Jouez avec des conteneurs Azure

Continuons à nous intéresser à un autre service disponible sur Azure : le conteneur, aussi appelé virtualisation en micro-service. La conteneurisation est une méthode populaire pour le déploiement et la mise à l’échelle des applications depuis déjà plusieurs années. Peu importe l’hébergeur de Cloud public choisi, le conteneur reste un modèle très plébiscité par son fonctionnement, ses coûts et sa rapidité de mise en œuvre.

Avant de partir dans un exercice sur Azure, je vous propose de parcourir ensemble quelques notions importantes.

Qu’est-ce qu’un conteneur ?

Les conteneurs sont des environnements virtualisés, dont le but est d’exécuter généralement un micro-service. A la différence des machines virtuelles IaaS, les conteneurs sont dépourvus du système d’exploitation, car cette gestion OS est réalisée à un niveau supérieur. Cela rend leur création plus facile et ils sont beaucoup plus légers.

Un orchestrateur de conteneurs est utile pour gérer les conteneurs, mais également aussi pour manager les ressources exécutants ces conteneurs.

Conteneur ou machines virtuelles ?

Les machines virtuelles s’exécutent dans un hyperviseur (hôte) dans lequel chacune d’entre elles doit inclure son propre système d’exploitation invité (guest). En revanche, chaque conteneur partage le même système d’exploitation hôte ou noyau système. Donc l’un s’appuie sur l’autre :

Par contre, construire une application dans des conteneurs apportent plusieurs avantages non négligeables :

  • Moins lourd : Les conteneurs requièrent moins de ressources que les environnements de machines virtuelles, car ils n’incluent pas les images du système d’exploitation.
  • Plus rapide : Le démarrage d’un conteneur ne prend donc généralement que quelques secondes, contre plusieurs minutes pour une machine virtuelle.
  • Amélioration de la portabilité : Les applications qui s’exécutent dans des conteneurs peuvent être facilement déployées sur différents types de systèmes d’exploitation et de plateformes matérielles.
  • Efficacité accrue : Les conteneurs permettent de déployer, de corriger ou de faire évoluer les applications beaucoup plus rapidement.
  • Optimisation du développement d’applications : Les conteneurs accélèrent les cycles de développement, de test et de production grâce à la méthodologie agile et DevOps.

ACI vs AKS (K8s) ?

AKS et ACI sont deux plateformes populaires d’orchestration de conteneurs proposées par Microsoft Azure.

  • AKS est un service Kubernetes entièrement géré qui fournit une plateforme d’orchestration de conteneurs hautement disponible, évolutive et sécurisée.
  • ACI est une plateforme de conteneurs sans serveur qui vous permet d’exécuter des conteneurs sans avoir à gérer l’infrastructure sous-jacente.

Nodes vs Pods ?

  • Node : Un nœud correspond à une machine virtuelle. Cependant, vous pourriez créer un nœud à partir de presque n’importe quoi. Considérons un node comme un ensemble de ressources CPU et RAM qui peuvent être utilisées.
  • Pods : Kubernetes n’exécute pas les conteneurs directement ; ces derniers sont contenus dans une structure intermédiaire appelée Pod. Tous les conteneurs d’un même pod partagent les mêmes ressources et le même réseau local. Les conteneurs peuvent facilement communiquer avec d’autres conteneurs dans le même pod, comme s’ils étaient sur la même machine, tout en maintenant un certain degré d’isolation par rapport aux autres.

Kubernetes vs. Docker ?

Docker est une plateforme de conteneurisation et un moteur d’exécution, tandis que Kubernetes est une plateforme permettant d’exécuter et de gérer des conteneurs à partir de nombreux moteurs d’exécution de conteneurs. Kubernetes prend en charge de nombreux moteurs d’exécution de conteneurs, y compris Docker.

En résumé, Docker et Kubernetes ne poursuivent pas le même objectif : Docker vous permet de développer, déployer et donc itérer plus vite sur votre produit, tandis que Kubernetes est la solution pour le “runner” en production.

Padok

Afin de vous familiariser les conteneurs disponibles sur Azure sous différentes formes, je vous propose de suivre cet exercice dédié à ACI et AKS. La version originale de l’exercice conçu par Microsoft est également disponible en anglais sur la page GitHub juste ici.

Voici la liste des tâches modifiées que nous allons réaliser :

Comme je le répète régulièrement, une ressource déployée entraîne un début de facturation de la part de Microsoft. Il est donc important de correctement dimensionner les ressources, et de les supprimer quand elles ne sont plus utilisées.

Rappel des prérequis :

Pour réaliser cet exercice sur ASK / ACI, il vous faudra disposer de :

  • Un tenant Microsoft
  • Une souscription Azure valide

Mon environnement Azure de départ ne contient aucune autre ressource, commençons par Azure Container Instances.

Etape I – Test d’Azure Container Instances :

Connectez-vous sur le portail Azure, puis authentifiez-vous :

Commencez par rechercher le service Container instances depuis la barre, en haut de votre portail Azure :

Cliquez-ici pour créer votre service Azure Container Instance :

Remplissez tous les champs comme ceci, puis cliquez sur Suivant :

Dans l’onglet Réseau, nommez votre ACI. Celui-ci doit être valide et unique, puis cliquez sur Suivant :

Lancez la validation Azure :

Une fois la validation Azure réussie, cliquez-ici pour commencer la création :

Attendez environ une minute que le processus de création se termine, puis cliquez ici :

Reprenez le FQDN de votre instance ACI :

Ouvrez un nouvel onglet de navigateur, puis collez l’URL correspondante :

Retournez sur votre portail afin de consulter le log de votre instance.

Vérifiez l’entrée représentant la requête HTTP GET générée par l’affichage de l’application dans le navigateur :

Cette première étape très rapide sur ACI est maintenant terminé. Intéressons-nous maintenant à Azure Kubernetes Service (AKS), un orchestrateur managé de conteneurs disponible sur Azure.

Etape II – Enregistrement les fournisseurs de ressources AKS :

Pour cela, ouvrez Azure Cloud Shell depuis la barre bleue en haut de votre portail Azure :

Si besoin, créez un compte de stockage si celui-ci vous le demande :

Saisissez les deux commandes suivantes pour enregistrer les fournisseurs de ressources suivants :

  • Microsoft.Kubernetes
  • Microsoft.KubernetesConfiguration
Register-AzResourceProvider -ProviderNamespace Microsoft.Kubernetes

Register-AzResourceProvider -ProviderNamespace Microsoft.KubernetesConfiguration

Vérifiez l’avancement de l’enregistrement de ces 2 fournisseurs au niveau de votre souscription Azure :

Quelques minutes plus tard, constatez le changement de statut :

Nous environnement est maintenant prêt pour AKS. Nous allons maintenant créer notre premier cluster AKS composé d’un seul worker node.

Etape III – Déploiement d’un cluster Azure Kubernetes Service :

Depuis la barre de recherche, trouvez le service Kubernetes :

Cliquez-ici pour créer votre cluster Kubernetes sur Azure :

Renseignez les champs suivants :

Prenez soin de désactiver la mise à l’échelle automatique, puis cliquez sur Suivant :

Cochez la case suivante pour activer les nœuds virtuels ACI, puis cliquez sur Suivant :

Conservez l’option Kubernetes RBAC, puis cliquez sur Suivant :

Azure CNI est grisé à cause de l’ajout de nœuds virtuels ACI, cliquez sur Suivant :

Décochez la case des alertes, puis lancez la validation Azure :

Une fois la validation Azure réussie, cliquez-ici pour commencer la création :

Attendez environ trois minutes que le processus de création se termine :

Constatez la bonne disponibilité du nœud ASK déployé :

Notre environnement AKS est prêt à recevoir des conteneurs. Passons à l’étape suivante pour réaliser cela.

Etape IV – Déploiement des pods dans le cluster AKS :

Ouvrez à nouveau Azure Cloud Shell :

Basculez de PowerShell à Bash, puis confirmez :

Exécutez la procédure suivante pour récupérer les informations d’identification permettant d’accéder au cluster AKS :

RESOURCE_GROUP='az104-09c-rg1'

AKS_CLUSTER='az104-9c-aks1'

az aks get-credentials --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER

Exécutez la commande suivante pour obtenir la liste des nœuds actifs sur AKS :

 kubectl get nodes

Notez la présence d’un nœud virtuel représenté par ACI :

Exécutez la commande suivante afin de déployer l’image nginx depuis le Docker Hub :

 kubectl create deployment nginx-deployment --image=nginx

Exécutez la commande suivante pour obtenir la liste des pods actifs sur AKS :

 kubectl get pods

Exécutez la commande suivante pour obtenir les statuts et le nombre de la conteneurs actifs sur AKS :

 kubectl get deployment

Retrouvez cette même information sur le portail Azure :

Exécutez la commande suivante pour exposer, donc rendre le pod accessible depuis Internet :

 kubectl expose deployment nginx-deployment --port=80 --type=LoadBalancer

Exécutez la commande suivante afin d’obtenir l’adresse IP publique de l’équilibreur de charge dédié à votre application :

 kubectl get service

Retrouvez cette même information sur le portail Azure, puis ouvrez un nouvel onglet de navigateur en collant l’adresse IP correspondante :

Vérifiez que la page du navigateur affiche bien le message suivant :

Afin de comprendre la force des conteneurs, jouons un peu avec le nombre de pods dans l’étape suivante.

Etape V – Variation du nombre de Pods :

Nous allons faire évoluer les charges de travail conteneurisées dans votre cluster Azure Kubernetes.

Exécutez la commande suivante pour mettre à l’échelle le déploiement en augmentant le nombre de pods à 2 :

 kubectl scale --replicas=2 deployment/nginx-deployment

Contrôler la mise à l’échelle du déploiement via la commande suivante :

 kubectl get pods

Retrouvez cette même information sur le portail Azure :

Il est également possible d’augmenter le nombre de worker nodes dans notre environnement AKS. Pour cela, l’étape suivante nous le montre.

Etape VI – Variation du nombre de Nodes :

Exécutez la procédure suivante pour mettre à l’échelle le cluster en augmentant le nombre de nœuds à 2 :

RESOURCE_GROUP='az104-09c-rg1'

AKS_CLUSTER='az104-9c-aks1'

az aks scale --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --node-count 2

Attendez plusieurs minutes que le traitement de création du nœud se termine :

Retrouvez ce nombre actualisé sur le portail Azure :

Exécutez la commande suivante pour vérifier le résultat de la mise à l’échelle du cluster :

 kubectl get nodes

Retrouvez cette même information sur le portail Azure :

Exécutez la commande suivante pour mettre le déploiement à l’échelle sur 10 répliques :

 kubectl scale --replicas=10 deployment/nginx-deployment

Exécutez la commande suivante pour vérifier le résultat :

 kubectl get pods

Retrouvez cette même information sur le portail Azure :

Exécutez la commande suivante pour vérifier la répartition des pods sur les nœuds du cluster :

kubectl get pod -o=custom-columns=NODE:.spec.nodeName,POD:.metadata.name

Retrouvez cette même information sur le portail Azure :

Exécutez la procédure suivante pour remettre à l’échelle le cluster à 1 nœud :

 az aks scale --resource-group $RESOURCE_GROUP --name $AKS_CLUSTER --node-count 1

Quelques minutes plus tard, retrouvez cette même information sur le portail Azure :

 kubectl get pod -o=custom-columns=NODE:.spec.nodeName,POD:.metadata.name

Exécutez la commande suivante pour vérifier la répartition des pods sur le seul nœud restant du cluster :

AKS supporte très bien l’ajout de conteneurs managés ACI. Testons un peu cela.

