GratuitIntermédiaire2 h 40
Gérer ses secrets
Apprenez à repérer, protéger et faire vivre les secrets d'une application : clés d'API, mots de passe, jetons et certificats. Vous verrez comment ils fuient (Git, images, journaux), comment les fournir proprement (variables d'environnement, AWS Secrets Manager, Vault), puis comment les faire tourner, les détecter avec gitleaks et limiter leurs droits.
Ce que vous saurez faire
- Inventorier les secrets d'un projet et évaluer leur sensibilité
- Expliquer comment un secret fuit par Git, une image de conteneur ou un journal, et le retirer correctement
- Fournir un secret à une application par variable d'environnement puis par un coffre (AWS Secrets Manager, Vault)
- Remplacer un secret statique du pipeline par une identité fédérée de courte durée
- Mettre en place une rotation sans interruption de service
- Configurer gitleaks en pré-commit et en CI
- Écrire une politique de moindre privilège pour l'accès à un secret
- Appliquer la procédure de réponse à une fuite
Prérequis conseillés
Plan du cours
Partie 1 · Comprendre les secrets et leurs fuites44 min
- Qu'est-ce qu'un secret ?10 min
- Fuites dans Git : l'historique n'oublie rien12 min
- Fuites dans les images et les journaux12 min
- Quiz : comprendre les secrets et leurs fuites10 min
Partie 2 · Fournir les secrets aux applications58 min
- Variables d'environnement : le premier pas12 min
- AWS Secrets Manager12 min
- HashiCorp Vault et les secrets dynamiques12 min
- Les secrets du pipeline : fédération OIDC12 min
- Quiz : fournir les secrets aux applications10 min
Partie 3 · Faire tourner, détecter et limiter58 min
- La rotation des secrets12 min
- Détecter les fuites avec gitleaks12 min
- Le moindre privilège12 min
- Réagir à une fuite de secret12 min
- Quiz : rotation, détection et moindre privilège10 min