Métier

Ingénieur DevSecOps

Intégrer la sécurité à chaque étape de la livraison logicielle, du code au runtime, pour que livrer vite et livrer sûr cessent de s'opposer, et piloter cette démarche par la mesure.

Viser ce métierCe que fait ce métier

• 7 responsabilités
• 18 missions
• 77 compétences
• 343 heures de travail une estimation, en partant de zéro

Votre écart

Ce qui vous manque

Viser ce métier calcule votre chemin à partir de ce que vous avez déjà lu et réussi (quiz, labs). Vous voyez tout de suite votre première étape.

466

leçons

~343 h

depuis zéro

Viser ce métier

Enregistré dans ce navigateur. Modifiable à tout moment.

Le métier

Ce que fait un Ingénieur DevSecOps

Sept responsabilités. Chacune s’exerce à travers des missions concrètes, qui demandent des compétences.

1

Décrire et durcir l'infrastructure en code

Réaliser en autonomie 3 missions · 15 compétences

Missions qui la composent

• Configurer un parc par le code

  Livrabledes serveurs configurés par des rôles Ansible idempotents, rejoués sans écart

  • Prévoir ce qu'un outil IaC va créer, modifier ou détruire : déclaratif, idempotence, état et plan
  • Écrire un playbook Ansible lisible et idempotent
  • Paramétrer un playbook Ansible : variables, facts, précédence et filtres Jinja2
  • Structurer Ansible en rôles et collections

  4 compétences Sans lab pour l’instant

• Mesurer la conformité d'un serveur et de son code d'infrastructure

  Livrableun serveur et un code d'infrastructure mesurés contre un référentiel (ANSSI, CIS), leurs écarts priorisés

  • Mesurer l'écart d'un serveur à un référentiel de durcissement et prioriser les mesures (ANSSI-BP-028, CIS)
  • Durcir le build, les images et l'IaC

  2 compétences Sans lab pour l’instant

• Décrire une infrastructure en code, partageable et rejouable

  Livrableune infrastructure découpée en modules versionnés, son state partagé et verrouillé, rejouée à l'identique

  • Prévoir ce qu'un outil IaC va créer, modifier ou détruire : déclaratif, idempotence, état et plan
  • Tenir un dépôt IaC sain : structure par couche, revue du plan, pyramide de contrôles et secrets hors du code
  • Structurer une infrastructure en code à l'échelle : stacks, modules versionnés, environnements et dette
  • Partager un state Terraform distant, verrouillé et récupérable
  • Consommer et versionner des modules Terraform de façon reproductible
  • Concevoir, structurer et tester un module Terraform réutilisable

  6 compétences Lab de preuve

Demandé aussi, hors mission

• Administrer un service systemd
• Protéger les secrets d'un projet Ansible : Ansible Vault et coffres externes
• Dépanner et exploiter Ansible en production : verbosité, débogueur, idempotence et ansible-pull
• Manipuler des données sensibles dans Terraform sans les exposer dans les sorties ni le state

2

Tenir la production : vulnérabilités, fiabilité, incidents

Réaliser en autonomie 3 missions · 9 compétences

Missions qui la composent

• Traiter une vulnérabilité, de la détection au correctif

  Livrableune vulnérabilité détectée, triée, corrigée ou datée en exception, l'image reconstruite

  • Analyser le code et les dépendances
  • Trier les vulnérabilités et dater les exceptions
  • Durcir le build, les images et l'IaC

  3 compétences Lab de preuve

• Tenir la production dans la durée

  Livrableexceptions datées en VEX, un SLO qui alerte, un runbook, les métriques DORA

  • Trier les vulnérabilités et dater les exceptions
  • Observer, répondre aux incidents, tenir un SLO

  2 compétences Lab de preuve

• Répondre à un incident de sécurité

  Livrableun incident de sécurité contenu, ses traces reconstituées, sa cause et ses actions documentées