Etape VII – Mix entre AKS et ACI :

Vérifiez l’état de l’enregistrement du fournisseur ACI à l’aide de la commande suivante :

az provider list --query "[?contains(namespace,'Microsoft.ContainerInstance')]" -o table

L’exemple suivant montre que le fournisseur Microsoft.ContainerInstance est enregistré :

Si le fournisseur n’est pas enregistré, il faut l’enregistrer à l’aide de la commande suivante :

az provider register --namespace Microsoft.ContainerInstance

Exécutez la commande suivante pour obtenir la liste des noeux actifs sur AKS :

kubectl get nodes

Créez un fichier nommé virtual-node.yaml en y copiant le contenu YAML suivant, ou récupérez son contenu juste ici :

apiVersion: apps/v1
kind: Deployment
metadata:
  name: aci-helloworld
spec:
  replicas: 1
  selector:
    matchLabels:
      app: aci-helloworld
  template:
    metadata:
      labels:
        app: aci-helloworld
    spec:
      containers:
      - name: aci-helloworld
        image: mcr.microsoft.com/azuredocs/aci-helloworld
        ports:
        - containerPort: 80
      nodeSelector:
        kubernetes.io/role: agent
        beta.kubernetes.io/os: linux
        type: virtual-kubelet
      tolerations:
      - key: virtual-kubelet.io/provider
        operator: Exists

Cliquez sur Téléverser pour lancer l’opération de transfert vers Azure :

Choisissez le fichier précédemment généré :

Exécutez l’application à l’aide de la commande suivante :

kubectl apply -f virtual-node.yaml

Constatez l’apparition de l’application sur votre portail Azure, puis attendez :

Exécutez la commande suivante pour exposer, donc rendre le pod disponible depuis Internet :

kubectl expose deployment aci-helloworld --port=80 --type=LoadBalancer

Ouvrez un nouvel onglet de navigateur, puis collez l’adresse IP correspondante.

Vérifiez que la page du navigateur affiche bien le message Welcome to Azure Container Instances! :

Exécutez la commande suivante pour mettre à l’échelle le déploiement en augmentant le nombre de pods à 5 :

kubectl scale --replicas=5 deployment/aci-helloworld

Retrouvez cette même information sur le portail Azure :

Cliquez sur votre nœud ACI :

Constatez la bonne présence de votre application et de ses répliques :

Un dernier test pour mieux comprendre le découplage d’une application dans plusieurs conteneurs.

Etape VIII – Test d’une application multi-conteneurs :

Créer un fichier nommé azure-vote-v2.yaml en y copiant le contenu YAML suivant, ou récupérez son contenu juste ici :

apiVersion: apps/v1
kind: Deployment
metadata:
  name: azure-vote-back
spec:
  replicas: 1
  selector:
    matchLabels:
      app: azure-vote-back
  template:
    metadata:
      labels:
        app: azure-vote-back
    spec:
      nodeSelector:
        kubernetes.io/role: agent
        beta.kubernetes.io/os: linux
        type: virtual-kubelet
      tolerations:
      - key: virtual-kubelet.io/provider
        operator: Exists
      containers:
      - name: azure-vote-back
        image: mcr.microsoft.com/oss/bitnami/redis:6.0.8
        env:
        - name: ALLOW_EMPTY_PASSWORD
          value: "yes"
        ports:
        - containerPort: 6379
          name: redis
---
apiVersion: v1
kind: Service
metadata:
  name: azure-vote-back
spec:
  ports:
  - port: 6379
  selector:
    app: azure-vote-back
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: azure-vote-front
spec:
  replicas: 1
  selector:
    matchLabels:
      app: azure-vote-front
  template:
    metadata:
      labels:
        app: azure-vote-front
    spec:
      nodeSelector:
        kubernetes.io/role: agent
        beta.kubernetes.io/os: linux
        type: virtual-kubelet
      tolerations:
      - key: virtual-kubelet.io/provider
        operator: Exists
      containers:
      - name: azure-vote-front
        image: mcr.microsoft.com/azuredocs/azure-vote-front:v1
        ports:
        - containerPort: 80
        env:
        - name: REDIS
          value: "azure-vote-back"
---
apiVersion: v1
kind: Service
metadata:
  name: azure-vote-front
spec:
  type: LoadBalancer
  ports:
  - port: 80
  selector:
    app: azure-vote-front

Cliquez sur Téléverser pour lancer l’opération de transfert vers Azure :

Exécutez l’application à l’aide de la commande suivante :

kubectl apply -f azure-vote-v2.yaml

Constatez l’apparition de l’application sur votre portail Azure, puis attendez :

Environ 2 minutes plus, constatez le changement de statut en vert :

Vérifiez la bonne affectation de votre application sur le nœud ACI :

Cette information avait été renseigné dans le fichier YAML :

Ouvrez un nouvel onglet de navigateur en collant l’adresse IP correspondante :

Vérifiez que la page du navigateur affiche bien l’application de vote :

Testez l’application en votant pour Chiens ou Chats :

Ouvrez un nouvel onglet en navigation privée :

Vérifiez la persistance des votes précédemment réalisés :

Effacez votre résultat, puis fermez l’onglet de navigation privé :

Rafraichissez la page de test, puis constatez le même effacement des précédents votes :

Conclusion

Grâce à ce petit exercice, nous avons bien compris que le conteneur n’est qu’un moyen parmi d’autres pour faire tourner une application, avec de nombreux avantages.

Mais, quelle que soit la plateforme choisie, il est toujours primordial de suivre les bonnes pratiques pour concevoir, mettre en œuvre et gérer vos applications : à savoir la surveillance, optimisations, sécurité, confirmé et coûts 😎.

Renouvelez vos certifications Microsoft

Vous avez passé et réussi une certification Microsoft il y a peu ? Bravo ! Dans quelques mois et selon celle-ci, attendez-vous à recevoir un mail, de la part de Microsoft, vous demandant de renouveler votre certification.

Non, ce n’est pas une blague, certaines certifications Microsoft ont toujours eu une durée de validité. La date d’expiration est basée sur la date de réussite de votre examen. Il vous est nécessaire de repasser une petite épreuve pour étendre la durée de votre certification.

Microsoft a changé les règles du renouvellement des certifications le 30 juin 2021. Les changements ne concernent que les certifications passées à partir de cette date :

Avant le 30 juin 2021, les certifications de niveau Associé, Expert ou même les spécialités avaient une durée de validité de 2 ans. Les personnes certifiées devaient alors payer pour repasser l’examen initial, comme toute personne souhaitant passer la même certification pour la première fois. Les certifications de niveau Fondamental n’ont jamais eu de date d’expiration.

A partir du 30 juin 2021, les certifications de niveau Associé, Expert ou même les spécialités présentes dans cette liste ont une durée de validité réduite à un an. Un renouvellement gratuit est maintenant accessible 180 jours avant la date d’expiration. Les certifications de niveau Fondamental n’ont toujours pas de date d’expiration.

Une FAQ est à disposition pour vous aider à comprendre les impacts.

Pourquoi ?

Pour les personnes certifiées, cette modification a un double avantage :

  • Ne plus repayer pour prolonger la durée de validation pour chaque certification
  • Ne plus subir les conditions strictes de l’examen initial
Bac à sable d’examen Microsoft

Le processus de renouvellement de certification annuel gratuit et pratique de Microsoft garantit que vous êtes à jour avec les dernières modifications technologiques.

Microsoft Learn

Bien évidemment, le point central dans ces deux modèles reste basé sur l’apprentissage continu des évolutions des produits. Ces produits rattachés au Cloud Microsoft sont en constante évolution dans leurs fonctionnalités et leur périmètre.

Quand passer son renouvellement ?

Inutile de vous précipiter, attendez de recevoir le premier mail de la part de Microsoft, 180 jours avant la date d’expiration de votre certification. Par la suite et si rien n’est fait, plusieurs rappels vous seront envoyés tant que votre certification n’est pas renouvelée :

  • 90 jours avant la date d’expiration
  • 30 jours avant la date d’expiration
  • 7 jours avant la date d’expiration

Comment se déroule le renouvellement ?

La principale différence entre un renouvellement et un premier examen est avant tout l’absence d’outil de contrôle. Plus besoin de disposer d’un environnement vide et calme. La page d’examen du renouvellement est une page web de Microsoft Learn.

Concernant le contenu du renouvellement, l’examen est généralement composé d’une vingtaine de questions environ, parfois un peu plus. Les questions s’enchainent sans pouvoir revenir en arrière. Pas d’étude de cas à traiter non plus.

Je ne crois pas non plus avoir vu de chronomètre par question ou même pour l’ensemble de l’examen de renouvellement.

Quels sont les résultats possibles ?

Comme pour l’examen initial, deux issues sont possibles, réussite ou échec. Une différence réside sur le pourcentage à atteindre. 700 points sont nécessaires pour l’examen initial, tandis que le renouvellement se base sur un pourcentage, dont le son minimum varie entre chaque examen.

Si votre renouvellement est réussi, la date d’expiration de la certification est automatiquement repoussée d’une année. Un prochain renouvellement vous sera alors à requis à nouveau dans 365 jours, etc … Un nouveau mail arrivera quelques heures après pour vous féliciter :

Si vous échouez votre renouvellement, rien de grave, vous pourrez le repasser après 24 heures. En attendant, Microsoft vous affiche en dessous des indicateurs pour situer votre niveau sur chaque thème et pour vous inciter à vous concentrer vos efforts sur faiblesses :

Mon avis personnel

J’adhère complètement à ce nouveau processus simplifié de renouvellement, autant sur la forme que sur le fond : Il est plus juste de ne plus faire repayer une certification déjà acquise, et il est primordial de vérifier le maintien à jour des connaissances des personnes certifiées.

En revanche, je suis quelques fois dubitatif sur la présence de certaines questions, très à la marge du périmètre de la certification renouvelée. Cela donne un effet méli-mélo assez étrange sur le pool de questions rattachées derrière tout ça.

Conclusion

Après une première inquiétude émise à cause du raccourcissement de la durée de validité, ce changement dans le renouvellement des certifications Microsoft a été vivement apprécié, il simplifie le processus de validation des connaissances pour les personnes déjà certifiées.

Cette approche facilite également l’ajout de questions sur des contenus nouveaux, car la même démarche chez Microsoft est nécessairement plus longue pour l’appliquer et le valider dans un examen initial.

Plus que quelques heures pour finir votre défi Microsoft Learn Cloud Skills !

Comme chaque année, Microsoft organise par un evênement pour les développeurs et les professionnels de l’informatique.

Rappel des points importants

Voici une courte liste, mais pratique, des liens utiles pour ne rien louper de cet événement passé :

Comme à chaque fois, Microsoft propose à tous de passer des challenges techniques, dans le but d’obtenir des vouchers pour des certifications Microsoft gratuitement.

Voici la liste des examens accessibles via ce voucher Ignite :

Le défi prendra fin le 9 novembre 2022 à 16 h 00 UTC. Veillez à terminer tous les modules de votre défi avant cette date :

0
Years
:
0
Months
:
0
J
:
0
H
:
0
M
:
0
S

Quel que soit le nombre de défis Microsoft Learn Cloud Skills que vous relevez, vous ne pouvez remporter qu’un seul examen de certification Microsoft gratuit.

