Ne découvrez pas l'examen
le jour J

Réponse : C) Rapport d'informations d'identification IAM. Le rapport d'informations d'identification IAM est un rapport au format CSV qui répertorie tous les utilisateurs IAM et l'état de leurs informations d'identification, y compris les dates de dernière utilisation des mots de passe et des clés d'accès. Ce rapport permet l'audit de conformité des politiques de rotation et des standards de sécurité.

Réponse : Portée mondiale (Global reach).
Explication : La portée mondiale d’AWS, via ses régions et ses Edge Locations, permet d’améliorer les temps de réponse pour les utilisateurs dispersés géographiquement.

Réponse : Augmentation de la vitesse et de l’agilité, et sécurité physique prise en charge.
Explication : AWS offre une rapidité accrue pour déployer des applications et prend en charge la sécurité physique et réseau.

Réponse : En provisionnant automatiquement les ressources AWS nécessaires selon la demande.
Explication : L’élasticité permet d’ajuster les ressources à la demande automatiquement, optimisant la performance et les coûts.

Réponse : IaaS.
Explication : EC2 est une solution d’Infrastructure as a Service (IaaS) qui offre des ressources de calcul virtualisées.

Réponse : Availability Zones / Elastic Load Balancing.
Explication : Répartir la charge sur plusieurs AZ et utiliser le load balancing sont des stratégies pour limiter l’impact d’une panne locale.

Réponse : On-Demand Instances. Pour une charge de travail de 2 mois avec zéro tolérance aux temps d'arrêt, les instances On-Demand sont les plus appropriées. Les Reserved Instances nécessitent des engagements de 1 à 3 ans ; les Spot Instances peuvent être interrompues. On-Demand offre un paiement à l'utilisation avec disponibilité garantie.

Réponse : Amazon EC2 / AWS Lambda.
Explication : Amazon EC2 et AWS Lambda offrent des ressources de calcul : EC2 pour des serveurs virtualisés, Lambda pour du serverless à la demande.

Réponse : Gouvernance. Explication : Le Cloud Adoption Framework AWS (CAF) comprend six perspectives. La perspective Gouvernance couvre les capacités fondamentales incluant la gestion de programme, la gestion des bénéfices, la gestion des risques et la gestion financière du cloud.

Réponse : AWS Service Catalog. AWS Service Catalog permet aux organisations de créer et de gérer des catalogues de services IT approuvés en tant que modèles d'infrastructure as code. Il permet de gouverner les ressources qui peuvent être déployées tout en donnant aux équipes l'accès en libre-service aux configurations approuvées.

Prompting efficace : technique consistant à formuler des instructions claires et des exemples (few-shot) pour contrôler le style de génération sans modifier le modèle. Contrairement au fine-tuning ou au pré-entraînement coûteux, le prompting exploite les capacités existantes du modèle pré-entraîné. C'est la solution la plus économique pour adapter la voix et le ton marketing.

Fenêtre de contexte : limite maximale de tokens (mots/sous-mots) qu'un modèle peut traiter en entrée et en sortie combinées. Elle détermine directement la longueur du prompt accepté. Contrairement au batch size (nombre de requêtes parallèles), à la température (créativité) ou à la taille fichier (format), seule la fenêtre de contexte contrôle la capacité textuelle du modèle Bedrock.

Containment Rate : mesure le pourcentage d'interactions complètement résolues par le chatbot sans escalade humaine. C'est le KPI direct de l'automatisation, contrairement à AHT (durée) ou NPS (satisfaction) qui sont des indicateurs secondaires, et FCR qui évalue la résolution globale sans distinguer automation vs agent.

OpenSearch k-NN : capacité native de recherche par k-plus proches voisins sur vecteurs d'embeddings. Essentiel pour RAG car permet de retrouver rapidement documents sémantiquement similaires sans requête textuelle exacte. Contrairement aux recherches textuelles traditionnelles (Elasticsearch), k-NN compare les embeddings dans l'espace vectoriel pour capturer le sens contextuel.

Model Invocation Logging enregistre tous les prompts envoyés et les réponses reçues par les modèles de fondation Amazon Bedrock dans Amazon S3 ou CloudWatch Logs, répondant aux exigences d'audit et de conformité. CloudWatch Metrics fournit des métriques de performance, Bedrock Guardrails applique des filtres de contenu (PII, topics interdits), et AWS Config Rules évalue la conformité des ressources AWS.

Knowledge Base Bedrock + RAG injectent seulement les passages nécessaires, réduisant coûts et améliorant la pertinence.

Rekognition + Textract : Rekognition détecte et classifie les objets (étiquettes, codes-barres). Textract extrait le texte visible sur ces objets (numéros de série, prix, instructions). Workflow multimodal complet pour enrichir les données produit automatiquement.

Fine-tuning modifie les poids du modèle en l'entraînant sur des données spécifiques — adapté quand le style ou le comportement doit changer profondément, mais coûteux en calcul et en données. RAG ne modifie pas le modèle : il récupère dynamiquement des documents pertinents au moment de l'inférence — idéal pour des données qui changent fréquemment ou des bases de connaissances volumineuses. Le choix dépend du budget, de la fréquence de mise à jour des données et du type d'adaptation nécessaire.

Pipeline speech-to-insight : Transcribe convertit audio en texte scalablement. Comprehend détecte sentiments/entités rapidement. GenAI via Bedrock interprète intentions complexes, compliance et contexte métier. Architecture en chaîne pour efficacité optimale.

Amazon Rekognition : service de vision par ordinateur qui analyse les images pour détecter automatiquement du contenu inapproprié, violent ou explicite grâce à des modèles de ML pré-entraînés. Contrairement à Comprehend (texte), Macie (données sensibles) ou Textract (extraction OCR), Rekognition se spécialise dans l'analyse visuelle et la modération d'images en temps réel.

Product Backlog Transparency: The Product Owner communicates strategy by maintaining a visible, ordered, and understood Product Backlog—not through technical specs or daily task management. This enables stakeholders and Developers to grasp priorities and vision clearly.

Daily Scrum Duration and Participants: The Daily Scrum is a 15-minute timeboxed event for Developers only, not 30 minutes for the entire Scrum Team. While the Product Owner and Scrum Master may attend, only Developers are required participants who discuss progress toward the Sprint Goal.

Dual Service Accountability: The Scrum Master operates at two levels—internally supporting the Scrum Team's self-organization and externally helping the organization adopt Scrum practices. This distinguishes the Scrum Master from a traditional project manager focused solely on delivery.

Five Scrum Values: Commitment, Courage, Focus, Openness, and Respect form the foundation of Scrum culture. These values enable trust, transparency, and effective collaboration within the team. They guide behaviors and decisions throughout Sprint execution, distinguishing Scrum from process frameworks focusing solely on ceremonies or metrics like velocity.

Scrum Guide Authorship: Ken Schwaber and Jeff Sutherland, Scrum's creators, are the official maintainers of the Scrum Guide. This ensures consistency and authority in Scrum's definition. The Guide is the single source of truth for Scrum practices, distinguishing it from other frameworks or interpretations.

Answer: Existing teams propose organization; developers self-organize into teams.
Explanation: Scrum values self-organization. Teams should form organically rather than being assigned by management. Letting existing teams propose structure or developers self-organize both respect Scrum's self-management principle.

Courage is the Scrum value that calls on Scrum Team members to do the right thing and tackle tough problems — including raising difficult concerns openly, even when uncomfortable. Commitment is about dedicating oneself to the Sprint Goal and team objectives. Focus is about concentrating entirely on the work of the Sprint. Respect means treating team members as capable, independent professionals. All five Scrum values (Commitment, Courage, Focus, Openness, Respect) are interdependent and reinforce each other.

Key concept: Role separation and self-organization in Scrum. The Product Owner is accountable for the "what" and "why"—defining product goals, prioritizing the backlog, and clarifying business value. The Developers are accountable for the "how"—deciding technical approaches, architecture, and implementation details. The PO dictating technical solutions violates the Scrum principle of Developer self-organization, undermines their expertise, and creates dependencies that reduce agility. While the PO may request certain technical considerations for business reasons, the Developers retain autonomy to choose the best technical path forward. This separation ensures that business stakeholders and technical teams each focus on their domain of authority, leading to better decisions and higher-quality outcomes.

Answer: Prioritize based on value and the Product Goal.
Explanation: The PO listens to all stakeholders and prioritizes based on value, risk, and alignment with the Product Goal.

Answer: To have complete transparency into what has been done at the end of each Sprint.
Explanation: The Definition of Done creates a shared understanding of completeness. When all team members adhere to it, the PO can trust that 'Done' items are truly ready for release — removing ambiguity from Sprint Reviews.

