de contrôle de la gestion des appareils. Contrairement au dépassement de tampon (exploitation de la mémoire), à l'évasion de machine virtuelle (vulnérabilité de l'hyperviseur) ou à la fin de vie (obsolescence de l'appareil), le jailbreaking représente une action délibérée de l'utilisateur qui compromet directement les dispositifs de sécurité mobile essentiels à la protection des données d'entreprise sur les appareils personnels.

Réponses : Une latence faible est attendue et les données sont traitées au fur et à mesure de leur création. Explication : Le traitement en temps réel traite les données immédiatement au moment où les événements se produisent avec un délai minimal. Contrairement au traitement par lots qui accumule d'abord les données, le traitement en temps réel nécessite une faible latence et l'ingestion et le traitement continus des données.

Réponse : Atomicité. Explication : L'atomicité est le « A » dans les propriétés ACID des bases de données transactionnelles. Elle garantit qu'une transaction est traitée comme une unité indivisible — soit toutes les opérations réussissent (commit), soit toutes échouent (rollback), sans exécution partielle.

CREATE TABLE : commande SQL fondamentale qui définit une nouvelle table avec ses colonnes, types de données et contraintes. Contrairement à INSERT INTO (qui ajoute des lignes à une table existante), SELECT INTO (qui crée une table à partir de données existantes) ou ALTER TABLE (qui modifie une structure existante), CREATE TABLE est la seule commande permettant de créer une table vierge avec un schéma défini explicitement dès le départ.

Réponse : sqlcmd. Explication : sqlcmd est l'utilitaire de ligne de commande pour se connecter et interroger SQL Server et les bases de données Azure SQL. Il supporte l'exécution de requêtes T-SQL, de scripts et de procédures stockées directement depuis la ligne de commande.

Azure Table Storage : service NoSQL qui stocke des données structurées en paires clé-valeur (PartitionKey + RowKey) sans schéma rigide. Idéal pour les données semi-structurées et évolutives. Contrairement aux bases relationnelles (réponse 1) avec schémas fixes, ou aux Blob Storage (réponse 3) pour fichiers volumineux, Table Storage offre flexibilité et requêtes rapides sur des entités simples.

Réponse : Azure SQL Database. Explication : Azure SQL Database est une base de données relationnelle entièrement gérée en tant que PaaS qui minimise la maintenance continue. Microsoft gère les mises à jour du système d'exploitation, les mises à jour de SQL Server, les sauvegardes et la haute disponibilité. C'est le choix recommandé pour les nouvelles charges de travail de bases de données relationnelles dans Azure.

Limites transactionnelles de Cosmos DB : bien que Cosmos DB supporte les transactions ACID au niveau de la partition, il n'excelle pas dans les scénarios avec nombreuses jointures multi-tables et calculs analytiques complexes typiques des systèmes financiers. SQL Server ou PostgreSQL sont mieux adaptés pour ces besoins. Cosmos DB brille inversement pour les données non-relationnelles distribuées globalement.

Azure Stream Analytics : service spécialisé dans le traitement en temps réel de flux d'événements continus (IoT, logs, données financières). Contrairement à Data Lake Storage (stockage), Data Factory (orchestration ETL) ou Synapse Analytics (entrepôt de données), Stream Analytics ingère et analyse les données à la volée sans les persister d'abord, idéal pour alertes et décisions instantanées.

Un index est une structure de données auxiliaire qui accélère les opérations de lecture (SELECT, WHERE) en permettant au moteur SQL de localiser rapidement les lignes sans scanner toute la table. Les index clustered et non-clustered optimisent différents types de requêtes. Inconvénient : les index ralentissent les opérations d'écriture (INSERT, UPDATE, DELETE) car ils doivent être mis à jour à chaque modification. Ils consomment aussi de l'espace disque. Un équilibre entre index de lecture et performance d'écriture est nécessaire.

OLTP vs OLAP : OLTP (Online Transaction Processing) traite des transactions courtes et fréquentes (ventes, paiements) optimisées pour la vitesse. OLAP (Online Analytical Processing) analyse de grands volumes historiques pour le reporting et la décision. OLTP = écriture rapide, OLAP = lecture massive. Contrairement aux idées fausses, OLAP supporte SQL et n'est pas limité à l'IoT.

Réponse : OB52
La transaction OB52 (ou l'app Fiori équivalente) permet d'ouvrir et de fermer les périodes comptables FI par type de compte et par société. C'est l'outil central de contrôle des périodes de comptabilisation en SAP FI.

Réponse : Vrai
Pour exécuter un prélèvement SEPA (SDD - SEPA Direct Debit), un mandat SEPA actif doit être associé au Business Partner client. Ce mandat contient le numéro de mandat, les coordonnées bancaires et la date de signature. Sans mandat valide, le prélèvement ne peut pas être généré.

Réponse : Écritures périodiques (accruals/deferrals) ; Valorisation de change ; Nettoyage GR/IR ; Lettrage automatique F.13 ; Revue des comptes et justification des variations.
Explication : Ces actions sécurisent l’exhaustivité et la fiabilité des états financiers.

Réponse : Modèles de listes de tâches ; Dépendances et jalons ; Assignation d’organisations et de rôles ; Suivi d’exécution et journalisation.
Explication : Le FCC industrialise la planification et l’exécution de la clôture avec traçabilité.

FB60 (ou son équivalent Fiori) permet la saisie directe d'une facture fournisseur en FI-AP sans lien avec le processus d'achat (MM). Elle génère une écriture débitant le compte de charge et créditant le compte collectif fournisseur. En revanche, MIRO est utilisée pour les factures avec référence bon de commande (flux MM-FI). FB65 est pour les avoirs fournisseurs sans BDC. F-43 est l'ancienne transaction de saisie manuelle. Dans S/4HANA, les apps Fiori remplacent progressivement ces transactions.