Votre offre d’examen de certification Microsoft gratuit sera envoyée d’ici le 18 novembre 2022 et expirera le 15 février 2023. Vous devez terminer votre examen avant cette date. Nous vous recommandons vivement de faire votre réservation au moins une semaine à l’avance. Pour consulter la liste complète des examens éligibles, reportez-vous aux règles officielles.

Architecte en cybersécurité Microsoft (SC-100)

Une nouvelle certification dédiée à la sécurité du Cloud Microsoft a fait son apparition il y a déjà quelques mois. Contrairement aux autres certifications dédiées au même sujet de niveau intermédiaire, celle-ci est de niveau expert. Elle ne se focalise par uniquement sur un pan sécuritaire spécifique du Cloud Microsoft, que ce soit Azure, Azure AD ou Microsoft 365.

Microsoft est d’ailleurs assez clair dans la description de ce que l’on peut attendre d’un Architecte en cybersécurité :

L’architecte de cybersécurité collabore continuellement avec les dirigeants et les professionnels en matière de sécurité informatique et de confidentialité, ainsi que d’autres rôles organisationnels, afin de planifier et d’implémenter une stratégie de cybersécurité répondant aux besoins d’une organisation.

Microsoft Learn

Comment comprendre le niveau Expert chez Microsoft ?

Je persiste à dire que les certifications de niveau Expert ont une utilité dans la connaissance macro du cloud Microsoft. Aucune volonté de réapprendre les fondamentaux de tel ou te service de sécurité, de leur fonctionnement précis, mais bien de comment les intégrer dans une stratégie sécuritaire globale de l’entreprise.

Il vous faut donc percevoir cette certification de la même manière que celles dédiées aux Architectes Azure ou aux Administrateurs Expert 365. N’en doutez-pas, les gammes de produits disponibles chez les acteurs majeurs du cloud publics sont tellement gigantesques que des rôles se sont nécessaire pour maîtriser cette vue d’ensemble et coordonner le tout.

Comment obtenir cette certification ?

Comme toutes les autres certifications de niveau expert, la certification ne s’obtient pas qu’avec un seul examen. Un examen de niveau associé est nécessaire pour obtenir le précieux badge.

En plus de l’examen SC-100, il vous faudra obtenir un des examens suivants :

Aucune nécessité de programmer le passage d’examen dans un ordre précis.

Quels sont les sujets abordés dans cette certification ?

Microsoft continue toujours de lister les compétences mesurées depuis la page d’examen :

  • Concevoir une stratégie et une architecture zéro confiance (30-35 %)
  • Évaluer les stratégies techniques et les stratégies d’opérations de sécurité de gouvernance des risques (20-25 %)
  • Concevoir la sécurité pour l’infrastructure (20-25%)
  • Concevoir une stratégie de données et d’applications (20-25 %)

Le fichier PDF lui aussi disponible sur cette même page reprend toujours en détail ces pourcentages de chaque module.

Il a changé depuis peu et intègre maintenant tous les liens utiles à la préparation de l’examen. De plus il vous détaille aussi les prochains changements opérés par Microsoft sur cet examen, pour vous permettre d’appréhender au mieux sa future mise à jour.

Comment préparer cette certification ?

Depuis peu, Learn est maintenant au centre de l’offre d’apprentissage proposé par Microsoft, que ce soit pour la documentation en libre accès ou pour les cours officiels dispensés par un MCT (Microsoft Certified Trainer) :

Cette mise à disposition complète et gratuite de contenus d’apprentissage est donc aussi valable pour la préparation de certifications Microsoft, via la mise en place de collections accessibles à tous :

L’authentification sur Learn est conseillé car elle vous permet alors de suivre votre progression d’apprentissage, et même d’accumuler des badges de succès obtenus après la lecture complète de modules :

Des contrôles de connaissances sont régulièrement intégrés en fin de module pour vous aider à valider votre compréhension :

Quoi d’autres ?

Des contenus adaptés à cet examen sont aussi disponibles sur des sources externes, comme sur ce blog ???? :

Comme toujours, une autre source me sert et m’informe sur Azure toutes les semaines : YouTube. John Savill reste pour moi une valeur sûre sur le fond et sur la forme. Il suffit de voir le temps passé sur cet examen sur cette vidéo :

John en a même fait une playlist YouTube pour rentrer en détail dans chacun des sujets ????.

Microsoft Learn Cloud Skills Challenge3

Petit rappel : comme à chaque Ignite, Microsoft vous propose de passer de petits challenges techniques. Ces challenges sont un moyen facile d’obtenir des connaissances techniques mais également des vouchers pour des certifications Microsoft. Tout cela gratuitement !

Voici la liste des examens accessibles via ce voucher Ignite :

Ne tardez pas pour vous en occuper avant le 09 novembre !

0
Years
:
0
Months
:
0
J
:
0
H
:
0
M
:
0
S

Conclusion

Au final, et comme dit précédemment, le passage de cet examen m’a fait penser aux autres certifications de niveau expert. La majorité des questions ont concerné des connaissances précises sur la sécurité, sans en attendre un côté incollable. L’important est d’en avoir une vue d’ensemble sur les capacités générales pour faire face à différentes exigences de sécurité.

Comme vous le savez déjà, ce type de certification Microsoft doit être renouvelée tous les ans pour conserver sa validité. Ce cycle de re certification est pour moi une excellente approche pour se tenir informé des nouvelles menaces et mesures de sécurité disponibles sur le marché.

Bon examen ????

AZ-801 – Configuration des services avancés de Windows Server Hybrid

Premier article de cette nouvelle année ! Je profite donc de ce billet pour vous souhaiter mes meilleurs vœux pour 2022 ????????????????. J’avais terminé l’année précédente avec un article sur l’examen AZ-800, disponible ici. Dans la continuité de la certification d’Administrateur Windows Server Hybrid, cet article est donc dédié au second examen : AZ-801 – Configuration des services avancés de Windows Server Hybrid.

Petit rappel qui ne fait pas de mal : la certification Microsoft, Administrateur de Windows Server Hybrid Associé, est apparue dans le Poster Microsoft à la rentrée 2021 et est toujours en version BETA à l’heure où ces lignes sont écrites :

Comme sur l’article précédent, je vous remets donc la vidéo animée par Orin Thomas sur cette nouvelle certification :

Avant de rentrer dans le contenu de ce second examen, je souhaitais vous rappeler quelques points sur les examens BETA de Microsoft.

Qu’est-ce qu’un examen BETA ?

Selon ITProToday, L’examen bêta est la mise au point finale d’un examen avant sa disposition à l’ensemble du public. Les examens BETA sont généralement disponibles pendant une courte période pour un groupe limité.

Lorsque vous passez l’examen, vous ne recevez aucune information sur votre réussite ou votre échec avant parfois plusieurs semaines / mois.

Qu’est-ce qu’un examen BETA pour Microsoft ?

Lorsque vous effectuez un examen sous sa forme BETA, vous nous fournissez des informations utiles pour évaluer la qualité de l’examen et de ses questions. Une fois que le processus est terminé et que nous avons intégré les modifications pertinentes, nous pouvons l’utiliser pour certifier des personnes dans des rôles et des spécialisations professionnelles basés sur le cloud.

Les examens BETA Microsoft

Autrement dit, les beta testeurs valident le contenu d’un examen et apporte à Microsoft l’assurance que l’obtention de la certification associée correspond à des postes ou des missions issus du marché de l’informatique.

Combien coûte un examen BETA ?

Régulièrement et quel que soit l’éditeur, la phase BETA est donc possiblement à un tarif réduit. J’en profite pour vous rappeler qu’un statut MCT chez Microsoft vous permet de profiter de bons d’examen entièrement gratuits pour leurs certifications BETA !

Ces offres sont toujours annoncées dans les jours qui suivent l’ouverture de la BETA, sur le forum des certifications, accessible depuis le MCT Central. Un nombre limité de bons d’examen disponibles et ils ont une durée de validité généralement assez courte.

Pour les non-MCT, vous pouvez toujours profiter d’une autre offre Microsoft, elle aussi limitée dans le temps :

Profitez de l’offre d’examen bêta à prix réduit pour une durée limitée. Pour chaque examen, les 300 premières personnes qui passeront l’examen au plus tard le 10 janvier 2022 pourront bénéficier d’une réduction de 80 % sur le prix final. Cette offre s’applique à l’examen AZ-800 (BETA) et à l’examen AZ-801 (BETA), soit un total de 600 places à prix réduit.

Retrouvez ici ces réductions sur le blog de Microsoft Learn. Voici par exemple le lien vers la page des examens AZ-800 et AZ-801.

Comment préparer son examen BETA ?

En règle générale, il est fortement conseillé de travailler 3 axes pour réussir à coup sûr une certification :

  • Etudier la documentation officielle
  • Pratiquer des labs
  • Profitez de son expérience professionnelle

La documentation

Par le biais de la page d’examen Microsoft, vous pouvez avoir accès à :

  • La page de l’examen » : Enumération des compétences évaluées lors de l’examen
  • Le chemin d’apprentissage : Ensemble de liens vers la documentation Microsoft, en relation avec les sujets abordés. Ces pages sont utiles car elles peuvent aussi contenir des exercices, des QCM ou encore environnements de test Azure

Envi de commencer votre préparation ? Microsoft a justement créé cette page pour vous : Comment préparer des examens bêta sans documents de préparation ?!?

Les labs

Un bon moyen de progresser d’un point de vue technique est d’utiliser les labs en association avec l’examen désiré. Plusieurs plateformes proposent ce type de formule adapté. Malheureusement, les certifications BETA ne disposent pas toujours de labs au moment où vous préparez votre examen.

J’ai pour habitude de travailler avec les plateforme suivantes. De plus, un accès aux labs Microsoft est gratuit pour les MCT :

Quand reçoit-on résultats d’examen BETA ?

Comme indiqué plus haut, cela peut prendre plusieurs semaines / mois avant d’obtenir vos résultats. À la fin d’un examen BETA, vous ne recevez pas immédiatement de résultat positif ou négatif, car le barème de notation de l’examen n’est pas encore finalisé.

La mise à disposition de vos résultats d’examen BETA chez Microsoft va dépendre de la date de disponibilité générale. Comptez environ une dizaine de jours après cette date pour retrouver vos résultats BETA.

Edit : une toute nouvelle vidéo forte utile pour comprendre un peu mieux la certification Microsoft ????

AZ-801 – Configuration des services avancés de Windows Server Hybride

Rentrons maintenant dans le vif du sujet concernant cet examen AZ-801. Comme pour chaque examen que je vous présente, voici les liens utiles pour préparer ce petit dernier :

Chapitres de la certification AZ-801

Comme toujours, Microsoft détaille les différents thèmes abordés avec des pourcentages. Voici donc la liste pour cet examen AZ-801 :

Afin d’éviter de produire une répétition du chemin d’apprentissage Microsoft, très complet, j’ai souhaité vous partager dans cet article plusieurs vidéos YouTube sur des sujets précis. Gardez en tête que le chemin d’apprentissage Microsoft est le point de départ de toutes les questions.

Chapitre I : Sécuriser les infrastructures Windows Server sur site et hybrides

Dans la même logique que l’examen AZ-800, la partie sécurité de Windows Server reste la plus importante, aussi bien pour une architecture sur site que dans le Cloud Azure. Il vous faut aussi déterminer si les ressources présentent des failles de sécurité et savoir comment y remédier.