  • Répondre à un incident et en tirer un postmortem
  • Détecter et contenir au runtime
  • Reconstituer qui a agi sur l'API grâce au journal d'audit Kubernetes

  3 compétences Sans lab pour l’instant

Demandé aussi, hors mission

• Détecter un secret exposé, mesurer la portée de la fuite et la traiter
• Diagnostiquer une application en échec sur Kubernetes

3

Sécuriser la chaîne d'approvisionnement logicielle

Réaliser en autonomie 4 missions · 22 compétences

Missions qui la composent

• Centraliser l'identité des utilisateurs sur un fournisseur d'identité

  Livrableun fournisseur d'identité persistant avec son realm, ses utilisateurs, groupes, rôles et journaux d'événements, et une application branchée en OpenID Connect dont les jetons sont validés

  • Mettre en service Keycloak sur PostgreSQL et administrer un realm : utilisateurs, groupes, rôles et journaux d'événements
  • Brancher une application en OpenID Connect sur un fournisseur d'identité, valider ses jetons et dépanner une intégration OIDC ou SAML

  2 compétences Sans lab pour l’instant

• Fournir secrets et identités aux applications

  Livrablechaque application avec une identité minimale et un accès au coffre limité à ses chemins, ses secrets délivrés à durée de vie bornée ou montés depuis un Secret Kubernetes, jamais écrits dans son image ou ses manifestes

  • Stocker un secret dans un coffre et le lire sans jamais l'écrire en clair
  • Scoper l'accès à un coffre au strict nécessaire et expliquer un refus
  • Délivrer un secret à durée de vie bornée, le renouveler et le révoquer en urgence
  • Configurer une application par ConfigMap et Secret
  • Donner à un workload une identité minimale (ServiceAccount)

  5 compétences Sans lab pour l’instant

• Livrer un artefact traçable

  Livrableune image durcie, son SBOM et une attestation de provenance

  • Lire une image OCI et vérifier son intégrité : index, manifeste, configuration, couches et digests
  • Sécuriser l'installation et les conteneurs
  • Durcir le build, les images et l'IaC
  • Produire le SBOM d'un artefact et qualifier ses vulnérabilités avec un VEX
  • Publier une image sur un registre : jeton d'accès, tag, digest et publication depuis la CI
  • Signer un artefact, attester sa provenance et la vérifier avant déploiement

  6 compétences Lab de preuve

• Durcir la chaîne de livraison

  Livrablesecrets et SAST bloquants, identité OIDC sans clé stockée, workflows audités

  • Analyser le code et les dépendances
  • Remplacer le secret partagé par une identité machine vérifiable (OIDC)
  • Repérer les risques d'une chaîne de livraison
  • Sécuriser la définition d'un pipeline : permissions, secrets, épinglage et déclencheurs
  • Auditer un workflow de CI et en modéliser la menace

  5 compétences Lab de preuve

Demandé aussi, hors mission

• Recenser les secrets d'un système, les classer par criticité et tenir leur registre
• Évaluer l'exposition de sa chaîne logicielle et répondre à la compromission d'un composant
• Analyser une application avec des scanners spécialisés : secrets, SAST, dépendances, Scorecard et DAST
• Analyser l'attaque d'un pipeline : secrets, outils détournés et provenance

4

Analyser le risque d'une application

Réaliser en autonomie 1 mission · 3 compétences

Missions qui la composent

• Modéliser les menaces de l'application

  Livrableun modèle STRIDE de notes-api, contrôlé par le pipeline

  • Modéliser les menaces d'une application
  • Écrire un premier pipeline et lire ses échecs

  2 compétences Lab de preuve

Demandé aussi, hors mission

• Raisonner en DevSecOps : risques, responsabilités, défense en profondeur

5

Construire et faire tourner une chaîne de livraison

Réaliser en autonomie 5 missions · 26 compétences

Missions qui la composent

• Construire une pipeline fiable

  Livrableun pipeline qui teste notes-api à chaque push et échoue quand un test casse