Réponse : ABUMN
La transaction ABUMN (Transfer within Company Code) permet d'effectuer un transfert d'immobilisation au sein d'un même code société, par exemple pour changer de classe d'immobilisation, de numéro d'actif ou d'objet de coût imputé.

Une zone d'évaluation (Depreciation Area) permet de gérer différentes méthodes et règles d'amortissement pour le même actif selon des référentiels comptables différents. Exemple : Zone 01 = IFRS (amortissement linéaire), Zone 02 = fiscale locale (amortissement dégressif accéléré), Zone 15 = gestion des centres de coût (CO). Chaque zone calcule indépendamment la valeur nette comptable et les amortissements. Cette architecture permet à une entreprise de satisfaire simultanément aux exigences IFRS, GAAP locaux et obligations fiscales sans dupliquer les actifs.

Réponse : Clé de transaction, classe de valorisation, modificateur, type de mouvement
OBYC (Automatic Account Determination MM) utilise une combinaison de facteurs pour déterminer les comptes G/L lors des mouvements de stock : la clé de transaction (BSX, WRX, etc.), la classe de valorisation du matériel, le modificateur de compte et parfois le type de mouvement.

Réponse : ACDOCA
La table ACDOCA (Universal Journal Entry Line Items) est la table centrale du Journal Universel en SAP S/4HANA. Elle remplace BSEG (FI), COEP (CO) et ANEK (AA) en consolidant toutes les écritures comptables dans un référentiel unique.

Réponse : Détermine intervalle de numérotation ; Contrôle autorisations ; Définit type d’opération.
Explication : Le type de document pilote numérotation et logique FI.

Concept clé : Test de robustesse pour la sécurité. La robustesse désigne une performance cohérente dans des conditions variées. Pour les systèmes AI critiques pour la sécurité, les testeurs doivent valider la performance dans des conditions de pluie, de brouillard, de neige, en conditions nocturnes, ainsi que dans des cas limites et des scénarios inattendus, afin de s'assurer que le système reste sûr en déploiement réel.

Concept clé : L'accountability dans l'éthique de l'AI. Les organisations doivent assumer la responsabilité des résultats des systèmes AI et établir des structures claires de responsabilité. Les tests doivent vérifier que des pistes d'audit existent, que la logique de décision peut être examinée, et que des mécanismes sont en place pour remédier aux préjudices causés par les décisions AI.

Concept clé : Explicabilité (XAI). Celle-ci fait référence à la transparence des processus de prise de décision. Les tests d'explicabilité consistent à vérifier que les parties prenantes peuvent comprendre pourquoi un système AI a pris une décision spécifique, ce qui est crucial pour l'éthique de l'AI et la conformité réglementaire, notamment dans les domaines à enjeux élevés tels que la santé et la justice pénale.

Réponse : L\'utilisateur ou son représentant autorisé.
Explication : En ITIL 4, ce sont les utilisateurs (ou leurs représentants autorisés) qui soumettent des demandes de services, car ils sont les consommateurs directs des services fournis.

Réponse : Une demande d\'un utilisateur concernant quelque chose qui fait partie intégrante de la fourniture normale des services.
Explication : La gestion des demandes de services prend en charge les demandes standard faisant partie de la fourniture normale des services, comme une réinitialisation de mot de passe ou la commande d\'un équipement.

Réponse : Les centres de services doivent comprendre l\'organisation dans son ensemble.
Explication : Les centres de services doivent avoir une compréhension globale de l\'organisation pour orienter correctement les utilisateurs, comprendre les impacts des incidents et prioriser les demandes.

Réponse : Offre de service.
Explication : Une offre de service est un ensemble de produits et services proposé à un consommateur. Le package (ordinateur + logiciels + licences + support) constitue une offre de service complète et packagée.

Réponse : Une autorité de changement doit être assignée pour chaque type et chaque modèle de changement.
Explication : Chaque type et modèle de changement doit avoir une autorité de changement désignée, garantissant une gouvernance claire et des décisions prises par les personnes appropriées selon le risque et l\'impact.

Réponse : Progresser par itérations avec des retours.
Explication : Le principe \'Progresser par itérations avec des retours\' recommande de diviser le travail en petites étapes gérables avec des boucles de feedback fréquentes pour s\'adapter et corriger rapidement.

Réponse : Pour planifier les changements et éviter les conflits.
Explication : Le calendrier des changements sert principalement à planifier les changements et à prévenir les conflits entre eux, en offrant une vue consolidée de tous les changements prévus.

Réponse : Déterminer qui est le consommateur du service dans chaque situation.
Explication : Lors de l\'application du principe \'Privilégier la valeur\', la première étape est d\'identifier qui est le consommateur, car la valeur est toujours définie du point de vue du consommateur du service.

Réponse : les résultats.
Explication : Selon ITIL 4, un service est un moyen de co-créer de la valeur en facilitant les résultats que les clients souhaitent atteindre, sans qu\'ils aient à gérer les coûts et risques spécifiques.

Réponse : Un changement préautorisé qui est bien compris et intégralement documenté.
Explication : Un changement standard est préautorisé, bien compris et intégralement documenté. Son faible risque lui permet d\'être implémenté sans passer par le processus d\'approbation habituel.

• Dans Teams, la messagerie vocale est liée à la boîte aux lettres Exchange Online.

• Même sans licence Phone System, Teams peut délivrer les messages vocaux dans la boîte aux lettres Exchange Online.

• Les autres options :

  • B : Teams Premium ajoute des fonctionnalités avancées, pas nécessaire pour la messagerie vocale basique.

  • C : Phone System est requis uniquement pour passer/recevoir des appels via le PSTN.