Ici, le but est de vérifier vos connaissances sur les différents modules augmentant la sécurité de Windows Server, tout en sachant les différencier leurs fonctions :

Cet examen apporte aussi son lot de questions sur Active Directory. Par exemple, la connaissance des utilisateurs protégés ou comment fonctionne la corbeille AD pour restaurer des utilisateurs doit être maîtrisée :

Attendez-vous toujours à des questions relatives à Azure. Ici, le point intéressant sur ce sujet va concerner le monitoring des machines virtuelles. Les principaux outils aidant à la sécurisation de ces machines seront Microsoft Defender for Cloud (anciennement Azure Security Center) et Azure Sentinel :

Toujours dans le même chapitre, les réseaux et le stockage sont aussi des sujets relevés dans cet examen. On peut prendre en exemple BitLocker et son champ d’application possible sur Windows Server :

Chapitre II : Implémenter et gérer la haute disponibilité de Windows Server

Ce chapitre est plus court mais concerne un sujet majeur : le failover sur Windows Server. Cette notion est critique dans un environnement IT, et est compatible avec un grand nombre rôles de Windows Server. Il est donc indispensable de les tester pour en comprendre les bases et être en confiance sur les questions de l’examen.

Par exemple, prenons en détail la notion de quorum dynamique :

Dans mon précédent article, j’avais déjà relevé la forte mise en avant de Windows Admin Center dans l’examen AZ-800, prenez donc le temps de tester l’outil pour chaque partie / fonctionnalité :

Toujours sur ce chapitre, le chemin d’apprentissage consacre un timide passage à Storage Space Direct. Il est malgré tout important de bien comprendre son principe :

Chapitre III : Mise en œuvre de la reprise après sinistre

Ce chapitre teste vos connaissances sur la fourniture d’une solution de continuité des activités et de reprise après un sinistre. Il vous faut également démontrer comment mettre en œuvre Azure Site Recovery pour les architectures sur site, mais aussi déjà présentes dans Azure.

Beaucoup de services dans Azure facilite grandement la mise en place de BCDR :

Vous pouvez utiliser Hyper-V Replica pour implémenter une solution BCDR abordable pour un environnement virtuel :

  • Le réplica Hyper-V peut vous protéger contre la perte de données en cas de panne de site en copiant une machine virtuelle en temps réel en tant que machine virtuelle de réplication d’un emplacement à un autre. Si le site qui contient la machine virtuelle principale n’est plus disponible, la machine virtuelle de réplication est disponible pour maintenir les charges de travail disponibles
  • Si nécessaire, vous pouvez utiliser le réplica Hyper-V pour étendre la réplication de la copie hors connexion à un troisième emplacement
  • Si votre organisation ne dispose que d’un seul emplacement disponible, vous pouvez toujours utiliser la réplication Hyper-V pour répliquer des machines virtuelles vers une organisation partenaire à un autre emplacement, à un fournisseur d’hébergement ou à Microsoft Azure

Chapitre IV : Migrer des serveurs et des charges de travail

Microsoft souhaite ici mettre l’accent sur la migration d’une charge de travail dans Windows Server vers une machine virtuelle (VM) Azure, grâce aux outils de migration de Windows Server ou par le biais du service de migration de stockage.

Chapitre V : Surveillance et dépannage des environnements Windows Server

Dans ce chapitre, Microsoft parle de l’utilisation des outils de monitoring et de dépannage, les processus et les meilleures pratiques pour rationaliser les performances et la disponibilité de votre environnement Windows Server et de vos VMs Azure.

Conclusion

Comme pour mon examen AZ-800, cet examen ne fut pas non plus évident. Et comme à chaque examen BETA, il faut attendre plusieurs semaines / mois pour avoir les résultats. Encore une fois, les connaissances acquises ces dernières semaines via le chemin d’apprentissage m’ont beaucoup aidé, mais elles ne compensent pas toujours le manque d’expérience.

Aucun souci si Windows Server est votre quotidien ou si vous avez conservé de beaux restes ! Pensez malgré tout à disposer de connaissances sur Azure pour réussir votre examen. Comme à chaque fois, les vidéos explicatives c’est très bien, mais la pratique c’est indispensable.

Bon examen ????

AZ-800 – Administration de l’infrastructure de base de Windows Server Hybrid

Dernier article avant cette fin d’année 2021, je profite pour vous souhaiter de très bonnes fêtes ????????????????.

Rentrons dans le vif du sujet avec une nouvelle certification Microsoft, Administrateur de Windows Server Hybrid Associé, apparue dans le Poster Microsoft à la rentrée 2021 et disponible depuis début décembre en version BETA.

Pour rappel, cette certification, de niveau Associé, se décompose en deux examens (AZ-800 et AZ-801), comme c’est le cas avec la certification d’Architecte Cloud, de niveau Expert :

Merci à Orin pour cette première introduction????.

Ces deux examens sont donc nécessaires pour obtenir ce nouveau badge. Dans cet article, nous allons de parler uniquement de l’examen AZ-800, dédié à l’administration de Windows Server dans ses fonctionnalités principales. Je referai un second article, début 2022, sur le second examen AZ-801, encore en BETA lui aussi.

Examen AZ-800 : Administration de l’infrastructure de base de Windows Server Hybrid

Avant de parler de mon ressenti personnel, je tenais à vous redonner ici quelques liens utiles pour préparer cet AZ-800 :

Malheureusement à l’heure où ces lignes sont écrites, aucune grande plate-forme de labs ne propose encore de cursus dédié à l’AZ-800. Le mieux est donc de disposer d’une souscription Azure pour faire ses essais in situ.

Et voici une seconde vidéo, dédiée uniquement à l’AZ-800, toujours préparée par Orin.

Chapitres de la certification AZ-800

Comme pour chaque examen, Microsoft détaille avec des pourcentages les différents thèmes abordés. Voici la liste pour cet examen AZ-800 :

  • Chapitre I : Déployer et gérer les services de domaine Active Directory (AD DS) dans des environnements sur site / cloud (30-35 %)
  • Chapitre II : Gestion des serveurs Windows et des charges de travail dans un environnement hybride (10-15%)
  • Chapitre III : Gestion des machines virtuelles et des conteneurs (15-20%)
  • Chapitre IV : Mettre en œuvre et gérer une infrastructure réseau sur site et hybride (15-20%)
  • Chapitre V : Gestion des services de stockage et de fichiers (15-20%)

Chapitre I : Déployer et gérer les services de domaine Active Directory (AD DS) dans des environnements sur site / Cloud

Aucun suspense, la gestion d’un domaine Active Directory est de loin la principale partie sanctionnée par cet examen. Le but ici est de mesurer vos connaissances sur les composantes d’un domaine. Autant dire que la maîtrise de ces derniers est fortement attendue. Pas de mystère ici, la pratique par l’expérience et ou l’apprentissage intensif peut vous sortir de là.

En plus de savoir déployer les multiples rôles serveurs possibles, gardez en tête que une certification de niveau Associé comportent toujours des questions techniques précises :

  • La connaissance des relations forêts / domaines / sites
Les composants logiques AD DS sont des structures que vous utilisez pour mettre en œuvre une conception AD DS adaptée à une organisation.
Les composants physiques dans AD DS sont les objets qui sont tangibles, ou qui décrivent des composants tangibles dans le monde réel.
  • La connaissance des rôles et leurs autorisations agissant sur les forêts / domaines
  • La connaissance des différents types de groupe (Sécurité / Distribution) et leurs impacts au travers des forêts / domaines

Les groupes de sécurité sont utilisés pour attribuer des autorisations à diverses ressources. Les applications de messagerie utilisent généralement des groupes de distribution, qui ne sont pas compatibles avec la sécurité.

  • La connaissance des composants techniques se cachant derrière un domaine, les FSMO.
The 5 FSMO Roles in Active Directory: What They Are and What They Do

La sécurité est un point présent dans toutes les certifications Microsoft. Par exemple ici, l’utilisation groupe de comptes de service managés comme principal de sécurité pour vous être demandé :

Add-KdsRootKey –EffectiveImmediately

D’autre part, cet examen fait aussi la part belle à Azure. Vous vous en doutez donc, attendez-vous à des questions portant sur les outils de synchronisation entre AD et Azure AD : Azure AD Connect / Azure AD Cloud Sync. Vous devez connaître la configuration de ces derniers et les options qu’ils proposent en sus.

Gardez en tête que cette certification porte la mention AZ dans son titre. Les références aux services Azure, Azure AD ou encore Azure AD DS sont hautement probables.

Comment mettre en place une liste de mots de passe bannis.

Sans oublier un autre sujet à maîtriser : nos bonnes amies les GPOs ????

Chapitre II : Gestion des serveurs Windows et des charges de travail dans un environnement hybride

Ayant suivi le chemin d’apprentissage associé à la certification AZ-800, Orin met clairement en avant dans les vidéos de démonstration Windows Admin Center (WAC), l’outil complet de gestion à distance :

Prenez le temps de tester la solution : Installez l’outil sur une machine proxy et d’enrôlez des serveurs dessus :

Qu'est-ce que Windows Admin Center ? | Microsoft Docs
Port 6515 par défaut ????.

On continue ? Qu’est qu’Azure Arc ?

Voilà ici une bien belle question, à laquelle des questions peuvent tomber ????.

Cet examen apporte aussi une approche technique pour les environnements hybride. Il est donc nécessaire de comprendre le bénéfice à utiliser Azure Arc pour intégrer et gérer des machines physiques.

A closer look at Azure Arc enabled servers - Microsoft Tech Community
Gestion possible des updates Windows via un enrôlement Azure Arc.

Chapitre III : Gérer les machines virtuelles et les conteneurs

Ce chapitre n’est pas le plus valorisé de cet examen, mais il aborde des sujets importants (Hyper-V, conteneurs, machines virtuelles sur Azure)

Concernant Hyper-V, j’ai trouvé que le chemin d’apprentissage de l’AZ-800 est assez bien fait :

Ensuite vient la partie des conteneurs sur Windows Server. Beurk ????. Je sais que je ne devrais pas dire ça, mais c’est une partie qui ne m’a jamais encore attiré. Aussi je préfère laisser parler Marc :

Enfin n’oubliez jamais les références directe à Azure. Soyez certain d’avoir des questions portant sur la création et la gestion des machines virtuelles sur Azure. Cela implique aussi tous les composants annexes à celles-ci, telles que les parties réseau ou stockage.

Si vous êtes déjà habitués à la partie IaaS sur Azure, les questions ne devraient pas vous poser de souci ????.

Chapitre IV : Mettre en œuvre et gérer une infrastructure réseau sur site et hybride

Ce chapitre est de poids égal au précédent. La partie DNS est intéressante car c’est encore un service que nous retrouvons aussi bien dans Windows Server que dans Azure :

Par exemple, il est possible de combiner à une architecture on premise, les besoins DNS de machines virtuelles hébergées sur Azure. Dans le cas, il faut toute de suite penser transfert conditionnel pour y arriver :

Les composants DNS sur Azure sont aussi présent dans le cursus de cet examen :

En plus de la partie DNS, prenez le temps de bien vous intéresser au rôle DHCP, disponible sur Windows Server :

D’autres rôles peuvent aussi faire partie des questions. Je pense par exemple à :

Installation d’un proxy d’application Web Azure AD.