The Product Backlog is emergent because it evolves continuously as the product and market understanding improve, not a fixed document created upfront. It is ordered by the Product Owner based on value and priority, and contains everything known to be needed—not a complete specification, which would contradict the empirical nature of Scrum. The other options incorrectly describe it as fixed, fully detailed, or as a task assignment tool, none of which align with the Scrum Guide's definition of the Product Backlog as a dynamic, prioritized artifact.

Answer: It is the Developers' plan for the Sprint.
Explanation: The Sprint Backlog is owned by the Development Team and represents their plan for achieving the Sprint Goal. It is highly visible and updated daily as new information emerges.

Answer: Story points, burndown chart, Definition of Ready.
Explanation: Only the Daily Scrum (and other Scrum events) are prescribed. Story points, burndowns, and DoR are optional practices.

Answer: A valuable, useful set of product features.
Explanation: An Increment is an additive, integrated body of work that meets the Definition of Done and can be used by stakeholders. It must be functional and valuable — not documentation, a prototype, or a partial feature.

Answer: Impact mapping, Kano, WSJF (weighted).
Explanation: Multiple prioritization techniques exist. Scrum does not prescribe any specific one — the PO chooses what best serves product value.

Why this is correct: According to the Scrum Guide 2020, the Product Owner and Developers are equal members of the Scrum Team with distinct accountabilities but no hierarchical relationship. They collaborate as peers to understand requirements, refine the Product Backlog, and deliver valuable increments.

Why the others are incorrect: The Product Owner does not direct technical work—the Developers are self-managing in how they accomplish Sprint goals. The Product Owner has no formal authority over Developers in the organizational hierarchy within Scrum. Finally, the Product Owner is involved throughout the Sprint, not just at boundaries, working continuously with Developers on refinement and clarification.

Answer: They do not have to be there; they only need to ensure the Developers have a Daily Scrum.
Explanation: The Scrum Master's responsibility is to ensure the Daily Scrum happens and remains useful, not to personally attend every day. The SM coaches the team to run the event themselves.

Pour des risques rares mais catastrophiques, l’évitement (changer l’approche pour supprimer la cause) ou le transfert (assurance, clause contractuelle) sont privilégiés; l’acceptation passive est inadaptée.

Gestion des attentes contradictoires via concertation structurée : En gestion de projet (PMBOK 7e édition), les parties prenantes possèdent des intérêts divergents et des objectifs souvent incompatibles. La première étape consiste à organiser une concertation structurée impliquant les stakeholders clés, le sponsor et la gouvernance du projet. Cette démarche permet de : (1) clarifier explicitement chaque attente sans jugement, (2) documenter les priorités et les contraintes associées, (3) identifier les zones de chevauchement et de conflit, (4) co-construire un consensus ou un compromis acceptable par tous. La gouvernance du projet joue un rôle d'arbitrage neutre lorsque les conflits persistent, en s'appuyant sur la stratégie métier, les objectifs stratégiques et les critères de succès du projet. Cette approche évite trois pièges majeurs : ignorer délibérément certaines attentes (créant de la frustration et des risques de non-acceptation), reporter indéfiniment la décision (paralysant l'exécution et accumulant l'ambiguïté), ou lancer le développement sans clarification (générant des rework massifs et des dérives de scope). La concertation structurée s'aligne sur les principes agiles du PMBOK 7 valorisant la collaboration

Registre des parties prenantes dynamique : Document évolutif identifiant les acteurs du projet (besoins, intérêts, influence). Mis à jour continuellement car les parties prenantes changent : nouvelles entrées, départs, modifications d'attentes. Contrairement aux idées fausses, ce n'est pas un document statique de démarrage, ni une responsabilité exclusive du commanditaire, ni un substitut au plan de communication.

Le domaine Livraison vise à garantir que les livrables répondent aux exigences et critères d’acceptation, afin de générer la valeur attendue par les parties prenantes.

Contrat T&M (Temps & Matériel) : le fournisseur facture les heures réelles travaillées plus les matériaux consommés. L'acheteur assume le risque de coût car il n'y a pas de plafond contractuel. Contrairement aux contrats à prix fixe (risque fournisseur) ou au prix unitaire, le T&M offre peu de protection budgétaire.

Un tableau de bord axé valeur met l’accent sur bénéfices, adoption et jalons de valeur, pas sur des métriques d’activité peu corrélées.

Approche adaptative (agile) en environnement incertain : En contexte hautement incertain, l'approche adaptative permet une gestion proactive de l'incertitude par des cycles itératifs courts (sprints), des réévaluations régulières des exigences et un feedback continu des parties prenantes. Contrairement à l'approche prédictive qui suppose une définition complète du scope en amont, l'adaptative accepte le changement comme normal et le capitalise pour améliorer continuellement le produit. Le PMBOK 7e édition reconnaît que les environnements complexes et imprévisibles requièrent une flexibilité accrue. Les itérations courtes réduisent le risque d'écart entre les attentes et la livraison, tandis que le feedback régulier permet d'ajuster rapidement les priorités. L'approche prédictive (réponse 2) impose un plan rigide inadapté à l'incertitude. L'approche hybride sans feedback (réponse 3) combine les avantages sans en tirer parti. L'absence de planification (réponse 4) crée du chaos. Seule l'approche adaptative structure l'incertitude en l'intégrant dès la conception du projet.

Réponse : Demander aux équipes d’organiser des sessions de partage de connaissances. Cela est efficace sans perturber la structure.

Rôles Scrum : Les trois rôles principaux sont le Product Owner (définit les priorités métier), le Scrum Master (élimine les obstacles) et l'Équipe de développement (livre les livrables). Le Sponsor, bien que crucial, n'est pas un rôle Scrum formel selon le PMBOK.

Cette question correspond à l\'objectif d\'apprentissage FL-2.1.4 (K2) - Résumer la façon dont DevOps pourrait avoir un impact sur le test.
● a) Faux → Dans DevOps, les tests deviennent plus critiques, pas moins importants, car les déploiements fréquents augmentent le besoin de détection rapide des
problèmes.
● b) Faux → DevOps encourage la collaboration et le partage des responsabilités, mais n\'élimine pas le besoin d\'expertise en test. Les compétences spécialisées en test restent valorisées.
● c) Faux → DevOps ne préconise pas de tester principalement en production. Au contraire, il encourage le test approfondi avant le déploiement, mais dans des
environnements qui reflètent fidèlement la production.
● d) Correct → Cette réponse décrit correctement l\'impact principal de DevOps : l\'automatisation des tests et l\'intégration continue permettent un feedback plus rapide et facilitent les déploiements fréquents et fiables.

Cette question correspond à l’objectif d’apprentissage FL-4.3.1 (K2) – Expliquer le test des instructions.

Le test des instructions vérifie que chaque ligne de code est exécutée au moins une fois. Il y a 10 instructions conditionnelles, chaque ayant 2 branches, alors on peut avoir jusqu’à 20 instructions exécutables, mais pour les couvrir toutes, il suffira souvent de 2 cas de test bien choisis, par exemple :

● un cas qui passe toujours par les if
● un autre qui force les else
● a) Faux → 1 seul test ne garantit pas la couverture si des branches ne sont pas exécutées.
● b) Correct → 2 tests suffisent pour atteindre 100% de couverture.
● c) Faux →5 tests sont excessifs.
● d) Faux → 10 tests sont inutiles.

Cette question correspond à l’objectif d’apprentissage FL-1.4.3 (K2) – Différencier les composants du testware qui soutiennent les activités de test.
La bonne réponse est a) 1B, 2B, 3C, 4D

● 1A (Faux) → Le cahier des charges appartient à la documentation des exigences, car il définit les attentes des utilisateurs.
● 2B (Correct) → Les spécifications détaillées sont une partie de la documentation
des exigences, car elles précisent les aspects fonctionnels et non fonctionnels.
● 3C (Correct) → Le plan de test appartient à la documentation de test, car il définit la stratégie et l’organisation des tests.
● 4D (Correct) → Le rapport de test fait partie de la documentation des résultats, car il synthétise les observations et les anomalies détectées.

Cette question correspond à l’objectif d’apprentissage FL-3.2.5 (K1) – Rappeler les facteurs qui contribuent à la réussite d\'une revue.

● a) Correct → Impliquer activement les parties prenantes assure une meilleure
qualité des revues et des retours pertinents.
● b) Faux → Encourager la discussion permet d’identifier plus efficacement les problèmes.
● c) Faux → Un modérateur aide à structurer la revue et à maintenir son efficacité.
● d) Faux → Les revues formelles sont aussi importantes que les revues informelles.