  • D : Power Automate ne gère pas la messagerie vocale Teams nativement.

• Dans Microsoft Stream, on peut contrôler :

  • Qui peut regarder une vidéo (exiger l’authentification)

  • Si la vidéo peut être téléchargée (désactiver le téléchargement)

• Cette configuration garantit que seuls les employés authentifiés peuvent accéder au contenu et qu’aucun téléchargement n’est possible.

• Les autres options ne répondent pas au besoin :

  • A : OneDrive sync ne concerne pas Stream.

  • B : Désactiver l’accès invité protège l’ensemble du tenant, mais ne gère pas les vidéos internes.

  • D : Une politique de rétention supprime des vidéos, ne contrôle pas l’accès ou le téléchargement.

• Lorsqu’une Power App est intégrée dans Teams, ses données sont stockées automatiquement dans un environnement Dataverse pour Teams.

• Cela permet :

  • Un stockage structuré et sécurisé

  • L’accès aux données uniquement aux membres de l’équipe Teams

• Les autres options ne sont pas utilisées par défaut pour les Power Apps dans Teams :

  • A : OneDrive for Business sert au stockage de fichiers personnels ou partagés.

  • C : Azure Blob Storage est un service de stockage cloud général, non utilisé par défaut.

  • D : SharePoint Online site library stocke des fichiers, pas les tables Dataverse des Power Apps.

• Par défaut, les journaux d’audit Microsoft 365 ont une durée de conservation limitée.

• Pour les conserver plus longtemps (ex. 1 an ou plus), il faut configurer une Audit log retention policy dans Microsoft Purview.

• Cela permet de répondre aux exigences réglementaires et de conformité.

❌ Pourquoi les autres réponses sont incorrectes :

• B. Litigation Hold (Exchange) → Concerne la conservation des emails, pas les journaux d’audit globaux.

• C. Sensitivity label retention → Gère la protection et la conservation des documents/emails, pas des logs d’audit.

• D. Azure Information Protection → Sert à classifier et protéger les données, pas à gérer la durée des logs d’audit.

🎯 À retenir pour l’examen MS-900 :

• Audit logs = Microsoft Purview (Audit log retention policy)

• Litigation Hold = emails

• Sensitivity labels = protection des données

• Rédiger avec Copilot permet de :

  • Analyser le message précédent

  • Générer automatiquement un email de réponse ou de refus poli

  • Accélérer la rédaction tout en restant professionnel

• Les autres options n’impliquent pas Copilot :

  • Réponse rapide → simplement un raccourci pour répondre rapidement

  • Focused Inbox → organise les emails, ne rédige rien

  • Schedule Send → planifie l’envoi, ne crée pas de contenu

    🎯 À retenir pour l’examen MS-900 :

    • Copilot dans Outlook = générer des brouillons intelligents basés sur le contexte du message

    • Tout ce qui est filtre, calendrier ou planification n’utilise pas Copilot.

• Le bloc-notes est stocké dans un site SharePoint d’équipe.

• L’URL correcte doit donc pointer vers :

  • Le tenant SharePoint principal (contoso.sharepoint.com)

  • Le site d’équipe (/sites/ProjectTeam)

  • Le dossier du bloc-notes

L’option B correspond à une URL SharePoint classique permettant :

• L’ouverture dans OneNote Desktop

• La synchronisation automatique

• Les mises à jour en temps réel pour tous les membres

❌ Pourquoi les autres réponses sont incorrectes :

• A et C → Utilisent contoso-my.sharepoint.com, qui correspond à OneDrive personnel, pas à un site SharePoint d’équipe.

• D → URL interne SharePoint (_layouts) utilisée pour l’interface web, pas pour un accès direct propre au bloc-notes.

🎯 À retenir pour l’examen MS-900 :

• tenant.sharepoint.com/sites/... = site d’équipe SharePoint

• tenant-my.sharepoint.com = OneDrive personnel

• Pour collaboration d’équipe → toujours utiliser l’URL du site SharePoint

• Dans Microsoft Teams, une app setup policy (politique de configuration d’applications) permet :

  • De définir quelles applications apparaissent par défaut dans la barre d’applications Teams de chaque utilisateur.

  • D’ajouter, supprimer ou réorganiser les applications pour tous les utilisateurs ciblés.

• En configurant cette politique pour tous les utilisateurs, Forms sera automatiquement visible dans la barre d’applications, sans action supplémentaire de leur part.
  
  

  🎯 À retenir pour l’examen MS-900 :

  • App setup policy = déploiement automatique d’applications dans Teams

  • Catalogue ou Azure AD = visibilité et gestion, mais pas déploiement automatique dans la barre d’applications.

• Lorsqu’une application PaaS comme Azure App Service présente des problèmes de connectivité intermittents, il est important de vérifier d’abord la connectivité côté client et réseau interne :

  • Problèmes avec le réseau de l’entreprise ou l’ISP peuvent provoquer des interruptions intermittentes.

• Microsoft support intervient si le problème vient de la plateforme Azure elle-même.

• Commencer par le réseau interne permet de localiser rapidement la source avant de contacter Microsoft.

Le portail My Account permet aux utilisateurs de :

• Voir leurs informations personnelles et licences attribuées

• Gérer leurs méthodes d’authentification (MFA)

• Se déconnecter des sessions actives

• Gérer leurs appareils

⚠️ En revanche, attribuer des licences à d’autres utilisateurs est une tâche administrative réservée aux administrateurs via le centre d’administration Microsoft 365.

❌ Pourquoi les autres réponses sont incorrectes :

• A. Viewing license assignments → Oui, les utilisateurs peuvent voir les licences qui leur sont attribuées.

• B. Updating phone number for MFA → Oui, ils peuvent modifier leurs informations de sécurité.

