Compétence · CI/CD · Sécuriser la chaîne de livraison
Signer un artefact, attester sa provenance et la vérifier avant déploiement
Signer un artefact sans clé longue durée (Sigstore), attester depuis la CI comment et où il a été construit, et refuser avant déploiement tout artefact dont la signature ou la provenance ne correspond pas à l'identité attendue.
Commencer la leçon 1Le domaine CI/CD
- 5 leçons
- ~2 h 50 de lecture
- 6 quiz
- 1 lab de preuve
Le chemin
D'où elle vient, où elle mène
Ce qu'il faut savoir avant, où vous en êtes sur cette compétence, et ce qu'elle ouvre ensuite. Votre état se calcule dans votre navigateur, à partir de ce que vous avez lu et réussi.
Avant · 2 prérequis
Conseillé avant · 5
- Évaluer l'exposition de sa chaîne logicielle et répondre à la compromission d'un composant
- Produire le SBOM d'un artefact et qualifier ses vulnérabilités avec un VEX
- Lire une image OCI et vérifier son intégrité : index, manifeste, configuration, couches et digests
- Publier une image sur un registre : jeton d'accès, tag, digest et publication depuis la CI
- Construire un artefact une fois et le promouvoir entre environnements
Cette compétence, pour vous
Signer un artefact, attester sa provenance et la vérifier avant déploiement
Calcul en cours
Elle débloque · rien encore
Aucune autre compétence ne la demande : c'est une compétence de bout de chemin.
Le chemin des bases De la base la plus en amont jusqu'à cette compétence : ce qui est en place, ce qu'il reste à lire.
Leçons
Comment l'apprendre
Cette compétence s'apprend avec l'outil de votre choix ; vos préférences décident de la voie suivie dans votre parcours. Chaque voie liste ses leçons dans l'ordre du programme.
Avec GitHub Actions
5 leçons · ~2 h 50 par défaut
Partie 1 · Software supply chain 2 leçons · ~45 min
Partie 2 · Droits minimaux, OIDC et provenance 2 leçons · ~1 h 10
- 3Attestations· 30 min
- 4Vérifier les attestations· 40 min
Partie 3 · Software supply chain 1 leçon · ~55 min
- 5Lab 3 : Build vérifiable· 55 min
Avec GitLab CI
3 leçons · ~1 h 30
Partie 1 · Software supply chain 2 leçons · ~45 min
Partie 2 · Sécuriser la delivery GitLab 1 leçon · ~45 min
- 3Supply chain (SBOM, attestations)· 45 min
Au-delà des leçons
S'évaluer, pratiquer, passer l'épreuve
Lire une leçon ne confirme rien. Une compétence se confirme par un quiz réussi, se travaille en lab guidé, et se met à l’épreuve par un challenge ou une mission ; un résultat de lab importé n’est pas vérifié par le site.
S'évaluer
6 quiz
En fin de leçon : réussis à 70 %, ils confirment la compétence.
Pratiquer
Aucun lab guidé
Aucun lab guidé ne la fait encore pratiquer.
Épreuve
1 preuve pratique
Une preuve pratique est un challenge, un capstone ou un lab déclaré.
Mobilisée par la mission « Livrer un artefact traçable », qui a sa preuve.
Test de positionnement
Préparation des questions…
Le détail de vos réponses
Pour chaque question posée : votre réponse, la bonne réponse, son explication et la page à relire.
Autour
Qui la demande, qui l'enseigne
Demandée par
Enseignée par
Outil au choix : GitHub Actions ou GitLab CI.
Même bloc · Sécuriser la chaîne de livraison
- Sécuriser la définition d'un pipeline : permissions, secrets, épinglage et déclencheurs
- Auditer un workflow de CI et en modéliser la menace
- Durcir et isoler les runners d'une CI
- Évaluer l'exposition de sa chaîne logicielle et répondre à la compromission d'un composant
- Produire le SBOM d'un artefact et qualifier ses vulnérabilités avec un VEX
- Remplacer le secret partagé par une identité machine vérifiable (OIDC)