Cette question correspond à l’objectif d’apprentissage FL-1.2.3 (K2) – Expliquer la relation entre erreur, défaut et défaillance.
● a) Faux → Une erreur est une faute humaine qui peut introduire un défaut, mais ce n’est pas une anomalie détectée en production.
● b) Faux → Un défaut peut exister sans être visible par l’utilisateur final.
● c) Correct → Une erreur humaine peut entraîner un défaut dans le logiciel, qui peut causer une défaillance en production
● d) Faux → Une défaillance est une anomalie observée lors de l’exécution, pas un problème directement présent dans le code source.

Cette question correspond à l’objectif d\'apprentissage FL-2.1.2 (K1) – Rappeler les bonnes pratiques de test qui s\'appliquent à tous les cycles de vie du développement logiciel.

● a) Faux → Les tests doivent couvrir plusieurs niveaux (unitaires, intégration, système, acceptation), et pas uniquement l’interface utilisateur.
● b) Faux → Attendre la fin du développement pour tester expose le projet à un risque accru de corrections coûteuses en fin de cycle.
● c) Faux → La documentation des tests est essentielle pour assurer la traçabilité et la reproductibilité des tests.
● d) Correct → Tester tôt est une bonne pratique universelle, car plus un défaut est détecté tôt, moins il est coûteux à corriger.

Cette question correspond à l’objectif d\'apprentissage FL-4.2.3 (K3) – Utiliser les tests par tables de décisions pour dériver les cas de test.

Les cas de tests proposés couvrent :
● CT1 (20 ans, abonnement actif, certificat valide) → couvre R1
● CT2 (17 ans, abonnement actif, certificat valide) → couvre R5
● CT3 (25 ans, abonnement inactif, certificat valide) → couvre R3
● CT4 (30 ans, abonnement actif, certificat expiré) → couvre R2
● CT5 (28 ans, abonnement inactif, certificat expiré) → couvre R4

● a) Faux → combinaison déjà couverte par CT5
● b) Faux →redondant avec CT1 (âge valide, tout valide)
● c) Correct → tous les attributs invalides → nouvelle combinaison (R8)
● d) Faux → car une nouvelle règle est testée en c)

Cette question correspond à l\'objectif d\'apprentissage FL-4.1.1 (K2) - Distinguer les techniques de test boîte noire, boîte blanche et basées sur l\'expérience.

● a) Faux → Cette description correspond aux techniques de test boîte blanche, qui examinent la structure interne du code pour concevoir des tests couvrant différents
chemins d\'exécution. Les tests boîte noire ne s\'intéressent pas au code source.
● b) Faux → Cette description correspond aux techniques de test basées sur l\'expérience, qui s\'appuient sur les connaissances et l\'expérience des testeurs pour
identifier les défauts potentiels. Les tests boîte noire sont basés sur des spécifications documentées plutôt que sur l\'expérience seule.
● c) Faux → Cette description correspond également aux techniques de test boîte blanche, qui analysent la structure interne et mesurent la couverture (instructions, branches, chemins). Les tests boîte noire ne s\'intéressent pas à la structure interne.
● d) Correct → Cette description caractérise précisément les techniques de test boîte noire. Ces techniques considèrent le système comme une \"boîte noire\" dont le fonctionnement interne est inconnu ou ignoré. Les cas de test sont dérivés des spécifications, des exigences et des comportements attendus, sans connaissance de l\'implémentation.

Cette question correspond à l’objectif d’apprentissage FL-1.4.2 (K2) – Expliquer l’impact du contexte sur le processus de test.
La bonne réponse est a) i, iii, iv reflètent correctement l’impact du contexte ; ii, v non

● i) Vrai – Le niveau de risque conditionne la profondeur des tests requis.
● ii) Faux – Il n’existe pas de processus unique applicable à tous les projets.
● iii) Vrai – En Agile, les tests sont intégrés dans des cycles courts.
● iv) Vrai – Les contraintes réglementaires (ex. médical, aéronautique) exigent une traçabilité et une documentation renforcées.
● v) Faux – Le contexte impacte aussi les objectifs (par ex. : conformité, performance critique...).

Cette question correspond à l’objectif d’apprentissage FL-3.1.2 (K2) – Expliquer la valeur du test statique.

La réponse correcte est a) 1A, 2B, 3C, 4D

● 1A) Correct : Moins de défauts en production = moins de coûts en fin de cycle.
● 2B) Correct : Le test statique permet d’identifier les erreurs avant que le code soit écrit.
● 3C) Correct : Les revues statiques aident l’équipe à mieux comprendre les exigences.
● 4 D) Correct : Le test statique n’exécute pas le code, il l’analyse.

Spyware: malware that covertly monitors user activity, captures keystrokes, browsing habits, and personal data without consent. Unlike worms (self-replicating network threats), rootkits (privilege escalation tools), or botnets (command-controlled networks), spyware's primary function is silent surveillance and information theft.

Password Expiration: a security control that forces users to change passwords at regular intervals (e.g., every 90 days). This limits the window of exposure if credentials are compromised, as old passwords become invalid. Password reuse prevents cycling through old passwords; complexity and length define password strength requirements—neither addresses time-based changes.

Healthcare Data Classification: HIPAA requires patient medical information to be classified as "Sensitive" due to its Protected Health Information (PHI) status, demanding encryption and access controls. Unlike "Public" (unrestricted), "Private" (personal but non-regulated), or "Critical" (system availability-focused), "Sensitive" specifically denotes regulated data requiring enhanced protection and breach notification obligations.

Tailgating prevention: A security guard actively monitors and verifies individuals entering secure areas, physically preventing unauthorized persons from following legitimate employees through access points. Unlike passive controls (keycards, CCTV, logs), guards provide real-time intervention and human judgment to detect and stop unauthorized entry attempts.

File Integrity Monitoring (FIM) logs / audit logs record changes to files, directories, and system configurations. FIM tools (Tripwire, AIDE, AWS Config) create cryptographic hashes of files at a baseline; any change triggers an alert. Authentication logs record login attempts. Network flow logs record traffic patterns. Application logs record app-specific events. FIM is critical for detecting rootkit installation, unauthorized configuration changes, and compliance (PCI-DSS requires FIM on critical system files).

Least Privilege: A foundational security principle that restricts user access to the minimum permissions required for their specific job functions. This minimizes attack surface and limits damage from compromised accounts or insider threats. Unlike "Need to know" (information classification) or "Separation of duties" (preventing fraud through role division), least privilege directly controls access rights at the system level.

Answer: Permit 10.50.10.25/32 any port 53; deny all port 53.
Explanation: The ACL must explicitly permit DNS traffic from the single authorized IP (using /32 for a specific host) and then deny all other DNS traffic. The order matters — permit the exception first, then deny everything else.

Detective Control: A control that identifies security incidents after they occur. A SIEM system reviewing logs weekly detects breaches post-event. Unlike preventive controls (blocking threats before occurrence) or corrective controls (fixing damage), detective controls focus on discovery and analysis of security events that have already happened.

Answer: Insider threat.
Explanation: An insider threat involves a current or former employee who has authorized access and misuses it to harm the organization. Remote after-hours access and unauthorized data exfiltration to a personal device is a classic insider threat indicator.

Application allowlisting: a security control that permits only pre-approved software to execute on systems. By maintaining a whitelist of authorized applications, organizations prevent unauthorized or malicious software installation. Unlike antivirus (reactive detection), allowlisting proactively blocks unapproved programs.

Réponse : Pour automatiser la création d'un groupe de ressources Azure interdépendantes de manière reproductible. Explication : Les modèles Azure Resource Manager (ARM) définissent l'infrastructure en tant que code JSON. Ils automatisent la création et la configuration des ressources Azure interdépendantes de manière déclarative, reproductible et idempotente — permettant des déploiements cohérents dans différents environnements.

Microsoft Power BI est la solution de Business Intelligence (BI) d'Azure qui permet de connecter de nombreuses sources de données (Azure SQL, Cosmos DB, Excel, Salesforce, etc.), de créer des rapports interactifs avec des visualisations (graphiques, cartes, KPIs), et de les partager via Power BI Service (cloud). Il existe en trois éditions : Desktop (gratuit, création), Pro (partage, collaboration), Premium (large diffusion, IA). Azure Synapse Analytics s'intègre directement avec Power BI pour des analyses en temps quasi-réel sur de grands volumes.

Power BI : plateforme Microsoft dédiée à la business intelligence, permettant de transformer des données brutes en visualisations interactives et tableaux de bord partageables. Contrairement à Excel (outil bureautique) ou Azure Monitor (surveillance d'infrastructure), Power BI excelle dans l'analyse métier et la décision data-driven en temps réel.

