1. Présentation générale

Toute infrastructure moderne repose sur des secrets : mots de passe de bases de données, clés d'API, tokens de déploiement, certificats et clés privées, clés de chiffrement. Ces secrets ont une tendance naturelle à se disperser : dans le code source et son historique, dans les variables d'environnement, dans les pipelines d'intégration continue, dans les images de conteneurs, dans les journaux et dans les sauvegardes. Cette dispersion, souvent appelée secret sprawl, constitue l'une des surfaces d'attaque les plus exploitées : une grande partie des compromissions documentées commence par un secret exposé quelque part dans la chaîne.

HashiCorp Vault est l'outil de référence pour centraliser la gestion des secrets : stockage chiffré, contrôle d'accès fondé sur l'identité, credentials dynamiques à durée de vie limitée, chiffrement à la demande, autorité de certification interne, journalisation d'audit. Mais Vault mal compris ou mal déployé ne réduit pas le risque : il le concentre. Un Vault devient mécaniquement l'actif le plus critique du système d'information, et les erreurs de conception qui l'entourent (scellement mal choisi, policies trop larges, absence de stratégie de récupération) ont des conséquences plus graves que le problème initial.

Ce cours est un cursus complet, pas une compilation de documentation ni un tutoriel. Il part de zéro (pourquoi les secrets posent problème) et amène l'étudiant jusqu'à la capacité de concevoir, déployer, sécuriser, exploiter, dépanner et restaurer une architecture Vault réaliste en environnement de production. La méthode est constante : chaque mécanisme est expliqué avant d'être configuré ; chaque configuration est analysée du point de vue d'un attaquant ; chaque architecture est présentée avec ses hypothèses, ses limites, ses dépendances et sa stratégie de récupération. L'étudiant n'apprend pas seulement à utiliser Vault ; il apprend à raisonner sur sa sécurité.

Le cours suit un fil rouge unique : l'entreprise fictive Astrea, dont l'infrastructure évolue chapitre après chapitre, d'un serveur Vault de laboratoire jusqu'à une architecture complète à haute disponibilité, scellée par un Vault Transit dédié. La nomenclature (machines, adresses, chemins, rôles, policies) est fixée dès ce document (section 10) et reste stable jusqu'à l'examen final.

Périmètre technique : le cours couvre Vault Community Edition avec le stockage intégré (Raft), les mécanismes de scellement Shamir, Auto Unseal (KMS cloud) et Transit Seal, les principaux Secrets Engines et méthodes d'authentification, l'intégration à Kubernetes, aux chaînes CI/CD et aux applications, la supervision, la sauvegarde et le Disaster Recovery. Les fonctionnalités réservées à Vault Enterprise (réplication DR et performance, namespaces, seal HSM PKCS#11, seal wrap, snapshots automatiques, entre autres) sont systématiquement identifiées comme telles et traitées au niveau conceptuel lorsqu'elles éclairent une décision d'architecture. Le cours est rédigé pour les versions récentes de la série 1.x (1.16 et ultérieures) ; les comportements dépendant de la version sont signalés (voir section 14).

Volume : 16 parties, 40 chapitres, 15 travaux pratiques, 6 études de cas, une évaluation finale complète et trois annexes, soit environ 160 heures au total ; 122 h de cours et d'études de cas (préparation à l'évaluation comprise), 33 h de travaux pratiques et 4 h d'examen final (détail en section 9).