4. Compétences visées

Le cours développe sept familles de compétences, utilisées ensuite comme grille d'évaluation (section 13).

C1. Comprendre et expliquer. Le problème de la gestion des secrets et ses solutions ; l'architecture interne de Vault et le cycle de vie d'une requête ; le modèle cryptographique (barrière, hiérarchie de clés, scellement) ; le modèle de sécurité, ses frontières de confiance et ses hypothèses ; les distinctions que les praticiens confondent le plus souvent : secret et donnée chiffrée, authentification et autorisation, initialisation et unseal, rotate et rekey, unseal keys et recovery keys, lease et token.

C2. Déployer et configurer. Installer Vault proprement (systemd durci, TLS, permissions) ; initialiser, sceller, desceller ; configurer les moteurs KV, Transit, PKI, Database, SSH et cloud ; configurer AppRole, OIDC, JWT, Kubernetes et les méthodes cloud ; écrire des policies de moindre privilège ; gérer le cycle de vie des tokens.

C3. Intégrer. Connecter des applications (Vault Agent, bibliothèques), Kubernetes (Injector, CSI, Vault Secrets Operator), des chaînes CI/CD sans secrets statiques (OIDC/JWT), Terraform et Ansible.

C4. Architecturer. Concevoir un cluster Raft haute disponibilité ; choisir et justifier un mécanisme de scellement (Shamir, KMS, HSM, Transit) selon les contraintes ; concevoir l'exposition réseau (load balancer, TLS, segmentation) ; adapter l'architecture à un contexte réel (taille, budget, souveraineté, régulation).

C5. Analyser la sécurité. Conduire un threat modeling d'une architecture Vault ; identifier assets, menaces, frontières de confiance, surface d'attaque, contrôles et risques résiduels ; analyser des scénarios de compromission et leurs conséquences exactes.

C6. Exploiter. Superviser (métriques, health checks, journaux) ; auditer ; maintenir (mises à jour d'un cluster, rotations planifiées, capacité) ; documenter.

C7. Réagir. Contenir un token compromis ; sceller en urgence ; restaurer depuis un snapshot ; reconstruire un cluster ; récupérer un quorum perdu ; conduire un Disaster Recovery complet ; rédiger un rapport d'incident.