• D. Signing out of all sessions → Oui, ils peuvent se déconnecter de toutes leurs sessions.

🎯 À retenir pour l’examen MS-900 :

• My Account = gestion personnelle du compte

• Attribution de licences = rôle administrateur uniquement

• Azure SQL Managed Instance :

  • Fournit une compatibilité quasi totale avec SQL Server (fonctionnalités, T-SQL, logins, agent SQL).

  • Permet de déplacer des bases SQL Server existantes vers le cloud avec très peu de modifications d’applications.

• Les autres options :

  • Azure SQL Database / Hyperscale → PaaS “single database” ou “scale-out”, certaines fonctionnalités SQL Server ne sont pas supportées, ce qui peut nécessiter des changements.

  • Azure Database for PostgreSQL → Base de données différente, non compatible SQL Server.

Microsoft Defender for IoT (anciennement Azure Defender for IoT) permet de :

• Surveiller passivement le trafic réseau des PLC et autres équipements industriels

• Détecter des anomalies de protocole, mouvements latéraux et comportements suspects

• Ne nécessite pas d’installation directe sur les PLC → aucune perturbation des lignes de production

• Utilise port mirroring sur les switchs pour analyser le trafic réseau de manière non intrusive

Pourquoi c’est adapté :

• Les PLC sont souvent systèmes propriétaires où l’installation d’agents est risquée ou impossible

• La surveillance passive permet de détecter les menaces sans interrompre la production

• Zero Trust Remote Access exige :

  • Aucun port entrant exposé sur Internet

  • Accès sécurisé aux applications internes uniquement après authentification et autorisation contextuelles

• Microsoft Entra Private Access :

  • Fournit un accès Zero Trust aux applications internes

  • Les employés se connectent via une passerelle sécurisée, sans exposer de ports publics

  • Contrôle l’accès en fonction de l’identité, du rôle et du contexte

• C’est la solution native Microsoft pour répondre à cette exigence Zero Trust.

L’organisation demande :

• Visibilité centralisée et monitoring sur tous les environnements

• Alertes automatisées pour les ressources non conformes

Dans le Cloud Adoption Framework (CAF) pour Azure :

• Le domaine Management se concentre sur la supervision opérationnelle, le monitoring, la collecte de logs et la configuration d’alertes automatisées.

• Bien que la conformité et les standards fassent partie de la gouvernance, cette exigence met l’accent sur la gestion opérationnelle et la surveillance continue.

✅ Donc, le domaine CAF approprié pour cette exigence est : Management.

• Hotpatch :

  • Fonctionnalité Azure-only pour Windows Server

  • Applique les mises à jour de sécurité critiques sans redémarrage complet

  • Réduit les interruptions de service pour les workloads sensibles (ex : santé, finance)

  • Permet un contrôle administratif, mais avec automatisation pour les correctifs critiques

• Cette approche est le compromis idéal entre patching manuel (risque faible mais effort élevé) et automatisation complète (risque de redémarrage inattendu).

• Microsoft Intune Device Compliance Policies permet de :

  • Appliquer le chiffrement FileVault sur macOS

  • Contrôler l’exécution des applications via des règles de conformité et d’application

  • Reporter la posture de sécurité des endpoints à Microsoft Entra Conditional Access, permettant de bloquer l’accès aux ressources si le poste n’est pas conforme

• Cette solution couvre tous les objectifs de sécurité demandés pour les postes macOS.

• Zero Trust – Least Privilege :

  • Les utilisateurs ne doivent avoir que les droits nécessaires et uniquement lorsqu’ils en ont besoin

  • Les privilèges permanents ou excessifs sont contraires au principe Zero Trust

• PIM avec JIT :

  • Les développeurs n’activent le rôle que lorsqu’ils ont besoin d’accéder à la base de données de production

  • Chaque activation est journalisée et auditable

  • Les droits sont révoqués automatiquement après usage → sécurité maximale et conformité

• Microsoft Entra Internet Access (EIA) : solution SSE qui fournit :

  • Filtrage d’accès Internet

  • Protection contre les applications non approuvées

  • Application des politiques d’usage acceptable

• Intégration avec Microsoft Defender for Cloud Apps :

  • Permet de détecter et contrôler l’usage des applications SaaS

  • Active les politiques Conditional Access pour :

    • Bloquer les connexions à des applications non sanctionnées

    • Appliquer des restrictions ou des alertes pour les applications approuvées

  • Assure visibilité, contrôle et gouvernance centralisée

• C’est la meilleure pratique Microsoft SSE pour sécuriser l’accès SaaS et Internet.

Azure Update Manager (anciennement Azure Automation Update Management) permet :

• La gestion centralisée des mises à jour pour :

  • Machines virtuelles Azure

  • Serveurs on-premises

  • Environnements multi-cloud (via Azure Arc)

• Le suivi de la conformité des correctifs

• La génération de rapports détaillés

• L’intégration avec Log Analytics pour :

  • Requêtes avancées

  • Tableaux de bord personnalisés

  • Export des données pour audit

👉 C’est une solution native conçue spécifiquement pour la gestion et le reporting des mises à jour dans des environnements hybrides.