Chapitre V : Gérer les services de stockage et de fichiers

Dernier chapitre de l’examen AZ-800, à ne pas négliger ! Le stockage est un élément majeur de toute infrastructure IT, car la data représente LA valeur à conserver, protéger, …

Il faut donc prendre le temps de s’intéresser à certains services, comme :

Conclusion

Pour ma part, cet examen ne fut pas une mince affaire. Comme à chaque fois pour les examens BETA, il faut attendre plusieurs semaines / mois pour avoir nos résultats. Les connaissances acquises ces dernières semaines via le chemin d’apprentissage m’ont beaucoup aidé, mais elles ne compensent pas la manque d’expérience sur des postes tels qu’administrateur système.

Aucun souci si les domaines sont votre quotidien ou si vous avez conservé de beaux restes ! Pensez malgré tout à aussi disposer de connaissances sur Azure pour réussir votre examen. Comme à chaque fois, les vidéos explicatives c’est très bien, mais la pratique est pour moi indispensable.

Windows Server 2022 Download (ISO, VHD, Azure)

Profitez aussi de cette période de fêtes pour souffler un peu et passer du temps avec vos proches. On se retrouve l’année prochaine ????.

AZ-700: Designing and Implementing Microsoft Azure Networking Solutions

Une nouvelle certification Azure a vu le jour en juillet 2021. Cette dernière, baptisée AZ-700, s’intéresse tout particulièrement à la gestion et la sécurisation des réseaux au sein d’Azure. A l’heure où ces lignes sont écrites, la certification est en phase BETA et pendant encore plusieurs semaines. Vous n’aurez donc pas les résultats de réussite ou d’échec après la fin de votre examen. Vous devrez attendre entre une et deux semaines après la fin de la phase BETA.

Vous pouvez consulter la page de la certification AZ-700 ici, vous pouvez télécharger le contenu détaillé de l’examen et enfin suivre le parcours d’apprentissage Microsoft via ce lien. Sans attendre, beaucoup de guides ont déjà fleuri sur la toile. En voici donc quelques liens :

Voici également des vidéos, nécessitant pour certains un abonnement payant à un site :

Pour ma part, voici les éléments d’apprentissage que j’ai utilisés pour préparer cette certification AZ-700 :

AZ-700 : Réactions à chaud

J’ai passé la certification AZ-700 il y a seulement quelques heures ::

  • J’ai eu à répondre à 59 questions, dont certaines dans deux use-cases et d’autres dans deux jeux de questions à réponses Oui/Non
  • Le temps règlementaire pour cet examen était 120 minutes

Voici mon ressenti sur cet examen beta :

  • Toutes les questions respectent bien le thème réseau.
  • Répartition équitable des questions sur chacune des grandes parties.
  • Cohérence entre le parcours d’apprentissage et les questions de la certification
  • Une bonne connaissance des SKUs (et de leurs différences) est nécessaire pour certaines questions. Il faut donc prendre le temps de consulter les fiches techniques.
  • On ne le dira jamais assez, mais il est impératif pour toute certification de niveau Associé de tester soi-même les différents services Azure / SKUs.

L’examen AZ-700 dans le détail

Voici les grandes parties de cet examen :

  • Design, Implement, and Manage Hybrid Networking (10% to 15%)
  • Design and Implement Core Networking Infrastructure (20% to 25%)
  • Design and Implement Routing (25% to 30%)
  • Secure and Monitor Networks (15% to 20%)
  • Design and Implement Private Access to Azure Services (10% to 15%)
Merci à Stanislas Quastana. Vue zoomée disponible ici.

Design, Implement, and Manage Hybrid Networking (10–15%)

Cette partie ne représente pas le plus gros pourcentage de cette certification. Pourtant, beaucoup de questions tournent autour du VPN d’Azure (Gateway Subnet, VPN Gateway, Local network gateway, …). Peu importe le type de connection (S2S ou P2S), la connaissance des différents protocoles (OpenVPN, SSTP ou IKEv2) et les méthodes d’authentification est requise. Prenez donc le temps de déployer différents VPNs dans Azure sur un environnement de test. Essayer aussi de combiner cela avec Azure AD, quand cela est possible.

Ayant passé beaucoup de temps dans mes révisions sur le service Azure ExpressRoute, je m’attendais à plus de question dessus ????. Il y en a bien quelques-unes. Là encore, on vous demande de maitriser les composants nécessaires, les différents SKUs et les débits possibles pour cette connexion.

Design and Implement Core Networking Infrastructure (20–25%)

Cette partie se concentre vraiment sur les réseaux virtuels. Autant vous dire qu’il s’agit d’un point majeur de cette certification. Je peux même m’avancer, sans trop me tromper, qu’absolument toutes les questions de l’AZ-700 parlent systématiquement d’un context avec un ou plusieurs réseaux virtuels. Il faut donc savoir avec précision :

  • Paramétrages les zones DNS privées
  • Paramétrages et options de peering entre les réseaux virtuels
  • Subnets spécifiques à certains services Azures (Bastion, Gateway, …)
  • Gestion et accès dans la création de points de terminaison (Privés, Services)
  • Caractéristiques et composants d’un Azure WAN (SKUs)

En revanche, et cela va peut-être en décevoir certains, peu de questions vraiment facile sur l’adressage même des réseaux ????

Diagram of high-level workflow of enterprise environments with central DNS resolution and where name resolution for Private Link resources is done via Azure Private DNS.

Design and Implement Routing (25–30%)

De mémoire, je ne pense pas avoir eu beaucoup de questions sur la partie routing ou NAT. A l’inverse, je peux dire que j’ai été bombardé de questions sur les services Azure suivants ????:

  • Azure Application Gateway
  • Azure Load Balancer
  • Azure Front Door
  • Azure Traffic Manager profile

Je ne vous apprends rien ici, ces services sont au cœur de nombreuses architectures. Ils nécessitent d’être bien configurés selon le besoin, donc de nombreuses questions reposant principalement sur le choix du bon SKU.

Ce qui m’a bien aidé dans mon cas : les exercices proposés dans le parcours d’apprentissage. Je les ai tous faits et refaits plusieurs fois et j’ai même testé des cas alternatifs par simple curiosité, et pour être sûr d’avoir bien assimilé les fonctionnalités.

Secure and Monitor Networks (15–20%)

Le monitoring est très souvent le parent pauvre dans les certifications Microsoft. Il en est même dans les tâches quotidiennes. Pourquoi s’y investir quand tout marche bien ? Car dans la vie de tous les jours, tout ne marche pas toujours bien tout le temps !

Pour le reste, les NSG sont bien présent dans cette certification. Attendez-vous donc à beaucoup de questions sur ce sujet mais aussi dans les use cases. Le WAF (Web Application Firewall) est aussi une ressource importante car elle est présente dans plusieurs services Azure. Prenez donc le temps de tester ses fonctionnalités de filtrage avec ses combinaisons conditionnelles.

Design and Implement Private Access to Azure Services (10–15%)

Il s’agit d’une des dernières parties du programme de l’AZ-700, à ne surtout pas négliger à mon avis. Les services Azure Private Endpoint et Azure Service Endpoint sont très présents dans beaucoup de questions proposant des scénarios à décortiquer. Il est donc conseillé d’avoir déployé plusieurs fois ces deux services et d’avoir pu tester leurs liaisons possibles, ou impossibles, avec les réseaux virtuels.

Enfin, la partie des App Services et Kubernetes est assez réduite dans le descriptif et n’a donc que peu de chance de se retrouver dans les questions pour votre certification.

Conclusion

Au final, il s’agit d’une certification Microsoft comme on les aime, mais aussi comme on les déteste. Le thème est très précis, mais les possibilités d’application sont immenses !

De niveau associé, cette certification n’offre aucune question sur la compréhension des grands principes des services Azure. Ici, les questions sont toutes contextualisées dans des cas d’usage demandant des connaissances approfondies avec une bonne dose de logique. Avec de l’expérience, on peut facilement isoler des réponses improbables, pour n’avoir qu’un choix final entre deux réponses.

Ne soyez pas stressé par le temps, vous en avez toujours assez ! Et aussi ne surtout pas « bâcler » pas les dernières questions ou l’ultime relecture des réponses, car vous voulez tout simplement voir le « bout du tunnel » (expérience personnelle).

Je ne m’avancerai pas sur mon résultat de cette BETA ????.

Comme à chaque fois, pensez également à partager dans les commentaires vos propres expériences sur cette certification ????

Microsoft Cloud : tout savoir sur les certifications

Microsoft Learn | Microsoft Docs

La certification est une démarche personnelle et doit avant tout servir son propre intérêt. De mon point de vue, les bénéfices des certifications informatiques vont bien au-delà du fait de posséder une plaquette de badges sur le torse, ils sont multiples :

  • Montrer les compétences acquises dans un domaine technique précis
  • Gagner crédibilité auprès de son employeur
  • Augmenter sa confiance personnelle et son estime de soi
  • Valoriser son parcours professionnel
  • Et bien plus encore !
Why Certification is Important for IT Professionals? - Whizlabs Blog

Dans cet article, nous allons parler des caractéristiques propres aux différentes certifications Microsoft, mais surtout des facilités mises en place pour passer les certifications de type Fondamental.

Les familles de certifications Microsoft

Pour faire simple, il existe plusieurs classifications pour les certifications Microsoft Cloud :

  • Classification par thème (Azure, Microsoft 365, Dynamics 365, Power Platform)
  • Classification par niveau (Fondamental, Associé, Expert)
  • Classification par nature (Général, Rôle, Spécialité)
Poster des certifications Microsoft.
Cliquez sur l’image pour consulter la dernière version.

Comme vous pouvez le voir dans le poster ci-dessus, le choix est assez large sur les certifications possibles. Vous devez donc tenir compte d’un certain nombre de paramètres pour choisir la bonne certification adaptée à votre objectif. Prenez également en compte que certaines certifications sont liées à d’autres, tandis que certaines « imposent » des certifications préalables pour valider le titre associé.

Que signifient les niveaux de certification Microsoft ?

Microsoft a introduit les niveaux de certification durant l’année 2019 et les a répartis en trois niveaux. Cela a été mis en œuvre pour de nombreuses raisons, qui bénéficient à la fois au participant et à l’employeur de plusieurs façons :

  • Rendre les cours Microsoft plus accessibles aux débutants comme aux habitués de l’informatique
  • Encourager les personnes de tous niveaux à obtenir une certification
  • Faciliter le recrutement pour les employeurs en sélectionnant des professionnels en fonction des connaissances dont ils ont besoin
  • Clarifier le niveau de compétence de la certification

Les Certifications Microsoft de niveau « Fondamental »

Afin de démarrer le cloud dans les meilleurs conditions, Microsoft a mis en place des certifications de niveau « Fondamental ». Ces certifications sont conçues pour valider un niveau de connaissances de base des services du cloud. Elle aide également les candidats non techniques à comprendre les services tels que la vente, l’achat et le marketing. Par principe, elles n’exigent pas de prérequis antérieurs.

Les Certifications Microsoft de niveau « Associé »

De niveau intermédiaire, les certifications de niveau Associé vérifieront vos connaissances de manières approfondies. Plus question ici de valider si vous maîtrisez les grands principes du domaine concerné. Il est nécessaire ici de mettre en pratique vos connaissances dans des contextes techniques précis. A l’inverse des certifications de niveau Fondamental, où seul un apprentissage théorique serait suffisant, la validation d’une certification de niveau Associé devra s’appuyer sur une expérience professionnelle réelle.