Une clé étrangère (Foreign Key) est une contrainte référentielle qui lie une colonne d'une table à la clé primaire d'une autre table. Elle garantit l'intégrité référentielle : on ne peut pas insérer une valeur dans la colonne FK si elle n'existe pas dans la table référencée, ni supprimer une ligne référencée sans gérer les dépendances. Exemple : une table Commandes avec un CustomerID (FK) référençant la table Clients (PK=CustomerID). Sans FK, on pourrait avoir des commandes orphelines sans client associé.

Clé étrangère et relation entre entités : Une clé étrangère est un attribut (ou ensemble d'attributs) dans une table qui référence la clé primaire d'une autre table, créant ainsi une relation logique entre ces deux entités. Cela établit généralement une relation un-à-plusieurs (une ligne d'une table liée à plusieurs lignes d'une autre). Contrairement aux relations hiérarchiques (structures arborescentes de fichiers) ou graphiques (nœuds et arêtes), cette relation est relationnelle et fondamentale en base de données SQL.

ACID désigne quatre propriétés garantissant la fiabilité des transactions : Atomicité (tout ou rien — la transaction réussit entièrement ou est annulée), Cohérence (la base reste dans un état valide avant et après), Isolation (les transactions concurrentes ne s'interfèrent pas), Durabilité (les données validées sont persistantes même après une panne). Ces propriétés sont critiques pour les systèmes financiers et transactionnels (OLTP). Les bases NoSQL privilégient souvent la disponibilité au détriment de la cohérence (BASE vs ACID).

Réponses : read-access geo-redundant storage (RA-GRS) et geo-redundant storage (GRS). Explication : GRS et RA-GRS répliquent tous deux les données vers une région secondaire en dehors de la région Azure primaire, satisfaisant ainsi à l'exigence de réplication automatique inter-régions. LRS et ZRS répliquent uniquement au sein d'une même région. RA-GRS ajoute l'accès en lecture à la région secondaire.

Réponse correcte : Le partitionnement dans Azure Cosmos DB permet de diviser les données horizontalement sur plusieurs partitions physiques, ce qui augmente la capacité de stockage et de débit sans dépendre d'une seule machine. C'est le mécanisme fondamental de scalabilité distribuée de Cosmos DB. Pourquoi les autres réponses sont incorrectes : • La séparation en comptes distincts relève de l'isolation des comptes, pas du partitionnement des données. • La réplication géographique est une fonction différente (geo-replication) et distincte du partitionnement. • Le contrôle d'accès par rôle est géré par Azure RBAC (Role-Based Access Control), non par le partitionnement des données.

ETL (Extract, Transform, Load) est le processus d'intégration de données : Extraction depuis les sources (bases opérationnelles, APIs, fichiers), Transformation (nettoyage, normalisation, agrégation, jointure), puis Chargement dans le système cible (data warehouse, lac de données). Azure Data Factory est le service ETL/ELT natif d'Azure : il orchestre les pipelines de données via des activités configurables sans code (ou avec du code pour les transformations complexes). Azure Synapse Analytics intègre aussi des capacités ETL.

Données structurées : organisées dans un schéma fixe et prédéfini (tables relationnelles avec colonnes typées). Ex. : SQL Server, Excel. Données semi-structurées : ont une organisation partielle mais pas de schéma rigide. Ex. : JSON, XML, CSV. Données non structurées : sans schéma défini. Ex. : images, vidéos, emails, PDF. Azure propose des solutions adaptées à chaque type : SQL Database (structuré), Cosmos DB (semi-structuré), Azure Blob Storage (non structuré).

Réponse : Permettre le lettrage poste par poste
La gestion des postes ouverts (OIM) permet de suivre individuellement chaque écriture débitrice et créditrice d'un compte, afin de les lettrer lors du paiement ou du règlement. Elle est activée sur les comptes bancaires, les comptes clients/fournisseurs via leurs comptes de réconciliation, et certains comptes GL spéciaux (GR/IR, par exemple).

Réponse correcte : La 'Variante de Période de Saisie' contrôle précisément quelles périodes comptables sont ouvertes ou fermées pour la saisie d'écritures dans chaque société. C'est un mécanisme de contrôle d'accès aux périodes qui permet de bloquer les saisies dans certaines périodes tout en gardant d'autres ouvertes pour les ajustements ou corrections. Pourquoi les autres réponses sont incorrectes : L'assignation d'une variante d'exercice fiscal à une société est le rôle de la 'Variante d'Exercice Fiscal', non de la Variante de Période de Saisie. La définition de la séquence des activités de clôture concerne le processus de clôture lui-même, non cette variante. Enfin, le lien entre la société et la zone de contrôle de gestion s'établit dans la configuration organisationnelle, indépendamment de la Variante de Période de Saisie.

Réponse : Type et code de retenue à la source
Dans la configuration de l'Extended Withholding Tax (EWT), la retenue est définie par la combinaison d'un type de retenue (définit le calcul de base) et d'un code de retenue (définit le taux ou le montant). Ces deux éléments sont affectés au BP et pilotent le calcul automatique.

Réponse : Définition d’un type de cours ; Utilisation d’une méthode de valorisation liée à une zone de valorisation ; Comptabilisation d’écarts de change non réalisés.
Explication : Le processus valorise postes/balances en devise et génère des écritures d’ajustement selon la méthode et la zone de valorisation.

Réponse : Les éléments de coût primaires sont des comptes G/L ; Les éléments de coût secondaires existent aussi comme comptes G/L ; Les écritures FI primaires peuvent exiger un objet CO (centre de coût, ordre, WBS) selon contrôle de champs/validations.
Explication : L’intégration temps réel FI–CO repose sur le journal universel et les catégories d’éléments de coût.

Réponse : Ils se mettent à jour automatiquement via les sous-comptes BP
Les comptes de réconciliation (reconciliation accounts) sont des comptes G/L spéciaux qui ne peuvent pas être saisis directement. Ils sont alimentés automatiquement lors de la comptabilisation sur les comptes clients ou fournisseurs (sous-comptes Business Partner), assurant ainsi la cohérence entre les sous-livres et la comptabilité générale.

Réponse : Les comptes sont gérés dans BAM et assignés aux sociétés
Le Bank Account Management (BAM) dans S/4HANA centralise la gestion des comptes bancaires de l'entreprise. Les comptes sont créés dans BAM et assignés aux codes société pour être utilisés dans le programme de paiement F110 et le rapprochement bancaire.

Réponse : F-53
La transaction F-53 (Post Outgoing Payments) permet d'enregistrer un paiement sortant manuel fournisseur et de lettrer le paiement avec les factures ouvertes correspondantes. Elle est utilisée pour les paiements individuels manuels, par opposition au run automatique F110.

Réponse : Niveaux de relance avec intervalles ; Montants minimum ; Textes par niveau ; Frais de relance éventuels.
Explication : Ces paramètres pilotent la génération et le contenu des relances.

Réponse : Vrai
Explication : Les éléments de coût sont intégrés aux comptes G/L : les primaires et secondaires existent comme comptes G/L avec une catégorie d’élément de coût.

Pour toute naturalisation (par mariage ou par décret), un niveau de français B1 oral et écrit est exigé, conformément au décret n°2011-1265. Le candidat doit prouver sa maîtrise par un diplôme reconnu (DELF B1 ou supérieur) ou par un titre délivré en France après au moins 3 ans de scolarité en français. Le niveau A2 est insuffisant. Aucun niveau requis est faux — c'est une condition obligatoire depuis 2012.

Naturalisation française : processus juridique accordant la nationalité française à un étranger, lui permettant d'exercer les droits civiques (vote, éligibilité) et politiques tout en acceptant les devoirs du citoyen. Contrairement aux idées reçues, elle ne vise pas l'accès aux allocations ni la double nationalité permanente, mais l'intégration civique complète.

Clovis Ier se convertit au christianisme vers 498 (certains historiens disent 496) lors de la bataille de Tolbiac, selon la tradition rapportée par Grégoire de Tours. Cette conversion, sous l'influence de son épouse Clotilde, scelle l'alliance entre les rois francs et l'Église catholique. Clovis est considéré comme le fondateur de la France avec le premier royaume franc unifié. La date exacte varie selon les sources mais la fin du Ve siècle est universellement retenue.

La loi du 9 décembre 1905 consacre le principe de laïcité : séparation de l'État et des religions, liberté de conscience, neutralité de l'espace public institutionnel. L'État ne reconnaît ni ne finance aucun culte. L'égalité hommes/femmes est un principe constitutionnel distinct. Le droit de vote à 18 ans date de 1974 (abaissement de la majorité). La gratuité scolaire résulte des lois Jules Ferry de 1881-1882, antérieures à 1905.