Cela correspond exactement au besoin :
✔ Hybride
✔ État des patches
✔ Rapports audit-ready

External Attack Surface Management (EASM) permet de :

• Identifier les actifs exposés à Internet

• Détecter les vulnérabilités ou configurations non sécurisées

• Prioriser les risques externes

Pourquoi Microsoft Sentinel est le meilleur choix pour le pipeline de remédiation :

• Sentinel centralise tous les logs et alertes de sécurité

• Permet de corréler les découvertes EASM avec d’autres événements (Azure AD, endpoints, cloud apps)

• Fournit des playbooks et automatisations (Logic Apps) pour la remédiation rapide

• Facilite la réponse proactive et le suivi des incidents

• Microsoft Security Baselines pour VMs IaaS recommandent :

  • Endpoint protection activée (Microsoft Defender ou équivalent)

  • OS hardening : mots de passe complexes, journaux activés, configuration de sécurité renforcée

  • Chiffrement des disques (Azure Disk Encryption)

  • Application à grande échelle et cohérente via Azure Policy

• L’usage d’Azure Policy permet :

  • Déploiement automatique ou audit des configurations

  • Remédiation centralisée

  • Conformité avec les bonnes pratiques Microsoft et standards comme CIS

Un pod en statut PENDING signifie qu'il n'a pas encore pu être schedulé sur un noeud. Les détails du Pod (kubectl describe pod) affichent les événements et avertissements qui expliquent pourquoi le scheduling a échoué (ressources insuffisantes, affinités non satisfaites, etc.).

La commande gcloud compute reset-windows-password génère un nom d'utilisateur et un mot de passe Windows pour la VM, qui peuvent ensuite être utilisés pour se connecter via RDP. C'est la méthode officielle GCP pour accéder aux VMs Windows.

La bonne méthode est de créer deux configurations (une par compte/région) puis d'activer la configuration appropriée avant de lancer les commandes. gcloud configurations list affiche seulement les configurations sans les activer.

Un rôle personnalisé avec exactement les permissions nécessaires ne s'élargira pas automatiquement quand GCP ajoute de nouvelles permissions aux rôles prédéfinis. L'accorder au niveau du projet (pas de l'organisation) limite la portée.

Les journaux d'audit d'accès aux données pour Cloud Storage enregistrent toutes les opérations de lecture (GetObject, etc.) avec l'identité du demandeur, l'horodatage et les détails de l'objet accédé. C'est exactement ce qui est requis pour la conformité légale.

La région d'une application App Engine est immuable après la création. Il n'est pas possible de changer la région d'une application existante ni d'avoir plusieurs applications App Engine dans le même projet. La seule solution est de créer un nouveau projet GCP.

La commande gcloud auth activate-service-account --key-file=chemin/vers/clé.json authentifie gcloud avec le compte de service. Toutes les commandes gcloud ultérieures s'exécutent sous l'identité de ce compte de service.

Le rôle roles/browser est le rôle minimal permettant de consulter la hiérarchie des ressources GCP (organisation, dossiers, projets). L'attribuer à un groupe suit les bonnes pratiques. IAM roleViewer permet de voir les rôles, pas la hiérarchie.

OS Login avec enable-oslogin=true + rôle compute.osLogin permet un accès SSH granulaire par instance, lié aux comptes Google. C'est plus sécurisé que la gestion manuelle de clés SSH : accès révocable individuellement et auditable.

Les clés primaires monotoniquement croissantes (comme des IDs auto-incrémentés ou des timestamps) créent des hotspots dans Cloud Spanner car toutes les nouvelles données vont vers le même split. Utiliser une clé distribuée (UUID, hash) élimine ce problème.

Réponse correcte : Option 1. Reporter les UAT à la fin du projet viole le pilier de transparence de Scrum et rallonge dangereusement les boucles de feedback, empêchant toute correction de trajectoire précoce. L'Incrément doit respecter la Definition of Done (qui inclut la disponibilité pour les UAT) à chaque Sprint. L'option 2 ignore que la DoD doit inclure des critères de qualité, l'option 3 représente mal l'auto-organisation, et l'option 4 encourage l'anti-pattern des Sprints de stabilisation, contraire aux principes Scrum.

La concentration et la productivité s'améliorent lorsque les membres de l'équipe travaillent à temps plein au sein d'une seule Scrum Team, et un Product Backlog bien structuré minimise les changements de contexte entre les équipes. Il n'est pas nécessaire de personnaliser le cœur de Scrum pour passer à l'échelle — une gestion appropriée du Backlog et une composition d'équipe adaptée permettent de résoudre ces problèmes tout en préservant l'intégrité du framework.

Le Scrum Master doit permettre au Development Team de s'auto-gérer et de résoudre lui-même le problème de configuration. Cela respecte la valeur Scrum d'auto-organisation et reconnaît l'autorité de l'équipe sur la manière dont elle conduit ses événements. Le Scrum Master supprime les obstacles, mais ne résout pas chaque problème à la place de l'équipe.

Réponses correctes : Options 2 et 4. L'option 2 explique correctement que les time-boxes permettent à ceux qui sont au plus près des problèmes de prendre les meilleures décisions dans les contraintes imposées — un principe fondamental de l'auto-organisation. L'option 4 montre correctement que les time-boxes alignent la concentration et la compréhension partagée au sein de l'équipe. L'option 1 confond engagement et contrainte, et l'option 3 représente de manière erronée le rôle du time-boxing dans la planification prévisionnelle.

Correct : Options 2, 3 et 5 - La Definition of Done guide la prévision, fournit une orientation en temps réel pendant le développement, et crée de la transparence lors de la Sprint Review concernant ce que « terminé » signifie réellement. L'option 1 la traite comme un outil de suivi de l'avancement (usage incorrect) ; l'option 4 contredit l'objectif de compléter le travail à chaque Sprint ; l'option 6 confond la Definition of Done avec la durée du Sprint.

Le Scrum Master maintient la productivité de l'équipe en supprimant les obstacles et en facilitant les décisions, et non en gérant les tâches ou en contrôlant les processus. Les autres options décrivent des comportements de type commande-et-contrôle ou des tâches administratives qui détournent de son rôle fondamental de leader au service de l'équipe. Selon le Guide Scrum, le Scrum Master sert le Development Team en supprimant les blocages et en favorisant l'auto-organisation.