Les Certifications Microsoft de niveau « Expert »

Comme son nom l’indique, les examens du niveau Expert sont beaucoup plus difficiles que celles de niveau Associé. Dans certains cas, il faut passer plusieurs examens de niveau Expert pour obtenir une certification. Il arrive aussi que, pour être validées, elles nécessitent des certifications de niveau inférieur.

Comment se préparer à passer une certification ?

Quels sont les avantages des formations en digital learning ? - Digiformag

Peu importe le niveau de certification désiré, le rituel de préparation reste globalement identique :

Microsoft Learn : Conçu pour aider quiconque à apprendre les concepts informatiques de base à son propre rythme, Microsoft Learn est une immense bibliothèque offrant un accès gratuit à des supports de formation, des échantillons de code et même la possibilité de tester certains logiciels Microsoft.

Formation dispensée par un instructeur : Le choix d’une formation dirigée par un instructeur est également une excellente option, car il vous permet d’interagir avec un professionnel expérimenté, vous donnant l’occasion de poser des questions et de travailler sur vos faiblesses, ainsi que de développer vos points forts.

Découverte de la solution : Microsoft propose de tester ses solutions de plusieurs manières. Il est possible de souscrire à des périodes d’évaluation sans frais ou de profiter de crédits gratuits pendant une certaine durée. Par exemple, il est donc possible de tester Office 365 ou Azure sans devoir payer pour ces services.

Parcours d’apprentissage : Chaque certification Microsoft s’accompagne d’un parcours d’apprentissage, en relation avec les sujets abordés pendant l’examen. Il vous permet d’aborder à votre rythme toutes les connaissances requises et vous évalue par de petits questionnaires.

YouTube : Le célèbre site de vidéos en ligne regorge de passionnés du cloud Microsoft qui vous transmettrons leurs connaissances techniques au travers d’explications claires et visuelles. Pourquoi s’en priver ?

GitHub : Microsoft Learning dispose de son propre GitHub. C’est l’occasion ici de travailler vos connaissances techniques grâce à des exercices ou des labs orientés sur la certification choisie.

Microsoft Virtual Training Days : Webinaires Microsoft gratuits et animés par des experts qui vous apporteront toutes les bases en rapport avec la certifications. Ces évènements sont orientés pour les certifications de niveau Fondamental ou pour certains thèmes spécifiques. Dans tous les cas, ils nécessitent une inscription préalable.

Microsoft Virtual Training Days

Que vous fassiez vos premiers pas dans le Cloud Microsoft ou que vous souhaitiez valider vos connaissances, Microsoft Virtual Training Days est fait pour vous.

Microsoft Virtual Training Days regroupe les principaux thèmes du Cloud Microsoft et vous propose plusieurs sessions dédiées :

Peu importe le Training Day choisi, le webinaire vous montre tous les chapitres de la certification et les aborde de manière claire et progressive. Vous pouvez donc les suivre sans avoir la crainte de pas comprendre les concepts et les idées présentés.

Enfin et ce n’est pas des moindres, Microsoft récompense les participants à ces webinaires en offrant gratuitement un bon d’examen. Vous avez bien lu, l’examen facturé initialement 99 euros hors taxes ne vous coûtera pas un centime si vous assistez au webinaire, lui-même gratuit !

Bien évidemment, passer l’examen en ne suivant que ce webinar s’avère fortement risqué. Je vous recommande donc de compléter vos connaissances par les autres sources listées dans la section précédente.

Une fois la certification réussie

Tout d’abord, félicitations !!! C’est une petite victoire personnelle sur ses propres capacités. Cela montre que ce challenge était à votre portée et qu’il récompense les efforts fournis. Il ne faut pas rougir de son succès, et le partager sur les réseaux est mérité. Cela peut aussi encourager d’autres connaissances à choisir cette voie ou provoquer un déclic sur leur orientation professionnelle.

Bouteille de champagne 75cl - Le Moulin de Ducey

Conclusion

Comme à chaque fois, pensez à partager dans les commentaires vos propres expériences sur les certifications, Microsoft ou autres ????

Certification Microsoft Identity and Access Administrator (SC-300)

Preparing for the SC-300: Microsoft Identity and Access Administrator exam  (May 2021) – intunedin.net

Voici un nouvel article sur les dernières certifications de sécurité sur le Cloud Azure de Microsoft. Pour rappel, vous pouvez retrouver mon article sur la certification fondamentale SC-900 ici, ainsi que sa page officielle Microsoft juste .

Que dire sur ce nouvel examen SC-300 ?

Là encore, vous pouvez retrouver tous les détails de cette dernière sur sa page officielle Microsoft.

J’ai passé cette certification de niveau Associate cette semaine. Pendant et juste après cet examen, j’ai trouvé la certification assez difficile, car elle exigeait beaucoup de mises en situation, requérant des connaissances assez précises sur les sujets que je vais essayer vous détailler tout au long de cet article.

Finalement aucun doute, la SC-300 est bien une certification de niveau Associate. Pour un peu moins la moitié des questions environ, j’avais encore un petit doute entre 2 réponses sur 4.

Dans cet examen, attendez-vous donc à :

  • Beaucoup de questions contextualisées avec 4 choix possibles
  • Des questions groupées avec OUI / NON
  • Peu de questions sur la restitution des grands principes (points faciles à ne pas négliger)
  • Un ou deux use-cases portant sur des architectures hybrides
  • Et toujours pas de labs

Que retrouve-t-on dans le Parcours d’apprentissage de la SC-300?

Le parcours d’apprentissage reprend de manière méthodique les principaux chapitres rattachés à cette certification. Une fois n’est pas coutume, j’ai suivi tous les modules de formations proposés par Microsoft.

Pourquoi cela ? Car le contenu trouvé sur internet est encore assez variable à date ou incomplet.

Au final, j’ai trouvé le parcours très bien construit autour de cette certification. Beaucoup de schémas explicatifs, de copies d’écran d’Azure et de vidéos d’introduction. De plus, les exercices pratiques avaient toujours du sens sur le thème abordé.

En revanche, ne vous faites pas avoir en ne vous basant que sur celui-ci ! Pour avoir être sûr d’avoir plus de points que les 700 nécessaires, il vous faudra avoir :

  • Les connaissances acquises par l’expérience dans Azure AD
  • A défaut de tout connaitre dans les moindre détails, une bonne dose déduction pour ne garder que les « réponses possibles »

Voici un rappel des modules du parcours avec leurs liens :

Voici également quelques blogs qui pourront vous aider dans votre apprentissage de cette SC-300 :

Rien à voir ici, mais je suis en train de manger une pizza maison 😉

Implémenter une solution de gestion des identités

Mettre en œuvre la configuration initiale d’Azure Active Directory

On arrive ici dans le cœur du sujet de cette certification :

L’identité est au centre d’Azure Active Directory et vous devez la comprendre et la maîtriser sous tous ses aspects

Plus question ici de restituer la « simple » compréhension du service ou de ses fonctionnalités. Il faut savoir l’utiliser selon différents cas de figure. Attendez-vous donc à avoir des questions sur les identités dans un contexte très précis. Peu de pièges, mais on attend des connaissances.

Par exemple, la question pourrait porter sur un type d’identité particulier avec un scénario de droits spécifiques de manière combinée. Rien de tel alors que de se refaire un passage sur les identités Azure :

Merci à John Savill 🙂

L’autre exemple serait de devoir choisir le rôle ayant le moins de privilège pour faire telles ou telles actions dans Azure AD. Ce point-ci est assez difficile car la connaissance globale des rôles sera nécessaire pour être vraiment sûr de la bonne réponse. Voici liste complète et quelques rôles pris au hasard :

La gestion des domaines personnalisés revient souvent dans beaucoup de certifications sur Azure. C’est l’occasion de marquer des points facilement en connaissant bien le processus d’ajout de domaines personnalisés :

  • Ajout du domaine personnalisé dans Azure AD
  • Modification des enregistrements DNS
  • Vérification du domain dans Azure AD
  • Utiliser le nom de domaine pour les utilisateurs, adresses mails ou autres besoins

Même si la gestion des appareils est plutôt une tache dédiée à Endpoint admin center, certaines actions et donc certaines questions peuvent vous être posées ici.

Who are you ?

Il faut avant tout bien maîtriser les concepts de jointures des devices dans Azure, comme par exemple l’hybrid join :

Appareils joints Azure AD hybrides.
Dans Windows Virtual Desktop, l’hybrid join va permettre le SSO pour une meilleure expérience utilisateur.

Les unités administratives dans Azure AD est un concept intéressant, car elles limitent les autorisations d’un rôle en fonction du service auquel il appartient au sein de l’organisation :

Azure Administrative Units and MyStaff for delegated management | Marius  Sandbu
Principe de délégation des rôles selon des unités organisationnelles dans Azure AD.
Sécurité par défaut d’Azure AD

Azure AD propose un mode de gestion de sécurité par défaut. Sa mise en place est des plus simple, mais il n’autorise aucune personnalisation.

Les paramètres de sécurité par défaut facilitent la protection de votre organisation contre ces attaques avec des paramètres de sécurité préconfigurés :

  • Exige que tous les utilisateurs s’inscrivent à Azure AD Multi-Factor Authentication
  • Exige des administrateurs qu’ils effectuent l’authentification multifacteur
  • Restreint les anciens protocoles d’authentification
  • Exige des utilisateurs qu’ils effectuent l’authentification multifacteur
  • Restreint des activités, telles que l’accès au Portail Azure

Gestion des utilisateurs, des groupes et des licences

Quoi de mieux comme question que celle ci-dessous :

Des licences sont attribuées à un groupe d’utilisateurs et celui-ci contient des utilisateurs et d’autres groupes. Combien de licences seront attribuées ?

Un début de réponse dans cette article !

De manière générale et hormis des questions de ce type, il s’agit de points faciles.

Mettre en œuvre et gérer les identités externes

Les identités externes font parties de beaucoup de scénarios d’Azure AD, il faut donc maîtriser leur intégration et les options de sécurités les concernant :

Je ne vous dis pas d’aller pas jusqu’à connaitre les en-têtes du fichier CSV d’import bulk 😉

  • Email address to invite
  • Redirection url
  • Send invitation message
  • Customized invitation message

Mettre en œuvre et gérer l’identité hybride

On cherche donc à savoir si les différentes méthodes de synchronisation entre un environnement on-premise et le Cloud n’ont plus de secrets pour vous. Ce module comporte donc les grands sujets ci-dessous :

Pas de mystère ici, le mieux étant d’avoir pu installer soi-même AD Connect sur un environnement on-premise (Active Directory), et d’avoir testé plusieurs scénarios afin d’en mesurer les impacts (avantages – inconvénients) :

Tour d’horizon d’Azure AD Connect par l’Azure Academy

C’est typiquement lors des use-cases que vous devrez maîtriser ces concepts pour proposer la solution la plus attendue :

Mettre en œuvre une solution d’authentification et de gestion des accès

Planifier et mettre en œuvre l’authentification multifactorielle Azure (MFA)

L’authentification multifacteur est un processus dans lequel l’utilisateur est invité pendant le processus de connexion à suivre une forme d’identification supplémentaire, consistant par exemple à entrer un code sur son téléphone portable ou à scanner son empreinte digitale.