Le Premier ministre est nommé par le Président de la République (article 8 de la Constitution), sans investiture parlementaire obligatoire, mais le Premier ministre doit disposer d'une majorité à l'Assemblée nationale pour gouverner. La cohabitation survient lorsque le Président et la majorité parlementaire sont de bords politiques opposés (ex. : Mitterrand-Chirac 1986-88, Chirac-Jospin 1997-2002). Dans ce cas, le Président est contraint de nommer un Premier ministre de la majorité adverse. La cohabitation crée un « pouvoir bicéphale » qui redéfinit l'équilibre exécutif prévu par la Ve République.

Constitue un critère d'inadmissibilité le fait d'être condamné à une peine d'emprisonnement sans sursis pour un crime ou certains délits graves (terrorisme, atteintes aux intérêts fondamentaux de la nation, trafic de stupéfiants…). La condamnation doit figurer au casier judiciaire B2. Un simple avertissement policier n'est pas une condamnation. Une infraction routière mineure (amende) ne figure pas au B2. Contester une décision administrative est un droit citoyen, sans impact sur la naturalisation.

Composition de l'Union Européenne : L'UE compte 27 États membres depuis 2020, suite au Brexit (départ du Royaume-Uni). Ce nombre résulte des élargissements successifs, notamment en 2004 avec l'adhésion de 10 pays d'Europe centrale et orientale. Les distracteurs (28, 25, 30) correspondent à d'anciens effectifs ou à des confusions avec d'autres organisations internationales.

L'Armistice de 1918 : accord signé le 11 novembre 1918 mettant fin aux combats de la Première Guerre mondiale. Cette date commémore la cessation des hostilités et honore les soldats morts pour la France. À ne pas confondre avec le 14 juillet (fête nationale) ou 1789 (Révolution française).

La laïcité à l'école publique signifie que l'enseignement est neutre, sans instruction religieuse obligatoire. Depuis la loi du 15 mars 2004, les élèves ne peuvent porter de signes religieux ostensibles (voile islamique, kippa, grande croix) dans les écoles, collèges et lycées publics. Les enseignants sont soumis à un devoir strict de neutralité depuis 1886. L'école laïque vise à former des citoyens libres, capables de raisonner indépendamment de toute influence religieuse. Les établissements privés sous contrat appliquent des règles différentes.

La côte ouest de la France est bordée par l'océan Atlantique, de la Bretagne jusqu'au Pays Basque, en passant par la Normandie, les Pays de la Loire et l'Aquitaine. La Mer Méditerranée borde la côte sud (Provence, Languedoc). La Mer du Nord borde la côte nord-est (Pas-de-Calais). La France métropolitaine est ainsi baignée par deux mers et un océan, ce qui lui confère une position maritime stratégique en Europe.

Concept clé : Détection des biais dans les données d'entraînement. L'analyse de parité démographique évalue si les résultats du modèle sont équitables entre les groupes démographiques. L'échantillonnage stratifié garantit la représentation de tous les attributs protégés, permettant aux testeurs d'identifier les problèmes d'équité avant le déploiement.

Réponse : L\'amélioration continue.
Explication : L\'amélioration continue est la responsabilité de chacun dans l\'organisation, pas seulement d\'une équipe dédiée. Chaque employé doit contribuer à l\'identification et à la mise en oeuvre des améliorations.

Réponse : Ajouter, modifier ou supprimer tout ce qui pourrait avoir un effet direct ou indirect sur les services.
Explication : En ITIL 4, un changement est l\'ajout, la modification ou la suppression de tout élément pouvant avoir un effet direct ou indirect sur les services, qu\'il soit matériel, logiciel ou organisationnel.

Réponse : Penser et travailler de façon holistique.
Explication : Le principe \'Penser et travailler de façon holistique\' recommande de prendre en compte les quatre dimensions de la gestion des services pour éviter une vision en silos.

Réponse : Le système de valeur des services.
Explication : Le système de valeur des services (SVS) est le concept ITIL 4 qui décrit comment tous les composants et activités, y compris la gouvernance, fonctionnent ensemble pour créer de la valeur.

Réponse : Progresser par itérations avec des retours.
Explication : Le principe \'Progresser par itérations avec des retours\' recommande de diviser le travail en petites étapes gérables avec des boucles de feedback fréquentes pour s\'adapter et corriger rapidement.

Réponse : L\'utilisateur ou son représentant autorisé.
Explication : En ITIL 4, ce sont les utilisateurs (ou leurs représentants autorisés) qui soumettent des demandes de services, car ils sont les consommateurs directs des services fournis.

Réponse : Les centres de services doivent comprendre l\'organisation dans son ensemble.
Explication : Les centres de services doivent avoir une compréhension globale de l\'organisation pour orienter correctement les utilisateurs, comprendre les impacts des incidents et prioriser les demandes.

Réponse : Rôles et responsabilités.
Explication : La dimension \'Information et technologie\' couvre les données, systèmes d\'information et outils. Les rôles et responsabilités appartiennent à la dimension \'Organisations et personnes\'.

Réponse : Des procédures détaillées pour diagnostiquer les incidents.
Explication : La gestion des incidents vise une résolution rapide, pas la documentation détaillée de procédures de diagnostic. Les procédures détaillées relèvent de la gestion des problèmes et de la base de connaissances.

Réponse : protéger.
Explication : La pratique de gestion de la sécurité de l\'information a pour but de protéger les informations de l\'organisation contre les menaces, en assurant confidentialité, intégrité et disponibilité.

Windows Autopatch est un service Microsoft qui automatise les mises à jour de Windows, Microsoft 365 Apps, Edge et Teams. Il requiert obligatoirement une licence Windows 10/11 Enterprise E3 ou E5 — incluse dans Microsoft 365 E3/E5 ou disponible séparément via Windows Enterprise E3/E5.

Microsoft 365 Business Premium ne contient pas de licence Windows Enterprise et ne donne pas accès à Autopatch. Intune seul permet la gestion des appareils mais n'active pas Autopatch. Windows Pro avec EMS E3 est insuffisant car Autopatch exige la version Enterprise, pas Pro.

• Monthly Enterprise Channel (canal mensuel pour entreprises) :

  • Fournit les mises à jour de fonctionnalités mensuelles dès qu’elles sont disponibles pour le grand public.

  • Convient aux organisations qui veulent un équilibre entre rapidité et stabilité.

• Ce canal est idéal pour déployer rapidement de nouvelles fonctionnalités aux groupes pilotes ou à certaines machines, sans attendre les canaux plus longs comme le Semi-Annual Channel.

  🎯 À retenir pour l’examen MS-900 :

  • Monthly Enterprise Channel = mises à jour mensuelles officielles pour entreprises, avec déploiement rapide

  • Semi-Annual Channel = déploiement lent, deux fois par an

  • Insider / Default Channel = pas adapté pour un déploiement contrôlé en entreprise

Pour protéger l’accès aux données d’entreprise sur les appareils mobiles :

1. Intune App Protection Policies (politiques de protection d’application) :

   • Permettent de protéger les applications professionnelles (ex : Outlook, Teams) même sur des appareils personnels.

   • Restreignent l’accès aux applications si l’appareil ne respecte pas les règles de conformité (ex : pas de chiffrement, jailbreak détecté).

2. Conditional Access (Accès conditionnel) :

   • Applique des conditions pour accéder aux ressources cloud (ex : Exchange Online).

   • Peut bloquer l’accès aux e-mails si l’appareil est non conforme ou compromis selon les signaux d’Intune.

✅ Ensemble, ces deux fonctionnalités permettent de sécuriser l’accès aux e-mails sur mobiles sans recourir à des solutions tierces.

Dans Microsoft Teams (Téléphonie Teams / Direct Routing) :

• Les voice routes définissent le chemin que les appels doivent suivre.

• Les PSTN usages permettent d’associer ces routes à des stratégies.

• Cependant, pour que les utilisateurs puissent réellement utiliser ces routes, il faut leur attribuer une stratégie de routage vocal (Voice Routing Policy).

👉 La stratégie de routage vocal est le composant qui associe les enregistrements d’utilisation PSTN aux utilisateurs.
Sans cette stratégie attribuée à l’utilisateur, les routes configurées ne seront pas accessibles, même si elles sont correctement définies dans le système.

L’application mobile OneDrive permet :

• D’accéder aux fichiers sur tablette et smartphone

• De rendre certains fichiers ou dossiers disponibles hors ligne

• De minimiser le stockage local, car seuls les fichiers sélectionnés sont téléchargés pour un accès hors ligne, le reste reste dans le cloud.