  • Travailler en branches et fusionner
  • Construire une image OCI
  • Écrire les étapes d'intégration dans le dépôt et les faire échouer utilement
  • Écrire un premier pipeline et lire ses échecs

  4 compétences Lab de preuve

• Livrer une application sur Kubernetes d'après un cahier des charges

  Livrableune application configurée, sondée, dotée d'une identité minimale, exposée et isolée, sans mode d'emploi

  • Exposer une application par Service, Ingress ou Gateway
  • Configurer une application par ConfigMap et Secret
  • Fiabiliser un workload : sondes de santé et ressources
  • Donner à un workload une identité minimale (ServiceAccount)
  • Cloisonner les flux entre Pods par NetworkPolicy
  • Auditer une application facteur par facteur (12-factor) sur Kubernetes et corriger ses écarts

  6 compétences Lab de preuve

• Livrer un même artefact vers plusieurs environnements

  Livrableun artefact construit une fois, promu de la recette à la production de façon reproductible, contrôlée et traçable, configuration propre à chaque environnement

  • Construire un artefact une fois et le promouvoir entre environnements
  • Mettre à jour une application et revenir en arrière
  • Configurer une application par ConfigMap et Secret
  • Fiabiliser un workload : sondes de santé et ressources
  • Concevoir des pipelines dynamiques (variables, conditions, réutilisation)
  • Livrer vers des environnements, artefacts compris
  • Décliner des manifestes par environnement avec Kustomize
  • Modifier des ressources Kubernetes de façon déclarative, sans dériver de Git

  8 compétences Sans lab pour l’instant

• Déployer en GitOps

  Livrablenotes-api déployée et promue entre deux environnements depuis Git

  • Déployer et observer une application sur Kubernetes
  • Déployer une application en GitOps
  • Synchroniser et promouvoir entre environnements

  3 compétences Sans lab pour l’instant

• Exploiter un environnement d'exécution de CI

  Livrableun runner installé et outillé, exécuté avec des permissions maîtrisées, qui atteint le dépôt et le registre, et dont un incident système ou réseau se diagnostique

  • Gérer utilisateurs, droits et processus
  • Installer et maintenir des logiciels
  • Diagnostiquer le réseau et lire les journaux
  • Exploiter et dépanner des conteneurs Docker : cycle de vie, journaux, inspection et daemon
  • Durcir et isoler les runners d'une CI

  5 compétences Sans lab pour l’instant

Demandé aussi, hors mission

• Lire et transformer des données (JSON, YAML, API)
• Écrire un outil en ligne de commande testé

6

Contrôler l'admission et protéger le runtime

Réaliser en autonomie 1 mission · 5 compétences

Missions qui la composent

• Refuser l'inconnu et contenir le runtime

  Livrableun cluster qui n'admet que des images signées, des pods restreints, une détection active

  • Détecter et contenir au runtime
  • Expliquer et inspecter l'isolation d'un conteneur Linux : namespaces, cgroups, capabilities, seccomp
  • Durcir le contexte d'exécution d'un Pod (securityContext)
  • Contrôler ce qui atteint la production et détecter les écarts au runtime
  • Faire refuser par le cluster ce qui enfreint une règle de sécurité

  5 compétences Lab de preuve

7

Mesurer et généraliser la démarche

Concevoir et améliorer 1 mission · 4 compétences

Missions qui la composent

• Mesurer et généraliser la démarche DevSecOps

  Livrabledes indicateurs de livraison et de sécurité suivis, une démarche étendue à plusieurs équipes

  • Expliquer les principes DevOps et repérer un anti-pattern d'organisation
  • Choisir le type de document et son lecteur avant d'écrire
  • Choisir un modèle de branches et une stratégie de livraison
  • Mesurer et généraliser DevSecOps à l'échelle

  4 compétences Preuve prévue, pas encore ouverte

Les moyens

Avec quels outils ?

Choisissez vos outils : le choix change les leçons à lire, jamais les responsabilités.

