Parcours · Intermédiaire
Dépôts d'artefacts
Héberger, sécuriser, signer et servir les paquets et les images dont dépendent vos déploiements, avec Pulp en référence et Nexus en option
- 2 niveaux
- 9 modules
- 28 leçons
- 13 labs
- 25 quiz
- 21h
Commencer Leçon : Gestion des artefacts : le guide DevSecOps complet
Recommandé avant de commencer : Linux
À propos de ce parcours · premier niveau : 4 leçons, 1 semaine environ
Bienvenue sur votre parcours Dépôts d'artefacts. Cette page liste l'intégralité de la formation, dans l'ordre où les notions s'appuient les unes sur les autres. Un dépôt d'artefacts est le service qui garde les paquets, les images et les binaires que vos déploiements consomment : savoir l'exploiter, c'est savoir ce que votre production installe réellement.
Les premiers modules posent le vocabulaire et la raison d'être : le cycle de vie d'un artefact, la différence entre un tag et un digest, et la promotion d'un même binaire d'un environnement à l'autre sans le reconstruire. Un module entier est consacré à la sécurité de la chaîne d'approvisionnement, parce qu'un dépôt ne vaut que par ce qu'il peut prouver sur ce qu'il sert : SBOM, niveaux SLSA et provenance vérifiée.
Viennent ensuite les gestes, sur Pulp comme implémentation de référence : le mettre en service, le faire servir de cache devant un dépôt public, publier ses propres paquets, l'utiliser comme registre d'images, y accorder des droits mesurés, signer ce qu'il héberge, le faire servir sans Internet, et restaurer une sauvegarde jusqu'à ce qu'un client soit servi par ce qui a été restauré.
Un module reprend ces mêmes gestes sur Nexus, et seulement pour ce qu'il fait différemment : inutile de réapprendre un métier déjà acquis. Le module suivant compare Artifactory et Harbor, pour savoir sur quel critère on choisit plutôt que par habitude.
Le dernier module décide ce qui franchit la porte : sécuriser les dépendances npm, PyPI et Go, filtrer ce qui entre avec un pare-feu d'artefacts, et servir une chaîne d'intégration sans dépendre des dépôts publics.
Oui, le parcours est long. Personne ne le suit d'une traite : il se découpe en niveaux. Le premier, « Mettre un dépôt d'artefacts en service », compte 4 leçons d'environ 45 minutes : à une par jour ouvré, 1 semaine environ, et il a son propre résultat. Chaque module apporte une compétence utilisable dès le lendemain, et votre progression vous attend dans ce navigateur et sur les appareils reliés à votre compte facultatif.
Atteindre un objectif
Ce parcours rassemble l’ensemble de nos contenus sur ce domaine. Votre parcours personnalisé peut n’en utiliser qu’une partie.
- Compétences 8 (+10 en partie) 8 par quiz · 3 en lab · 5 avec preuve
Progression 0 / 28 (0%)
- Connaissance Non mesurée Votre premier quiz apparaîtra à la fin d’une leçon.
- Pratique Non mesurée Les labs mesurent votre capacité à faire. Vous n’avez pas besoin de DSOXLab pour commencer une formation.
- Preuve Non mesurée Les challenges et examens pratiques vérifient que vous savez agir sans procédure détaillée.
Cochez les leçons ici, ou avec « Marquer comme lu » en fin de leçon. La progression reste dans ce navigateur ; rien n’est envoyé au serveur, sauf si vous reliez ce navigateur à un compte facultatif.
-
04
- cours quiz Sécurité supply chain logicielle : SBOM, SLSA, Sigstore 30 min
- cours lab quiz SBOM : l'inventaire de ce qu'on livre, mesuré avec Syft 1h30
- cours SLSA : sécuriser la chaîne d'approvisionnement logicielle 40 min
- cours quiz De la provenance SLSA à la décision : bloquer les artefacts non conformes 40 min
A1
Vous installez un dépôt d'artefacts, le mettez en cache devant les dépôts publics, y publiez vos propres paquets et y servez vos images, en prouvant chaque fois depuis un client que c'est bien votre dépôt qui a répondu.
Validation du niveau : Challenge · Épreuve de niveau 1 : le dépôt que personne ne documentait
A2
Vous ouvrez des droits sans ouvrir le dépôt entier, signez ce que vous servez, faites fonctionner l'instance sans Internet et restaurez son contenu ailleurs que sur la machine qui l'hébergeait.
-
06
-
Accorder un accès ciblé à un dépôt d'artefacts et prouver qu'il n'ouvre qu'une porte
-
Signer les artefacts d'un dépôt et faire échouer la vérification d'un artefact non signé
-
Servir un dépôt d'artefacts sans accès à Internet et y faire entrer le contenu par export et import
-
Sauvegarder un dépôt d'artefacts et prouver que la restauration sert un client
-
Contexte et repères
-
Validation du niveau : aucune épreuve de validation définie pour ce niveau.