  🎯 À retenir pour l’examen MS-900 :

  • OneDrive mobile app + disponibilité hors ligne = accès aux fichiers sur appareils mobiles même sans connexion, avec stockage local limité.

  • Les autres solutions (navigateur, WebDAV, laptop) ne répondent pas au besoin mobile hors ligne.

• onditional Access + Intune compliance policies permet de :

  • Vérifier que les appareils respectent les règles de sécurité avant de leur donner accès aux services Microsoft 365 (Exchange, SharePoint, Teams, etc.)

• Cette fonctionnalité nécessite Microsoft 365 (E3/E5) avec Azure AD Premium P1, et n’est pas disponible dans un Office 365 standalone.

• Les autres options ne gèrent pas le contrôle d’accès basé sur la conformité des appareils :

  • A : DLP protège les données mais ne contrôle pas l’accès selon la conformité des appareils.

  • C : Gestion de base des apps mobiles ne couvre pas l’accès aux services cloud.

  • D : Multi-Geo gère la localisation des données, pas la conformité des appareils.

• Audio Conferencing permet aux participants de rejoindre une réunion Teams via un numéro de téléphone PSTN, même si l’entreprise n’a pas de système téléphonique local.

• Disponible en add-on pour les licences qui n’incluent pas déjà cette fonctionnalité (ex. E1 ou E3).

• Couplé à Teams, cela permet d’organiser des réunions mondiales avec des accès téléphoniques standards.

  🎯 À retenir pour l’examen MS-900 :

  • Audio Conferencing add-on = accès PSTN aux réunions Teams

  • Teams Phone System = gère les appels entrants/sortants dans Teams

  • Calling Plan = permet d’appeler depuis Teams, mais pas nécessairement rejoindre une réunion

• e contrôle Require multi-factor authentication (MFA) oblige l’utilisateur à :

  • Fournir son mot de passe

  • Puis valider un second facteur (code SMS, application Authenticator, notification push, etc.)

Cela correspond exactement à une vérification en deux étapes avant d’accéder aux services Microsoft 365.

🎯 À retenir pour l’examen MS-900 :

• MFA = authentification en deux étapes

• Conditional Access peut combiner plusieurs contrôles (MFA + conformité appareil), mais pour la double vérification, la réponse est toujours Require multi-factor authentication.

• La section Token Usage :

  • Montre le nombre total de tokens AI utilisés par votre organisation sur une période donnée.

  • Permet de suivre l’utilisation et estimer les coûts liés à l’usage de Copilot.

• Les autres sections ne fournissent pas cette information :

  • User Engagement → suit l’activité des utilisateurs avec Copilot.

  • Prompt Library → contient les prompts enregistrés et réutilisables.

  • Security Insights → fournit des informations de sécurité et de conformité.

    🎯 À retenir pour l’examen MS-900 :

    • Token Usage = suivi de la consommation de tokens et des coûts Copilot

    • Les autres sections se concentrent sur activité utilisateur, sécurité ou prompts.

• Copilot Chat dans Microsoft Teams peut analyser les conversations et générer des tâches.

• Limitation actuelle : il peut créer des tâches dans Microsoft Planner, mais ne prend pas encore en charge la création directe de tâches dans Microsoft To Do.

• Cela signifie que si vous demandez à Copilot de convertir des éléments d’action en To Do, la commande ne fonctionnera pas directement.

• LSASS (Local Security Authority Subsystem Service) stocke les hashes et tokens d’authentification Windows.

• Les attaquants peuvent utiliser des techniques comme Mimikatz pour voler des credentials depuis LSASS.

• Windows Defender Credential Guard :

  • Utilise la virtualisation basée sur le hardware pour isoler les secrets Windows (NTLM, Kerberos, LSA secrets)

  • Empêche les logiciels malveillants et les attaquants ayant un accès administrateur local de voler les credentials

  • Protège spécifiquement les domain controllers et endpoints sensibles

• C’est la meilleure pratique Microsoft pour sécuriser les contrôleurs de domaine contre le vol de credentials.

• Hotpatch :

  • Fonctionnalité Azure-only pour Windows Server

  • Applique les mises à jour de sécurité critiques sans redémarrage complet

  • Réduit les interruptions de service pour les workloads sensibles (ex : santé, finance)

  • Permet un contrôle administratif, mais avec automatisation pour les correctifs critiques

• Cette approche est le compromis idéal entre patching manuel (risque faible mais effort élevé) et automatisation complète (risque de redémarrage inattendu).

• Zero Trust Remote Access exige :

  • Aucun port entrant exposé sur Internet

  • Accès sécurisé aux applications internes uniquement après authentification et autorisation contextuelles

• Microsoft Entra Private Access :

  • Fournit un accès Zero Trust aux applications internes

  • Les employés se connectent via une passerelle sécurisée, sans exposer de ports publics

  • Contrôle l’accès en fonction de l’identité, du rôle et du contexte

• C’est la solution native Microsoft pour répondre à cette exigence Zero Trust.

• Business Impact Analysis (BIA) classe les risques en fonction de :

  • L’impact financier, réglementaire et opérationnel

  • La criticité des actifs pour le fonctionnement de l’organisation

• Dans cet exemple :

  • La divulgation des EHR entraîne des amendes HIPAA jusqu’à 2M$ → impact financier élevé et conformité critique

  • Une simple interruption n’a pas le même impact → faible perte opérationnelle

• Donc, pour la menace de divulgation, l’impact est élevé (High Business Impact)

L’organisation demande :

• Visibilité centralisée et monitoring sur tous les environnements

• Alertes automatisées pour les ressources non conformes

Dans le Cloud Adoption Framework (CAF) pour Azure :

• Le domaine Management se concentre sur la supervision opérationnelle, le monitoring, la collecte de logs et la configuration d’alertes automatisées.

• Bien que la conformité et les standards fassent partie de la gouvernance, cette exigence met l’accent sur la gestion opérationnelle et la surveillance continue.

✅ Donc, le domaine CAF approprié pour cette exigence est : Management.

• Principe MCRA : « Protect data wherever it resides » → protéger les données indépendamment de l’endroit où elles sont stockées ou partagées.

• Microsoft Purview Information Protection (MIP) permet :

  • Classifier les données sensibles (PII, données financières, propriété intellectuelle…)

  • Appliquer des labels de sensibilité qui suivent les données, peu importe qu’elles soient stockées dans :

    • Azure Storage, SharePoint, OneDrive

    • Emails Microsoft 365

    • Applications tierces intégrées

• Ainsi, MIP fournit une protection centrée sur les données, alignée avec le principe MCRA.

• App Service Authentication / Authorization (Easy Auth) :

  • Permet de forcer l’authentification Azure AD sans modifier le code de l’application

  • Prend en charge MFA, Conditional Access et Single Sign-On

  • Fonctionne pour tous les utilisateurs qui accèdent à l’application

• Avantages :

  • Aucun développement requis → répond à la contrainte “sans modifier le code”

  • Intégration directe avec Azure AD

  • Compatible avec politiques MFA et Conditional Access

Les comptes break-glass sont des comptes d’accès d’urgence utilisés uniquement lorsque :

• L’authentification normale est indisponible

• Les mécanismes MFA ou Conditional Access sont défaillants

• L’environnement est compromis (ex. attaque ransomware)

Les bonnes pratiques Microsoft recommandent :

• 🔐 Identifiants stockés dans un coffre-fort sécurisé hors ligne

• 🔄 Validation régulière (tests d’accès contrôlés)

• 🚨 Surveillance renforcée

• 🔒 Utilisation uniquement en cas d’urgence

Pourquoi hors ligne ?

En cas de ransomware ou compromission massive :

• Les systèmes en ligne (y compris SIEM) peuvent être impactés.

• Le coffre-fort hors ligne réduit le risque de compromission.

• Le pilier Security du WAF couvre :

  • La protection des données (chiffrement au repos et en transit)

  • La gestion des identités et des accès

  • La rotation et protection des clés

  • La gestion des vulnérabilités et la gouvernance des configurations

• Ici :

  • L’absence de rotation de clés et de chiffrement au repos constitue un manquement direct aux pratiques de sécurité recommandées par Microsoft

• Les exigences réglementaires demandent :

  • Aucun accès permanent → limitation stricte des privilèges

  • Journalisation et révision → audit complet des accès administratifs

• Azure AD Privileged Identity Management (PIM) :

  • Fournit l’accès Just-in-Time aux rôles privilégiés (Owner, Contributor, etc.)