Plateforme d’intégration continue

GitHub Actions GitLab CI

Outil GitOps

Argo CD Flux

Langage d’automatisation

Python Go

Pour aller plus loin

Les spécialisations

Facultatives, mesurées à part du métier.

Écrire et appliquer des politiques as code

• Écrire une politique Rego juste en syntaxe OPA 1.x, et prévoir ce qu'elle rend
• Vérifier une politique Rego : tests, couverture, lint et contrôle en CI
• Appliquer des politiques Rego aux fichiers de configuration dans une chaîne CI

Tester, livrer et sécuriser le code Ansible

• Durcir un hôte par Ansible : pare-feu, SELinux et paramètres noyau
• Équiper un poste de développement Ansible : éditeur et analyse statique
• Choisir, installer et vérifier des rôles et collections Galaxy
• Tester un rôle Ansible avec Molecule et le passer au profil production d'ansible-lint
• Exécuter un playbook dans un Execution Environment Ansible avec ansible-navigator
• Tester un rôle Ansible en CI et le publier versionné sur Galaxy
• Construire, publier et dépanner un Execution Environment Ansible avec ansible-builder

Confiner et chiffrer les workloads Kubernetes

• Confiner un conteneur face au noyau de l'hôte (seccomp, AppArmor)
• Isoler un Pod dans un runtime bac à sable (RuntimeClass)
• Chiffrer et authentifier le trafic entre Pods

Encadrer les agents IA de code

• Cadrer une tâche confiée à Claude Code et valider son résultat par plan, diff et tests
• Confiner l'exécution de Claude Code : permissions, secrets et bac à sable
• Automatiser et outiller Claude Code avec des hooks, des skills et des plugins
• Brancher un serveur MCP à Claude Code et déléguer à des subagents isolés
• Reprendre le contrôle d'une session Claude Code qui dérive et dépanner sa configuration
• Livrer un projet complet piloté par Claude Code, tranche verticale par tranche verticale
• Exécuter Claude Code sans session interactive, en CI, avec le modèle et le coût adaptés

Opérer un coffre de secrets en production

• Opérer un coffre en production : l'initialiser, le sceller, le sauvegarder et le surveiller

Exploiter et gouverner le fournisseur d'identité, et y brancher Kubernetes et Vault

• Protéger une API par jeton OAuth 2 : audience, scopes, accès machine et choix du flow d'un client sans navigateur
• Exiger un second facteur par groupe dans Keycloak, avec enrôlement forcé et récupération, et poser une politique de mot de passe conforme à NIST SP 800-63B-4
• Gérer le cycle de vie des comptes dans Keycloak par SCIM et Workflows, traiter un départ et conduire une revue des accès
• Exploiter Keycloak en production : proxy TLS, sauvegarde restaurée, montée de version, accès de secours et realm décrit en Terraform
• Brancher le serveur d'API Kubernetes et Vault sur un fournisseur d'identité OIDC, convertir les groupes du jeton en droits limités et diagnostiquer un refus

Ce que le site ne couvre pas encore

Gestion des risques (SFIA BURM) : portée au niveau d'une application, par le modèle de menace, pas de l'organisation.

Réponse à un incident de sécurité : en préparation (brouillon sec.incident.respond, todo/missions-metiers/tout-enseigner.md, geste 2). Remise d'un secret depuis un coffre à un workload Kubernetes (External Secrets Operator, CSI) : non enseignée, la leçon secrets-kubernetes rejoint la formation Kubernetes (décision du 2026-10-14) ; coffre, accès, secrets à durée bornée et fuite sont au socle depuis le 2026-10-14 (sec.secrets.*), sans preuve tant que les labs secrets manquent.

Pilotage de la démarche (niveau 4) : déclaré, non démontré tant que le dossier generaliser-devsecops reste au stade prototype.

Autour de ce métier

Comparer avec un autre métier →

Toutes les compétences →

×

📖 Voir la documentation →