Illustration conceptuelle des éléments de MFA

Les 3 piliers de la MFA 🙂

  • Quelque chose que vous connaissez – Il pourrait s’agir d’un mot de passe ou de la réponse à une question de sécurité
  • Quelque chose que vous possédez – Il pourrait s’agir d’une application mobile qui reçoit une notification ou un d’appareil de génération de jetons
  • Quelque chose que vous êtes – En général, il s’agit d’une propriété biométrique, comme la détection du visage ou des empreintes digitales utilisée sur de nombreux appareils mobiles
Cette vidéo explique étape par étape le processus de mise en place de la MFA

Quelles seraient les questions possibles dans cette certification ? Il faut voir la MFA comme un point combiné avec d’autres facteurs, comme par exemple son impact dans un accès conditionnel, ou alors son rôle dans Azure AD Identity Protection.

Close the gap. Azure AD Identity Protection & Conditional Access. -  JanBakker.tech
Deux facteurs sont représentés ici : sign-in risk et user risk.
la MFA va jouer un rôle de sécurité important.

Gérer l’authentification des utilisateurs

Dans Azure Active Directory, l’authentification implique plus que la simple vérification d’un nom d’utilisateur et d’un mot de passe. Pour améliorer la sécurité et réduire le recours à l’assistance du support technique, l’authentification Azure AD comprend les composants suivants :

Tableau des avantages et des méthodes d’authentification préférées dans Azure AD
Les méthodes d’authentification sans mot de passe telles que Windows Hello, les clés de sécurité FIDO2 et l’application Microsoft Authenticator permettent les événements de connexion les plus sécurisés.

Attendez-vous donc à des question sur les méthodes possibles pour les utilisateurs lors d’un processus de réinitialisation de mot de passe libre-service :

  • Notification sur l’application mobile
  • Code de l’application mobile
  • E-mail
  • Téléphone mobile
  • Téléphone de bureau
  • Questions de sécurité

Ou sur les différentes méthodes possibles pour enregistrer une MFA :

Comment les composants de protection par mot de passe Azure AD fonctionnent ensemble
Password Protection : j‘avais fait une blague sur ce schéma pour la SC-900.
Ici c’est bien un concept à connaitre, et idéalement de l’avoir essayé pour différencier les rôles et les agents à installer
.

Planifier, mettre en œuvre et administrer l’accès conditionnel

Vous pouvez utiliser des stratégies d’accès conditionnel pour appliquer des contrôles d’accès tels que l’authentification multifacteur (MFA). Vous aurez à coup sûr des questions impliquant la MFA. le cas classique est d’identifier quel facteur modifier pour activer une MFA, selon les exigences données par le contexte.

Conditional Access overview
Les stratégies d’accès conditionnel vous permettent d’inviter des utilisateurs à l’authentification multifacteur lorsque cela est nécessaire pour la sécurité et à ne pas le leur demander lorsque cela n’est pas nécessaire.

L’accès conditionnel est un premier outil que l’on met en place pour augmenter la sécurité sur Azure. Par exemple, la gestion des localisation peut être un point très important pour améliorer l’expérience utilisateur :

  • En évitant « d’harceler » les utilisateurs avec un contrôle MFA lorsque l’on se trouve au bureau
  • En imposant la MFA si l’utilisateur se connecte depuis un appareil non compliant

L’infrastructure d’accès conditionnel vous offre une grande flexibilité de configuration. Toutefois, une grande flexibilité implique également que vous examiniez soigneusement chaque stratégie de configuration avant de la mettre en œuvre, afin d’éviter des résultats indésirables.

Image de l’écran affichant un accès aux ressources bloqué en raison d’une stratégie d’accès conditionnel activée
Message issu de l’accès conditionnel, bloquant pour l’utilisateur

Gérer Azure AD Identity Protection

Identity Protection est un outil qui permet aux organisations d’accomplir trois tâches principales :

  • Automatiser la détection et la correction des risques liés à l’identité
  • Examiner les risques à l’aide des données disponibles sur le portail
  • Exporter les données de détection des risques vers des utilitaires tiers pour une analyse plus approfondie

Ici encore, des questions seront possible pour savoir ce qui se passera si l’utilisateur déclenche une alerte :

  • Réinitialisation du mot de passe ?
  • Demande de vérification MFA ?
Azure AD utilise l’apprentissage automatique pour détecter les anomalies et les activités suspectes, en utilisant à la fois des signaux détectés en temps réel pendant les ouvertures de session et des signaux en temps différé liés aux utilisateurs et à leurs activités d’ouverture de session.

Implement Access Management for Apps

Il s’agit ici du chapitre de la certification le plus faiblement noté. Il s’agissait aussi de celui que je maîtrisais le moins :D. Je n’ai pas eu beaucoup de questions, mais c’est toujours bon d’éviter de perdre des points dessus.

Planifier, mettre en œuvre et surveiller l’intégration des applications d’entreprise pour l’authentification unique (SSO)

Je ne vais pas trop m’étendre sur cette section.

Autre sujet de sécurité œuvrant sur les applications d’entreprise : Cloud App Security

Cloud App Security intègre la visibilité à votre cloud pour mapper et identifier votre environnement cloud et les applications cloud utilisées par votre organisation en utilisant des connecteurs faciles à déployer :

Schéma de l’architecture Cloud App Security.

Mettre en œuvre les enregistrements d’applications

Je n’ai rien de trouvé de plus explicatif que cette très bonne vidéo de John Savill :

A regarder en entier ! 🙂

Planifier et implémenter une stratégie de gouvernance des identités

On arrive au dernier chapitre … Aussi je vous conseille de ne pas négliger cette section car le pourcentage est assez important pour cette dernière sur cet examen.

De plus, je me rappelle avoir eu plusieurs questions dessus. Rien de vraiment compliqué ici, mais une bonne connaissances des outils devrait faire l’affaire.

Planifier et mettre en œuvre la gestion des droits

Il s’agit ici d’un sujet que je n’avais jamais abordé avant cette certification. J’ai pu donc découvrir et tester ce principe par le biais de la révision, et j’ai eu plusieurs questions portant sur la stratégie d’attribution des droits.

All about CIAM
Finalement le concept est assez simple car il apporte plus de clarté dans l’approvisionnement des services pour les employées et le déprovisionnement pour ces derniers quand leur mission est terminée.

La gestion des droits d’utilisation introduit sur Azure AD le concept de package d’accès. Un package d’accès regroupe toutes les ressources avec l’accès dont un utilisateur a besoin pour travailler sur un projet ou accomplir sa tâche. Les packages d’accès permettent de régir l’accès de vos employés et utilisateurs internes en dehors de votre organisation. Vous pouvez gérer l’accès des utilisateurs aux ressources suivantes avec la gestion des droits d’utilisation.

What is entitlement management? - Azure AD | Microsoft Docs
Le diagramme suivant montre un exemple des différents éléments en matière de gestion des droits d’utilisation.

Une connaissances des termes et de leurs rapports entre eux est donc fort utile :

TermeDescription
package d’accèsBundle de ressources dont une équipe ou un projet a besoin et qui est régi par des stratégies. Un package d’accès est toujours contenu dans un catalogue. Vous créez un package d’accès pour un scénario dans lequel les utilisateurs doivent demander l’accès.
demande d’accèsDemande d’accès aux ressources dans un package d’accès. Cette demande transite généralement par un flux d’approbation. Si elle est approuvée, l’utilisateur demandeur reçoit une affectation de package d’accès.
affectationL’affectation d’un package d’accès à un utilisateur garantit que l’utilisateur dispose de tous les rôles de ressources de ce package d’accès. Les affectations de package d’accès ont généralement une durée limite avant leur expiration.
catalogueConteneur de ressources connexes et de packages d’accès. Les catalogues sont utilisés pour la délégation, si bien que les non-administrateurs peuvent créer leurs propres packages d’accès. Les propriétaires de catalogue peuvent ajouter les ressources qu’ils possèdent à un catalogue.
créateur de catalogueRegroupement d’utilisateurs autorisés à créer des catalogues. Lorsqu’un utilisateur non-administrateur, autorisé à être créateur de catalogue, crée un catalogue, il devient automatiquement le propriétaire de ce catalogue.
organisation connectéeDomaine ou annuaire Azure AD externe avec lequel vous avez une relation. Les utilisateurs provenant d’une organisation connectée peuvent être spécifiés dans une stratégie comme étant autorisés à demander l’accès.
policeEnsemble de règles définissant le cycle de vie d’un accès, telles que le mode d’accès des utilisateurs, les approbateurs et la durée d’accès par le biais d’une affectation. Une stratégie est liée à un package d’accès. Par exemple, un package d’accès peut avoir deux stratégies de demande d’accès : l’une pour les employés, l’autre pour les utilisateurs externes.
ressourceRessource (un groupe Office, un groupe de sécurité, une application ou un site SharePoint Online, par exemple) dotée d’un rôle pour lequel un utilisateur peut obtenir des autorisations.
répertoire de ressourcesRépertoire comprenant une ou plusieurs ressources à partager.
rôle de ressourceCollection d’autorisations associées à une ressource et définies par elle. Un groupe a deux rôles : membre et propriétaire. Les sites SharePoint ont généralement trois rôles, mais peuvent avoir des rôles personnalisés supplémentaires. Les applications peuvent avoir plusieurs rôles personnalisés.

Planifier, implémenter et gérer la révision d’accès

Les révisions d’accès Azure Active Directory permettent aux organisations de gérer efficacement les appartenances à des groupes, les accès aux applications d’entreprise et les attributions de rôles. Je vous confirme avoir eu des questions sur la revue d’accès. Le processus n’est pas très compliqué. Quelques petits rappels :

  • Aucun résultat n’est appliqué avant la fin de la période de revue ou si le créateur stoppe et applique les résultats lui-même
  • Un accès pour un utilisateur (révoqué ou conservé) peut être changé plusieurs fois pendant la période de revue d’accès. Seul le dernier statut sera conservé et appliqué
L’accès des utilisateurs peut être passé en revue régulièrement pour vérifier que seules les personnes appropriées continuent de bénéficier d’un accès.
Plan an Azure Active Directory Access Reviews deployment | Microsoft Docs
Process de revue d’accès en 3 étapes : tout commence par la création de la revue, puis la validation et enfin l’application des résultats.

Planifier et mettre en œuvre l’accès privilégié

Privileged Identity Management est un service dans Azure Active Directory (Azure AD) qui vous permet de gérer, de contrôler et de superviser l’accès aux ressources importantes de votre organisation :

Je me souviens avoir eu une question sur un rôle devant passer sous attribution via Privileged Identity Management. Connaître les différentes étapes est donc important pour mettre en œuvre le processus et son utilisations par les demandeurs de droits.

Comment PIM fonctionne ?

Surveiller et gérer les Azure Active Directory

Les journaux d’audit et de diagnostic d’Azure Active Directory fournissent une vue détaillée de la façon dont les utilisateurs accèdent à votre solution Azure. Découvrez comment surveiller, dépanner et analyser les données de connexion.

L’architecture de création de rapports dans Azure AD comprend les composants suivants :

  • Activité
    • Connexions : Il s’agit d’informations sur l’utilisation des applications managées et les activités de connexion des utilisateurs.
    • Journaux d’audit : Fournissent des informations sur les activités du système liées aux utilisateurs et à la gestion des groupes, les applications gérées et les activités de répertoire.
    • Les journaux de provisionnement : permettent aux clients de superviser l’activité effectuée par le service de provisionnement, telle que la création d’un groupe dans ServiceNow ou l’importation d’un utilisateur à partir de Workday.
  • Sécurité
    • Connexions risquées : une connexion risquée correspond à un indicateur de tentative de connexion d’un utilisateur autre que le propriétaire légitime d’un compte d’utilisateur.
    • Utilisateurs avec indicateur de risque : il s’agit d’un compte d’utilisateur susceptible d’être compromis.