Correct : Options 1 et 2 - Scrum permet une budgétisation empirique en livrant des incréments fonctionnels à chaque Sprint, ce qui permet aux parties prenantes de mesurer la valeur par rapport à l'investissement et d'ajuster le financement en fonction des résultats réels. L'option 2 illustre comment les releases s'étendent sur plusieurs Sprints avec une livraison de valeur continue. Les options 3 et 4 sont incorrectes car les coûts opérationnels existent bel et bien et les budgets sont souvent nécessaires — Scrum change simplement la manière dont ils sont gérés.

Les activités typiques du Scrum Master se concentrent sur la levée des impediments et la facilitation de l'inspection et de l'adaptation. Le Scrum Master n'assigne pas de tâches (c'est le rôle de la Developer Team) et n'escalade pas les conflits aux managers hiérarchiques (ce qui nuirait à l'autonomisation de l'équipe). Au lieu de cela, il accompagne l'équipe pour surmonter les obstacles et s'améliorer en continu, soutenant ainsi les valeurs Scrum de courage et d'engagement envers l'excellence.

Pour aider une nouvelle Scrum Team à démarrer efficacement, le Scrum Master doit se concentrer sur la présentation de l'équipe, la connaissance du produit et l'établissement de la Definition of Done. L'option 1 est incorrecte car la compatibilité des personnalités et les systèmes de récompenses ne relèvent pas des responsabilités du Scrum Master ; l'équipe s'auto-organise en fonction des compétences et de l'engagement envers les valeurs Scrum.

Réponses correctes : Options 1 et 4. Le Guide Scrum stipule que chaque produit nécessite un Product Owner responsable de la maximisation de la valeur. L'option 1 est correcte car un seul PO par produit avec la capacité de déléguer le travail s'aligne sur le modèle de responsabilité de Scrum. L'option 4 est correcte car un seul PO peut déléguer des responsabilités tout en restant redevable — c'est ainsi que le rôle peut s'adapter à l'échelle. L'option 2 base incorrectement le nombre de PO sur le taux d'utilisation des équipes, et l'option 3 interdit à tort la délégation, ce qui limite la capacité de mise à l'échelle.

Réponse : La qualité de l\'estimation du développement peut être médiocre. / Utiliser le même pourcentage chaque fois ne tient pas compte du niveau de risque de l\'application à tester. / La maturité de l\'organisation, par exemple la qualité de la base de test, la qualité des tests de développement, la gestion de configuration, la disponibilité des outils de test, influencent également l\'effort requis pour le test..
Explication : Les réponses A, D et E désignent des sources distinctes de variance qu\'un simple pourcentage du développement ne peut pas capturer. A: les estimations de développement peuvent être inexactes, propageant l\'erreur d\'estimation. D: un pourcentage fixe ignore le risque spécifique, la criticité métier et les profils d\'impact des défauts. E: la maturité organisationnelle (qualité de la base de test, tests unitaires du développement, gestion de configuration, outils disponibles) influence directement l\'effort de test.

Réponse : Les critères d\'entrée et de sortie sont un moyen principal d\'obtenir des ressources adéquates..
Explication : C est correct car les critères d\'entrée et de sortie sont des portes de qualité objectives pour les transitions de niveau et la prise de décision, non des mécanismes destinés à sécuriser les ressources. Ils spécifient des conditions mesurables soutenant les décisions arrêt/go et protègent les activités en aval.

Réponse : Qualité d\'entrée inconnue due au développement par un tiers.
Explication : D est correct car la qualité d\'entrée inconnue provenant du développement par un tiers crée le plus grand risque d\'estimateur : variance élevée des taux de défauts, comportements d\'intégration imprévisibles et efforts de vérification imprévisibles qui gonflent directement les estimations de temps et ressources. Les hypothèses quantifiées deviennent invalides avec les entrées tierces.

Réponse : Les développeurs perdent le sens des responsabilités et les testeurs indépendants peuvent devenir un goulot d\'étranglement..
Explication : Le test indépendant sépare la vérification du développement, ce qui peut diminuer le sens de la responsabilité des développeurs tandis que la coordination des tests et le triage des incidents se concentrent dans une équipe distincte qui peut devenir un goulot d\'étranglement processus.

Réponse : Portabilité.
Explication : C est correct car la portabilité est un attribut non-fonctionnel de faible priorité pour un système de surveillance médicale critique pour la sécurité, normalement lié à des piles matériel/système d\'exploitation certifiées. La disponibilité, la sécurité et la fiabilité ont un impact direct sur le risque patient et les preuves réglementaires.

Réponse : Les préoccupations concernant l\'interface utilisateur augmentent la probabilité d\'un risque dans ce domaine et augmentent la quantité d\'effort de test nécessaire pour l\'interface utilisateur, limitant ainsi l\'effort de test disponible pour d\'autres parties de l\'outil de gestion de test..
Explication : L\'option B est correcte car elle modifie explicitement à la fois la probabilité évaluée et l\'impact basé sur les ressources (couverture de test), ce qui altère l\'exposition au risque produit et force une réévaluation des priorités. Le risque augmente (probabilité × conséquence) avec la réallocation des ressources.

Réponse : TMMi ne peut être utilisé qu\'avec le modèle V traditionnel, tandis que TPI peut être utilisé avec tous les types de cycles de vie logiciels..
Explication : D est incorrect car TMMi n\'est pas limité au modèle V ; il est indépendant du cycle de vie et applicable aux modèles V, itératifs et agiles. TPI l\'est aussi, contredisant l\'affirmation d\'une dichotomie entre les deux approches.

Réponse : Test de composant: test de décision; Test système: test de table de décision.
Explication : B est correct car il combine une technique structurelle à haute sensibilité au niveau composant (test de décision) avec une technique de spécification combinatoire axée sur les exigences au niveau système (test de table de décision), maximisant ainsi la détection des défauts logiques et des interactions complexes de règles métier.