  • Les administrateurs doivent activer explicitement leur rôle pour une période limitée

  • Chaque activation est journalisée dans Azure AD et Azure Monitor, ce qui permet audit et conformité

• C’est la solution recommandée par Microsoft pour les environnements réglementés (finance, santé, gouvernement)

La fenêtre d'ingestion des journaux Stackdriver permet de désactiver des sources de journaux spécifiques (comme les containers GKE) en quelques clics, sans recréer le cluster. C'est la solution la plus rapide et sans interruption de service.

La commande gsutil rsync synchronise automatiquement les nouveaux fichiers entre le stockage local et Cloud Storage. Planifiée comme cron job, c'est la solution la plus simple pour automatiser l'upload des nouvelles images médicales.

Les alertes budgétaires GCP s'appliquent au projet entier, pas à un seul serveur. La seule solution pour cibler les coûts réseau d'un serveur spécifique est d'exporter la facturation vers BigQuery et d'interroger les données avec une Cloud Function planifiée.

Une métrique personnalisée basée sur les journaux compte les occurrences de l'erreur spécifique. Couplée à une politique d'alerte, elle déclenche une notification automatique si l'erreur réapparaît. C'est la solution proactive recommandée.

Les deux méthodes efficaces sont : les quotas personnalisés (limitent les octets traités par utilisateur/projet) et le passage au modèle forfaitaire avec slots (coût fixe prévisible). Créer des copies multiples augmenterait les coûts de stockage.

GCP Marketplace propose des solutions pré-configurées comme Jenkins qui se déploient en quelques clics. C'est la méthode la plus rapide — tout est automatisé : création de VM, installation, configuration initiale. Aucune installation manuelle n'est nécessaire.

Dans Cloud Run, le fractionnement du trafic se fait entre révisions du même service (pas entre services différents). Créer une nouvelle révision et diviser le trafic est la méthode native recommandée pour les déploiements canary sur Cloud Run.

Un seul compte Stackdriver lié à tous les projets est la solution recommandée pour consolider la surveillance multi-projets dans un même tableau de bord. C'est l'approche officielle de Google pour Stackdriver Monitoring.

La fonction Arrêter le projet (Shut down) désactive immédiatement tous les services du projet en une seule opération. Il faut le rôle Project Owner (pas Organizational Administrator). Supprimer les ressources individuellement prendrait beaucoup plus d'étapes.

Attribuer le rôle BigQuery User à un groupe Google permet à tous les membres d'exécuter des requêtes SQL directement sur BigQuery. C'est la bonne pratique : groupes pour la gestion facilitée, rôle minimal pour les requêtes.

Correct answers: Options 0 and 1. The Scrum Master should first observe whether the issue surfaces in the Retrospective, creating a safe space for discussion (option 0), and facilitate full-team conflict resolution (option 1). Both approaches respect the team's autonomy and psychology. Option 2 (deference to seniority) stifles healthy debate. Option 4 (team building without addressing substance) ignores the real issue. Private coaching (option 3) alone skips collective learning.

The Scrum Master should investigate why the team wants this change, coach them on the Daily Scrum's importance, and work to improve the event. This is servant-leadership and coaching—not rubber-stamping without understanding root causes. The Daily Scrum is a cornerstone of inspection and adaptation; removing it masks problems rather than solving them.

The Scrum Master coordinates by removing impediments and facilitating inspection and adaptation, not through direct task assignment or conflict escalation to management. This servant-leadership approach enables teams to self-organize and solve problems. The Scrum Master coaches teams on dependencies and collaboration rather than commanding coordination, respecting Scrum's self-organizing values.

Options B and C are correct. Unexpected technical debt encountered mid-Sprint reduces velocity (B), and teams can artificially inflate velocity by incurring debt instead of fully completing work (C). Option A incorrectly separates them—technical debt directly impacts capacity for new features. Option D is false: technical debt still consumes capacity and masks true velocity trends.

Correct: True - The Scrum Guide explicitly states that regardless of scale or team configuration, all Scrum artifacts, events, and roles must be maintained to preserve the framework's integrity. Multiple teams on the same Product Backlog still constitute Scrum and must comply with the Scrum Guide.

A self-organizing Development Team collaboratively decides how to accomplish their work and owns the creation of their Sprint Backlog reflecting the Definition of Done. Options C and E are correct: Option C shows collaborative re-planning throughout the Sprint (self-organization), and Option E demonstrates the team creating their own Sprint Backlog with DoD compliance. Option A reflects role-based silos (not self-organizing), Option B involves management optimization (external direction), and Option D introduces external people (undermining autonomy).

Correct: Options 1, 2, and 3 - Hardening Sprints indicate the team hasn't achieved potentially shippable increments during regular Sprints, stemming from incomplete Definition of Done or accumulated technical debt. Option 4 is false—Scrum explicitly discourages hardening Sprints. Option 5 misrepresents customization; proper Scrum prevents this need.

Correct answers: Options 1 and 3. Work not meeting the Definition of Done must not be included in the Increment (option 1), per the Scrum Guide. The remaining work should be estimated and returned to the Product Backlog (option 3) for the Product Owner to reprioritize. Options 0 and 2 violate the Definition of Done by including or splitting incomplete work, undermining transparency and quality.

This statement is True. Technical debt obscures the actual system state and can mask problems in the reviewed Increment, leading to false confidence in progress. Unaddressed technical debt creates a gap between perceived and actual product quality, violating the transparency pillar of Scrum.

Unsure—observe first is correct because a Daily Scrum exceeding 15 minutes indicates root causes (unclear goals, poor communication, unresolved impediments, or scope issues) rather than team size alone. Dividing the team without diagnosis may fragment collaboration and miss the real problem. Observation and coaching are needed before making structural changes.

Réponse : Inspections.
Explication : Les inspections (B) sont les moins appropriées car c\'est une technique d\'examen statique, axée sur les défauts, destinée à trouver des non-conformités dans les produits de travail plutôt qu\'à identifier proactivement les risques projet et produit. Les inspections utilisent des listes de contrôle et une approche orientée détection de défauts, tandis que l\'identification des risques nécessite une exploration prospective des incertitudes futures.

Réponse : Test de composant: test de décision; Test système: test de table de décision.
Explication : B est correct car il combine une technique structurelle à haute sensibilité au niveau composant (test de décision) avec une technique de spécification combinatoire axée sur les exigences au niveau système (test de table de décision), maximisant ainsi la détection des défauts logiques et des interactions complexes de règles métier.

Réponse : Les critères d\'entrée et de sortie pour chaque phase de test / Les techniques de conception de test à utiliser.
Explication : AC est correct car une stratégie de test défendable prescrit explicitement les techniques de conception de test pour atteindre la couverture et l\'atténuation des risques (C) et les critères d\'entrée/sortie qui gouvernent la progression des phases et les barrières qualité (A). Une stratégie de test robuste est un cadre décisionnel de haut niveau qui détermine comment les objectifs de test seront atteints et comment les risques informent la priorisation et la portée.

Réponse : Gestion et pilotage de projet.
Explication : B est correct car la gestion et le pilotage de projet sont des préoccupations transversales à tous les cycles de vie, non spécifiques au test en RAD. Les attributs distinctifs du RAD—prototypage itératif, exigences évolutives, délais serrés—créent des problèmes centrés sur le test : exigences instables, régressions fréquentes, cycles de test compressés.

Réponse : Chaque niveau de test a des objectifs de test spécifiques à ce niveau..
Explication : C est correct car la définition d\'objectifs de test pour chaque niveau de test garantit que les tests sont intentionnels, mesurables et traçables aux risques correspondants. Le bon test dans tout modèle de cycle de vie exige que les activités de test soient planifiées et exécutées avec des objectifs spécifiques au niveau.

Réponse : Clôture du projet de test.
Explication : D est correct car la phase de clôture du projet de test produit le rapport de synthèse formelle, les artefacts de retours d\'expérience et les métriques consolidées qui constituent les principales entrées utilisées pour piloter et prioriser l\'amélioration du processus de test.

Réponse : Portabilité.
Explication : C est correct car la portabilité est un attribut non-fonctionnel de faible priorité pour un système de surveillance médicale critique pour la sécurité, normalement lié à des piles matériel/système d\'exploitation certifiées. La disponibilité, la sécurité et la fiabilité ont un impact direct sur le risque patient et les preuves réglementaires.

Réponse : Exécution des tests.
Explication : L\'exécution des tests représente la portion la plus importante et la moins prévisible de la variabilité (taux de découverte de défauts, disponibilité de l\'environnement, productivité humaine, boucles de rework). C\'est donc la partie la plus difficile à estimer.

