Parcours DevSecOps, Niveau 1 : les fondations techniques

Ces fondations techniques, c'est ce qui vous permet de ne pas perdre de temps sur les mauvaises questions. Un ingénieur qui maîtrise Linux, Git, les conteneurs et la culture DevOps peut apprendre n'importe quel outil en quelques jours. Sans ces bases, chaque nouvel outil devient un obstacle.

Durée estimée : 60 à 80 heures selon votre point de départ.

Ces bases acquises, place aux exigences de sécurité concrètes : le référentiel Socle DevSecOps en détaille 412, du code au cloud, pour transformer ces fondations en preuves auditables.

Ce que vous saurez faire en sortie

Administrer un serveur Debian/Ubuntu ou RHEL en production : utilisateurs, paquets, services systemd, stockage, réseau, SSH
Travailler avec Git en équipe : branches, merge requests, rebase, hooks, workflows
Expliquer les métriques DORA et pourquoi elles importent concrètement
Faire tourner une application dans des conteneurs Docker et la composer avec Compose
Écrire des scripts shell qui ne cassent pas en production
Utiliser Python pour des tâches d'automatisation simples

Bloc 1, Linux

Linux est le substrat universel du DevSecOps. Tout tourne dessus : les conteneurs, les pipelines CI, les clusters Kubernetes, les serveurs de production.

Objectif de ce bloc : être autonome sur un serveur Debian ou RHEL sans interface graphique.

Bases Linux FHS, processus, utilisateurs, droits, systèmes de fichiers.

Commandes essentielles Navigation, manipulation de fichiers, redirections, pipes.

Gestion des utilisateurs et groupes Créer, modifier, restreindre : users, groups, sudo, ACL.

Gestion des packages APT, DNF : installer, mettre à jour, vérifier l'intégrité.

systemd et services Démarrer, arrêter, surveiller des services. Units, timers, journald.

SSH : accès sécurisé Clés, agent, tunnels, configuration client. Accès sans mot de passe.

Réseau Linux ip, netplan, NetworkManager, diagnostic réseau.

Stockage et LVM Partitions, LVM, montages, quotas, analyse des performances disques.

Éditeurs, maîtrisez au moins l'un d'eux :

vim L'éditeur universel présent sur tous les serveurs.

nano Simple et immédiat pour les interventions rapides.

Commandes de traitement de données, utiles pour analyser des logs, des fichiers de config, des sorties JSON :

grep Rechercher dans des fichiers et des flux.

awk Traitement de colonnes et transformation de texte.

sed Substitutions et transformations en flux.

jq Traiter du JSON en ligne de commande.

find Rechercher des fichiers selon des critères précis.

curl Interagir avec des APIs HTTP depuis le terminal.

Bloc 2, Git

Git est le point de départ de tout pipeline DevSecOps. La maîtrise des workflows d'équipe et de l'historique est non négociable.

Objectif de ce bloc : contribuer en autonomie dans un dépôt en équipe, résoudre les conflits, comprendre l'historique et utiliser les hooks.

Git : les bases Initialiser, committer, historique, staging area.

Branches et merge Créer, fusionner, résoudre des conflits.

Git rebase et cherry-pick Réécrire l'historique proprement.

Hooks Git Automatiser les vérifications avant commit et push.

Plateformes Git GitHub, GitLab, Gitea, Forgejo : différences et choix.

Stockage des credentials SSH, HTTPS, GPG : sécuriser l'accès aux dépôts.

Bloc 3, Culture DevOps

Comprendre pourquoi le DevOps existe évite de reproduire les mêmes erreurs avec des outils différents.

Objectif de ce bloc : savoir expliquer les Three Ways, les métriques DORA, et comprendre pourquoi la sécurité échoue quand elle est traitée en silo.

Culture DevOps Origine, valeurs, transformation organisationnelle.

Three Ways et CALMS Les modèles conceptuels du DevOps.

Métriques DORA Fréquence de déploiement, délai de livraison, taux d'échec, temps de restauration.

Shift-Left Tester et vérifier tôt pour corriger moins cher.

Anti-patterns DevOps Les pièges courants qui font échouer les transformations.

Bloc 4, Conteneurs

Les conteneurs sont le format standard de livraison applicative. Sans la maîtrise de Docker et Compose, impossible d'avancer dans le parcours CI/CD.

Objectif de ce bloc : construire, lancer, déboguer, composer une application conteneurisée.

Docker : concepts Images, layers, conteneurs, registres, volumes, réseau.

Docker : installation Installer Docker sur Linux (Debian, Ubuntu, RHEL).

Construire des images Dockerfile, multi-stage builds, bonnes pratiques.

Bloc 5, Scripting

Un ingénieur DevSecOps qui ne sait pas scripter passe son temps à faire à la main ce qui devrait être automatisé.

Objectif de ce bloc : écrire des scripts shell robustes, déboguer des pipelines, utiliser Python pour l'automatisation.

Scripts shell Variables, conditions, boucles, fonctions, arguments.

Scripts shell sécurisés set -euo pipefail, shellcheck, gestion des erreurs, sorties propres.

Bloc 6, Réseau de base

Comprendre IP, ports, DNS, TLS et les firewalls est indispensable pour diagnostiquer des problèmes de connectivité dans un pipeline ou un cluster.

Réseau Linux Interfaces, routes, netplan, NetworkManager.

La commande ip Interfaces, routes, addresses : ip addr, ip route, ip link.

Fondamentaux réseau DevOps OSI, TCP/IP, DNS, TLS, load balancing et proxies.

Bloc 7, Cloud de base

Même sans être Cloud Engineer, comprendre les concepts fondamentaux du cloud est nécessaire : IAM, régions, VPC, stockage objet, machines virtuelles.

Introduction au cloud IaaS/PaaS/SaaS, modèles de responsabilité partagée, grands fournisseurs.

Livrable pratique, Projet socle

A la fin de ce niveau, vous devez être capable de réaliser ce projet fil rouge :

À retenir

Le socle n'est pas optionnel. Sauter ces fondations crée des lacunes qui reviennent en production.
Linux et Git sont les deux blocs les plus critiques. Investissez-y du temps.
La culture DevOps se lit vite (2–3 heures) mais apporte une cohérence de raisonnement qui change beaucoup.

Prochaines étapes

Niveau 2, DevSecOps opérationnel Pipeline CI/CD sécurisé, shift-left, secrets, supply chain, GitOps, observabilité, incidents.

Retour au parcours complet Vue d'ensemble des 3 niveaux et des spécialisations.