Réponse : Inspections.
Explication : Les inspections (B) sont les moins appropriées car c\'est une technique d\'examen statique, axée sur les défauts, destinée à trouver des non-conformités dans les produits de travail plutôt qu\'à identifier proactivement les risques projet et produit. Les inspections utilisent des listes de contrôle et une approche orientée détection de défauts, tandis que l\'identification des risques nécessite une exploration prospective des incertitudes futures.

Réponse : Les critères d\'entrée et de sortie pour chaque phase de test / Les techniques de conception de test à utiliser.
Explication : AC est correct car une stratégie de test défendable prescrit explicitement les techniques de conception de test pour atteindre la couverture et l\'atténuation des risques (C) et les critères d\'entrée/sortie qui gouvernent la progression des phases et les barrières qualité (A). Une stratégie de test robuste est un cadre décisionnel de haut niveau qui détermine comment les objectifs de test seront atteints et comment les risques informent la priorisation et la portée.

B. Les détails de la commande sont ajoutés à la conversation et le modèle raisonne sur l'action à entreprendre. Correct. Dans une boucle agentique, les résultats des outils (comme « acheté il y a 45 jours ») sont réinjectés dans le contexte du modèle, et celui-ci réévalue la situation de manière dynamique. Il décide ensuite s'il convient de procéder avec process_refund, d'escalader vers un humain, ou d'entreprendre une autre action en fonction de la politique et des informations mises à jour. Pourquoi les autres réponses sont incorrectes : A. Séquence d'outils fixe planifiée dès le départ — Incorrect. Les systèmes agentiques ne sont pas des flux de travail statiques ; ils s'adaptent après chaque observation. C. Arbre de décision préconfiguré — Incorrect. Il s'agit d'une automatisation basée sur des règles, et non d'un raisonnement piloté par un LLM. D. La couche d'orchestration achemine automatiquement le prochain appel d'outil — Incorrect. Cela supprime le rôle de raisonnement du modèle et le transforme en un routage déterministe.

A. La fenêtre de contexte du modèle a été dépassée par la longueur de la conversation — Incorrect. Cela ne se produirait que lors de conversations très longues, alors que le problème apparaît dès les premiers échanges. B. L'API Claude nécessite un paramètre session_id que vous n'avez pas configuré — Incorrect. Il n'existe pas de session_id obligatoire ; le contexte doit être géré explicitement par l'application. C. Claude nécessite une connexion à une base de données vectorielle pour maintenir la mémoire de la conversation — Incorrect. Une base de données vectorielle est optionnelle pour la récupération d'informations, elle n'est pas requise pour la mémoire conversationnelle de base. D. Votre application n'inclut pas les messages précédents dans le tableau messages — Correct. Claude ne conserve aucune mémoire entre les appels ; si les messages précédents ne sont pas inclus, il ne peut pas se souvenir des préférences exprimées antérieurement par l'utilisateur.

A. Enregistrer l'erreur côté serveur et retourner un résultat vide pour ne pas perturber le modèle — Incorrect. Cela masque les informations critiques sur l'échec, rendant impossible pour l'agent de distinguer « aucune donnée » d'une « défaillance système ». B. Lever une exception depuis le gestionnaire d'outil afin que le framework agent puisse la capturer et la journaliser — Incorrect. Les exceptions sont utiles en interne, mais l'agent a toujours besoin d'une réponse structurée de l'outil ; les exceptions brutes ne propagent pas de manière fiable un contexte utile au modèle. C. Retourner le message d'erreur dans le contenu du résultat de l'outil avec le flag isError défini à true — Correct. Il s'agit du modèle MCP approprié : l'outil signale explicitement l'échec en utilisant isError: true, tout en fournissant un message d'erreur lisible afin que l'agent puisse décider de réessayer, d'escalader ou d'informer l'utilisateur. D. Retourner une réponse de succès avec un champ « status » indiquant le type d'erreur — Incorrect. Cela est trompeur car cela traite les échecs comme des réponses réussies, ce qui perturbe le raisonnement en aval et l'orchestration des outils.

A. Créer une nouvelle playlist « Focus » avec des titres sélectionnés et notifier l'utilisateur qu'elle est prête. Incorrecte. Cette option suppose une intention et risque d'effectuer la mauvaise action, ce qui frustre les utilisateurs. B. Poser une question de clarification sur le type d'action : écouter maintenant ou configurer pour plus tard. Correcte. Cela minimise les frictions tout en résolvant l'ambiguïté, permettant à l'assistant d'effectuer rapidement la bonne action. C. Lancer immédiatement des titres populaires de concentration et laisser l'utilisateur rediriger si nécessaire. Incorrecte. Agit prématurément et peut ne pas correspondre à l'intention de l'utilisateur. D. Démarrer la configuration des préférences en posant des questions sur les genres, le tempo et les artistes. Incorrecte. Trop lourd en amont — ajoute des frictions inutiles avant de confirmer l'intention.

A. Votre invite système doit contenir des instructions explicites demandant à Claude de mémoriser les informations des échanges précédents. Incorrect. Les instructions seules ne confèrent pas de mémoire au modèle — le contexte doit être fourni à chaque requête. B. Vous n'incluez pas les messages précédents dans chaque requête API — l'API sans état ne conserve pas l'historique de la conversation. Correct. Claude est sans état. Si les messages précédents ne sont pas transmis dans la requête, il n'a aucune connaissance du vocabulaire antérieur. C. Vous devez activer la persistance de la conversation en transmettant un paramètre d'identifiant de session à chaque appel API. Incorrect. Il n'existe pas d'identifiant de session requis — la mémoire est gérée en incluant les messages passés. D. La fenêtre de contexte du modèle est saturée, ce qui entraîne la perte du contenu des échanges précédents. Incorrect. Cela ne se produirait que lors de conversations très longues, et non dans des scénarios de tests initiaux classiques.