Réponse : Définir les attentes concernant les tâches et les livrables / Canaux de communication clairs / Cultures possiblement différentes.
Explication : BCD est correct. L\'externalisation introduit des ambiguïtés contractuelles sur les livrables, nécessite des canaux de communication robustes et expose le projet à des différences culturelles. La définition précise des attentes, des critères d\'acceptation et des SLA est essentielle pour éviter les dérives de périmètre et les litiges.

Réponse : Critère A = NON OK, critère B = NON OK, critère C = OK.
Explication : L\'évaluation des critères de test révèle que seul le critère C satisfait aux exigences de qualité. Les critères A et B présentent des défaillances qui nécessitent une correction avant d\'accepter le produit testé.

A. Add a confirmation step that requires users to type "CONFIRM DELETE" before delete_file executes. Incorrect. This prevents accidental execution but does not improve the agent's tool selection decision. B. Implement server-side validation that rejects delete_file calls for files tagged as backups, returning an error message suggesting archive_file. Incorrect. This enforces policy after the wrong choice is made but does not directly improve initial selection. C. Expand tool descriptions to clarify use cases, adding guidance like "Do not use for backup files" to delete_file. Correct. Clear, specific descriptions directly influence the agent's tool selection reasoning, making it less likely to choose the wrong tool. D. Add few-shot examples to the system prompt demonstrating that requests involving "backup" or "old" should use archive_file. Incorrect. Helpful, but less direct and less reliable than improving the tool descriptions themselves.

A. Your system prompt needs explicit instructions telling Claude to remember information from earlier turns. Incorrect. Instructions alone don't give the model memory--context must be provided with each request. B. You're not including prior messages in each API request--the stateless API doesn't retain conversation history. Correct. Claude is stateless. If earlier messages aren't passed in the request, it has no awareness of prior vocabulary. C. You need to enable conversation persistence by passing a session ID parameter with each API call. Incorrect. There's no required session ID--memory is handled by including past messages. D. The model's context window has filled up, causing earlier conversation content to be dropped. Incorrect. This would only happen in very long conversations, not typical early testing scenarios.

A. Log the error server-side and return an empty result to avoid confusing the model Incorrect. This hides critical failure information, making it impossible for the agent to distinguish "no data" from "system failure." B. Throw an exception from the tool handler so the agent framework can catch and log it Incorrect. Exceptions are useful internally, but the agent still needs a structured tool response; raw exceptions don't reliably propagate useful context to the model. C. Return the error message in the tool result content with the isError flag set to true Correct. This is the proper MCP pattern: the tool explicitly signals failure using isError: true, while still providing a readable error message so the agent can decide whether to retry, escalate, or inform the user. D. Return a success response with a "status" field indicating the error type Incorrect. This is misleading because it treats failures as successful responses, which confuses downstream reasoning and tool orchestration. Thank you Thank you for being so interested in the If you have any feedback or thoughts on the bumps, I would love to hear them. Your insights can help me improve our writing and better understand our readers. Best of Luck You have worked hard to get to this point, and you are well-prepared for the exam Keep your head up, stay positive, and go show that exam what you're made of! Feedback More Papers Total: 85 Questions Link:

A. Add a user_acknowledged: boolean parameter that must be set true, with instructions for the agent to only set it after the user explicitly confirms they reviewed the details Incorrect. This relies on agent discipline and is easy to bypass or mis-handle; it doesn't guarantee users actually see or understand key details. B. Implement a 60-second hold before execution completes, allowing users time to review pending allocations and cancel if needed Incorrect. Delays alone don't improve understanding; they only slow execution and may frustrate users without ensuring informed approval. C. Add a detail_level parameter with options "minimal" or "comprehensive" that controls how much context the agent presents in confirmations Incorrect. This improves formatting flexibility but does not ensure critical cost and impact information is consistently surfaced before approval. D. Return structured data including cost estimate, target project, resource specifications, and impact summary in the tool response Correct. This ensures that every allocation includes explicit, structured, reviewable details, reducing uninformed approvals and enabling users to understand cost and impact before proceeding.

A. Immediately send an API request with the update as a synthetic user message, generating an unsolicited assistant response. Incorrect. This creates an unsolicited interruption, which can feel unnatural and confusing in an active conversation. B. Append the status update as a prefix to the next user message before calling the API. Incorrect. This pollutes the user message and mixes system state with user intent, which can lead to misinterpretation. C. Configure the assistant to call a get_order_status tool at the start of every response. Incorrect. This is inefficient and unnecessary, especially when you already have the update via webhook. D. Add the current shipping status to the system prompt before the next API call. Correct. This cleanly injects up-to-date system state into context, allowing the assistant to naturally incorporate it into the next response without disrupting the conversation flow.

A. The coordinator agent receives the web search agent's output and includes relevant findings in the prompt when invoking the document analysis agent. Correct. This follows the standard orchestration pattern where the coordinator manages all data flow, explicitly passing outputs between subagents. B. The agents communicate through an event-driven message queue, with the document analysis agent subscribing to web search completion events. Incorrect. This introduces unnecessary infrastructure complexity and is not the typical agent orchestration model. C. The web search agent directly invokes the document analysis agent, using the discovered sources as parameters. Incorrect. Subagents should not invoke each other directly; this breaks centralized control and observability. D. Both agents access a shared memory store where the web search agent writes findings and the document analysis agent reads them. Incorrect. While possible in advanced systems, this is not the standard or simplest approach; it adds complexity without clear necessity in typical pipelines.

A. Enable the document analysis subagent to spawn its own specialized subagents dynamically when it encounters cases with many citations. Incorrect. This decentralizes orchestration and makes the system harder to monitor and debug. The coordinator loses visibility into dynamically spawned agents. B. Implement a message queue where precedent analysis tasks are processed asynchronously by a pool of worker agents. Incorrect. While this improves scalability, it introduces infrastructure complexity and reduces transparency for debugging at the coordinator level. C. Create a recursive agent hierarchy where analysis agents subdivide work among child agents until reaching single-precedent granularity. Incorrect. This further complicates the architecture and makes tracing execution paths difficult, reducing observability and control. D. Have the coordinator spawn parallel document analysis subagents, each handling a subset of precedents, then aggregate results before synthesis. Correct. This enables parallel processing to reduce latency while keeping orchestration centralized. The coordinator retains full visibility, making monitoring and debugging easier.

A. The synthesis agent needs tools that can fetch results directly from the other agents' conversation histories. Incorrect. Agents do not require direct access to each other's histories. Proper orchestration passes outputs explicitly via prompts. B. The synthesis agent's context window is not large enough to hold the combined outputs from both previous agents. Incorrect. If this were the issue, the agent would receive truncated data, not no data at all. The error indicates missing inputs entirely. C. The subagents need to share a single API connection to enable automatic context sharing between invocations. Incorrect. Agent communication does not depend on shared API connections. Context must be explicitly passed by the coordinator. D. The coordinator did not include the outputs from the previous agents in the synthesis agent's prompt. Correct. The synthesis agent can only act on the information provided in its prompt. If prior outputs are not passed, it will report missing research findings.

A. Regenerate summaries of existing conversations using the new prompt and replace the stored histories to align past context with current behavior. Incorrect. This rewrites history and can distort or erase what users actually said, creating continuity risks and potential inaccuracies. B. Add a transition message when sessions resume explaining that the assistant has been updated and behavior may differ. Incorrect. This improves transparency but does not solve the core problem of inconsistent behavior across sessions. C. Version system prompts and associate each conversation with the prompt version under which it started, applying updates only to new conversations. Correct. This is the most robust solution because it preserves behavioral consistency within a conversation over time, avoiding contradictions caused by mid-stream prompt changes. D. Add instructions to the new system prompt directing the assistant to maintain consistency with any prior statements in the conversation history. Incorrect. This helps slightly, but it cannot reliably override changes in underlying behavior introduced by prompt updates.

A. Define a tool with your target schema as input parameters and have Claude call it with the extracted data. Correct. Tool use enforces strict schema compliance at generation time, ensuring valid, structured JSON that downstream systems can reliably consume. B. Pre-fill Claude's response with an opening brace to force JSON output, then complete and parse the response. Incorrect. This is a fragile workaround and does not guarantee valid or schema-compliant JSON. C. Append instructions like "Output only valid JSON matching the schema exactly" and implement retry logic to re-prompt when JSON parsing fails. Incorrect. Helpful but not reliable--models can still produce malformed or non-conformant JSON. D. Include detailed JSON formatting instructions and the target schema in your prompt, then parse Claude's text response as JSON. Incorrect. Prompt-based formatting alone cannot guarantee strict compliance, especially in edge cases.