Des questions sur la rétention peuvent tomber, gardez donc en tête ces durées de rétention :

Rapports d’activité
RapportAzure AD GratuitAzure AD Premium P1Azure AD Premium P2
Journaux d’audit7 jours30 jours30 jours
Connexions7 jours30 jours30 jours
Utilisation d’Azure AD MFA30 jours30 jours30 jours

Signaux de sécurité

RapportAzure AD GratuitAzure AD Premium P1Azure AD Premium P2
Les utilisateurs à risque7 jours30 jours90 jours
Connexions risquées7 jours30 jours90 jours

Conclusion

Cette certification apporte donc un véritable tour d’horizon sur la sécurité dans Azure Active Directory. Je peux dire avec certitude qu’il y n’y pas beaucoup de notions croisées avec les certifications AZ-500 et MS-500. Elle permettra donc de valider vos connaissances sur la gestion des identités dans le Cloud.

Mes derniers conseils

  • Prenez surtout le temps de bien tester chaque module dans un environnement de test pour en connaître le fonctionnement et en mesurer les impacts
  • Etant souvent dans des environnements de tests, on néglige assez régulièrement les rôles préconstruit dans Azure Active Directory. La sécurité passe par une gestion mesurée des droits des administrations. Lisez donc leurs droits et testez-les !

Aujourd’hui, nous sommes le 1er mai, il faut donc lâcher un peu ses révisions et se vider l’esprit 😀

Pensez à partager dans les commentaires vos autres sources d’apprentissage, ou votre feedback sur l’examen. ????

Certification Microsoft Security, Compliance, and Identity Fundamentals (SC-900)

Microsoft Certified: Security, Compliance, and Identity Fundamentals

Mon expérience sur l’examen Microsoft Security, Compliance, and Identity Fundamentals (SC-900)

Pour mon second article concernant les certifications dans Cloud de Microsoft, je vais vous faire le débrief à chaud ????. Pour rappel, la page d’inscription se trouve ici, et le contenu de la certification est téléchargeable .

Dans son contenu, je trouve que cette certification est très bien faite, car elle couvre un large spectre de la sécurité dans et autour du Cloud Microsoft. De mon point vue, les professionnels lancés sur le Cloud utilisent toujours plusieurs “modules” et ont besoin de tous les sécuriser :

  • Tous les ouvrants (Portes, fenêtres, trappe à chat, …)
  • Tous les équipements (Cuisinière, chaudière, machine à laver, …)
  • Tous les comportements (Enfants, chiens, chats)

Pardonnez-moi ces figures de styles, mais il est tard ????

Solutions d'alarme sans fil Somfy Home ou système filaire, alarme63
La comparaison est facile mais le Cloud est une « grosse maison » nécessitant elle aussi de la vigilance et des mesures

Pour revenir au sujet principal, je vais essayer de découper chaque grand thème pour vous éclairer au mieux :

Modèle Zéro-Trust :

L’objectif principal est bien évidement de garantir en permanence que votre environnement est sain.

Cet objectif est atteint par la mise en place de moyens de protection définis et qui ne doivent pas être dérogés, à savoir :

  • Les identités sont sécurisées avec, par exemple, la mise en place de l’authentification multifactorielle.
  • Les terminaux sont eux aussi contrôlés. Le principe de compliance des terminaux dans Intune est un bon moyen de s’assurer que certaines données et donc certaines applications exigent ce prérequis pour laisser passer l’utilisateur.
  • La télémétrie est omniprésente. Les données et la télémétrie omniprésentes sont utilisées pour comprendre l’état actuel de la sécurité. Je pense ici à Microsoft Defender for Endpoint par exemple.
  • Zéro Trust veut dire zéro confiance. Il faut donc brider les accès ou les droits inutiles. Il est facile d’opérer de la sorte avec l’attribution de rôles temporaires (PIM) mais aussi grâce à des revues d’accès périodiques.
J’ai eu quelques questions sur le modèle Zéro-Trust, et je vous conseille de bien le comprendre. Voici une vidéo qui parcours le sujet en profondeur.

Modèle de responsabilité partagé :

Comme chez tous Cloud providers, un modèle de responsabilité partagé est instauré pour mettre les choses au clair en hébergeur et hébergé. Ici la question est assez générale, mais garder toujours en tête que vous êtes responsable de vos données et que Microsoft est responsable de l’infrastructure !

Chiffrement :

Une ou des questions aussi tombées pour moi était sur ce sujet. Rien de tel que la définition officielle : Le cryptage est la méthode par laquelle des informations sont converties en un code secret qui cache la véritable signification de ces informations.

Data Encryption: Why You Should Protect Your Business | Aureon
Le chiffrement ne concerne pas que les fichiers comme vous pouvez le voir ici.

Microsoft Trust Portal :

Sauf erreur, ce point est aussi abordé dans la MS-900. Ce portail Microsoft fournit une variété de contenu, d’outils et d’autres ressources sur les pratiques Microsoft en matière de sécurité, de confidentialité et de conformité.

Autant dire que les normes internationales ou nationales impactant le monde de la sécurité ou de la conformité se trouveront ici. On ne vous demandera pas de toutes les connaitre, mais de savoir que ces informations sont bien recensées ici.

Concept relatif à l’identité :

C’est un vaste sujet … mais je pense que la compréhension de celle-ci est fondamentale, car l’identité est au cœur du Cloud. Dans ce domaine la certification va parler principalement d’Azure Active Directory, mais pas seulement.

La différence entre autorisation (Authz) et authentification (Authn) est toujours bonne à connaitre.

Azure Active Directory :

Il faudra aller plus loin que la connaissances générales du portail Azure AD, car certaines questions portent sur des fonctionnalités assez précises.

Merci à Adam Marczak ;).

Par exemple, on pourrait vous demander de détailler la fonction d’Azure AD Password Protection :

Using the new Azure Active Directory password protection feature
Ce schéma est juste là pour vous faire peur, on n’ira pas jusque-là dans la SC-900 😉
Explication des différents signaux dans le processus d’authentification avec accès conditionnel.
Deux modèles d’identité sont représentés ici : Cloud et Hybrid.
On retrouve le principe d’accès conditionnel ici.

Azure AD est à mon sens le thème le plus exprimé dans cette certification. Prenez garde à ne pas négliger ce sujet. Il suffit de regarder la liste des services à connaitre dans le contenu de la certification :

  • Méthodes d’Authentification
  • Types d’identité
  • Self-service password reset
  • Password protection ????
  • Authentification multifacteurs
  • Windows Hello for Business
  • Identités hybrides
  • Types d’utilisateurs (interne, Guest, …)
  • Accès conditionnel
  • Rôles
  • Privileged Identity Management (PIM)
  • Identity Protection

J’ai eu plusieurs questions sur ce dernier point. Vous trouverez ces principales fonctionnalités ici.

Sécurité au sein d’Azure :

Beaucoup de services aux fonctionnalités variées sont disponibles sur Azure. Certains sont plus utilisés que d’autres, mais connaître leurs principales caractéristiques est demandé dans cette certification. Par exemple :

A quoi sert Azure Bastion ? A créer une connexion sécurisée pour, par exemple, se connecter aux machines virtuelles sans exposer celles-ci avec une adresse IP publique.
A quoi servent les Network Security groups ? A filtrer le trafic réseau avec des règles de sécurité qui autorisent ou rejettent le trafic réseau entrant et sortant.
A quoi Azure Blueprint ? A première vue, on ne pensera pas à ce service pour la sécurité, pourtant Azure Blueprint va permettre l’intégration de rôles et de polices dans la récurrence des déploiements = sécurité !

Les composants de sécurité ne font pas tous dans votre examen, certains concepts sont aussi interrogés dans cette certification. Je pense par exemple au Secure Score. Intégré au Security Center, il va évaluer continuellement vos ressources, vos abonnements et votre organisation en recherchant d’éventuels problèmes de sécurité. Tout cela est compté sous forme de points ou de pourcentages :

Azure Defender et Azure Sentinel sont deux formidables outils, mais il peut être difficile de les comprendre au premier abord :

  • Azure Defender : version avancée d’Azure Security Center :
    • CSPM (gestion de la posture de sécurité cloud)Security Center est disponible gratuitement pour tous les utilisateurs Azure.
    • Protection de charge de travail cloud (CWP)Azure Defender, garantit une protection avancée et intelligente de vos ressources et charges de travail Azure et hybrides.
  • Microsoft Azure Sentinel = SIEM (Security Information and Event Management) et SOAR (Security Orchestrated Automated Response). Il va pouvoir se connecter à un grand nombre de sources de données pour placer votre œil en face de l’alerte de manière efficace et vous donner des moyens directs d’agir.

J’ai trouvé une vidéo aussi qui détaille bien les deux produits pour vous faire une meilleure idée :

Merci à John Savill 🙂

Intune (Microsoft Endpoint Manager) :

La gestion des Endpoints reste un aspect important de la sécurité, et Intune est là pour vous simplifier la vie. Lorsque les appareils sont inscrits et gérés dans Intune, les administrateurs peuvent par exemple :

  • Consulter les appareils inscrits et obtenir un inventaire des appareils qui accèdent aux ressources de l’organisation.
  • Configurer les appareils pour qu’ils respectent vos normes de sécurité et d’intégrité. Par exemple, vous souhaitez probablement bloquer les appareils jailbreakés.
  • Envoyer des certificats aux appareils pour que les utilisateurs puissent accéder facilement à votre réseau Wi-Fi ou utiliser un VPN pour se connecter à votre réseau.
  • Consulter les rapports sur les utilisateurs et les appareils conformes et non conformes.
  • Supprimer les données de l’organisation si un appareil est perdu, volé ou n’est plus utilisé.
On peut voir dans cette image que Intune peut aussi gérer des données d’entreprise dans des appareils personnels.

Sécurité au sein de Modern Workplace (Microsoft 365) :

On se rapproche ici de beaucoup de sujets abordés sur la certification MS-500. Rassurez-vous ! Aucun cas technique spécifique ne sera abordé dans cette SC-900, mais encore une fois il vous faut comprendre les principaux de concepts pour protéger votre environnement.

Vous retrouverez donc beaucoup d’éléments de sécurité liés aux comportements des utilisateurs dans Microsoft 365, mais aussi sur les données et leur protetion. Attendez-vous à avoir des questions d’ordre général :

  • Quelles sont les mesures en rapport avec Data Loss Prevention?
  • A quoi servent les sensitive labels ?
  • Que peut-on faire avec le service eDiscovery ?
DLP ?

Conclusion

Pour finir, beaucoup de concepts sont abordés dans cette certification. Après l’examen, je peux vous dire que cette certification pourrait être vue comme une première étape d’introduction à la MS-500.

Prenez le temps de suivre le programme donné par Microsoft ici.

Is it Zen, or just the art of getting things done? - BBC Worklife

Prenez surtout le temps de vous familiariser avec ces multiples portails :

Comme vous le voyez, il existe une multitude de portail à explorer pour maîtriser le sujet ! Mais tout n’est pas à connaitre, testez-les et voyez leurs fonctionnalités ne vous fera pas de mal ????

Je trouve aussi que les Training Days organisés par Microsoft sont un bon moyen de se préparer à cet examen.

Pensez à partager dans les commentaires vos autres sources d’apprentissage, ou votre feedback sur l’examen ????

J’ai gardé le meilleur pour la faim 😀

Bon examen ! ????