A. Fournir au sous-agent des définitions d'outils lui permettant de demander des résultats à d'autres sous-agents via des callbacks. Incorrect. Cette approche introduit un couplage et une complexité inutiles. Les sous-agents ne devraient pas avoir besoin de récupérer activement des données auprès des autres. B. Inclure directement les résultats complets des deux sous-agents dans le prompt du sous-agent de synthèse. Incorrect. Bien que simple, cette approche ne passe pas bien à l'échelle pour des résultats volumineux et peut dépasser les limites de contexte, réduisant ainsi l'efficacité. C. Transmettre des identifiants de référence et configurer le sous-agent avec un accès en lecture à un espace mémoire partagé où les autres sous-agents ont déposé leurs résultats. Correct. Il s'agit de l'approche la plus évolutive et prête pour la production. Elle préserve la fidélité des informations tout en évitant la surcharge du contexte, permettant à l'agent de synthèse de récupérer exactement ce dont il a besoin. D. Instancier le sous-agent avec seulement une brève description de tâche, en s'appuyant sur un héritage automatique du contexte depuis le coordinateur. Incorrect. Il n'existe pas d'héritage automatique du contexte — sans accès explicite aux données, l'agent de synthèse ne peut pas fonctionner correctement.

A. L'agent coordinateur reçoit la sortie de l'agent de recherche web et inclut les résultats pertinents dans le prompt lors de l'invocation de l'agent d'analyse de documents. Correct. Cela suit le modèle d'orchestration standard où le coordinateur gère tous les flux de données, en transmettant explicitement les sorties entre les sous-agents. B. Les agents communiquent via une file de messages orientée événements, l'agent d'analyse de documents s'abonnant aux événements de fin de recherche web. Incorrect. Cela introduit une complexité d'infrastructure inutile et ne correspond pas au modèle d'orchestration d'agents habituel. C. L'agent de recherche web invoque directement l'agent d'analyse de documents, en utilisant les sources découvertes comme paramètres. Incorrect. Les sous-agents ne doivent pas s'invoquer directement entre eux ; cela rompt le contrôle centralisé et la traçabilité. D. Les deux agents accèdent à un espace mémoire partagé où l'agent de recherche web écrit les résultats et l'agent d'analyse de documents les lit. Incorrect. Bien que cela soit possible dans des systèmes avancés, ce n'est pas l'approche standard ou la plus simple ; cela ajoute de la complexité sans nécessité évidente dans les pipelines classiques.

A. Définir la température à 0 pour éliminer la variabilité des sorties et garantir un formatage cohérent — Incorrect. Cela réduit l'aléatoire mais ne corrige pas les erreurs d'extraction systématiques comme la mauvaise interprétation des plages (« 2 à 3 »). B. Envoyer une requête de suivi incluant l'erreur de validation, en demandant au modèle de corriger sa sortie — Correct. Fournir un retour de validation précis permet au modèle de corriger le problème exact (par exemple, convertir « 2 à 3 » en un nombre flottant valide), rendant la récupération très efficace. C. Pré-traiter les documents sources pour standardiser les formats problématiques avant de les envoyer à l'extraction — Incorrect. Utile dans certains cas, mais pas évolutif ni suffisant pour gérer la diversité des variations du monde réel. D. Mettre en place un pipeline secondaire utilisant un modèle de niveau supérieur pour retraiter les documents qui échouent à la validation — Incorrect. Plus coûteux et inutile — la correction ciblée est plus efficace et plus performante.

A. L'agent de synthèse a besoin d'outils capables de récupérer les résultats directement depuis l'historique des conversations des autres agents. Incorrect. Les agents n'ont pas besoin d'accéder directement aux historiques des autres. Une orchestration correcte transmet les sorties explicitement via des prompts. B. La fenêtre de contexte de l'agent de synthèse n'est pas suffisamment large pour contenir les sorties combinées des deux agents précédents. Incorrect. Si c'était le problème, l'agent recevrait des données tronquées, et non une absence totale de données. L'erreur indique que les entrées sont entièrement manquantes. C. Les sous-agents doivent partager une seule connexion API pour permettre le partage automatique du contexte entre les invocations. Incorrect. La communication entre agents ne dépend pas de connexions API partagées. Le contexte doit être explicitement transmis par le coordinateur. D. Le coordinateur n'a pas inclus les sorties des agents précédents dans le prompt de l'agent de synthèse. Correct. L'agent de synthèse ne peut agir que sur les informations fournies dans son prompt. Si les sorties précédentes ne sont pas transmises, il signalera l'absence des résultats de recherche.

A. Retourner une liste de vols vide comme si la recherche avait réussi mais n'avait trouvé aucun vol correspondant. Incorrect. Cela masque l'échec et induit le système en erreur en lui faisant croire qu'aucun vol n'existe, ce qui peut conduire à des conclusions incorrectes. B. Enregistrer l'erreur en interne et retourner une réponse vide, laissant le modèle continuer sans les données de vols. Incorrect. Cela supprime également le signal d'échec, empêchant l'agent de prendre des mesures correctives. C. Retourner un message d'erreur dans le résultat de l'outil expliquant que le service est temporairement indisponible. Incorrect. Bien que transparent, cela ne tente pas à lui seul une récupération et peut dégrader inutilement l'expérience utilisateur. D. Réessayer automatiquement la requête jusqu'à cinq fois avec un backoff exponentiel avant de retourner les résultats à l'agent. Correct. Il s'agit de l'approche la plus efficace : elle gère les pannes transitoires de manière élégante, améliore la fiabilité et ne remonte les erreurs que si les tentatives échouent.