5. Objectifs pédagogiques

À l'issue du cours, l'étudiant doit être capable de répondre avec précision (sans documentation) à l'intégralité des questions de la grille d'auto-évaluation fournie en partie XVI, qui reprend la liste complète des questions de la fiche de mission avec renvoi vers les chapitres correspondants. Cette grille couvre trois registres :

Comprendre. Pourquoi utiliser Vault plutôt que des fichiers de configuration ; ce que signifie exactement « Vault est sealed » ; ce qui se passe lors de l'initialisation puis lors d'un unseal ; la différence entre Shamir Seal et Auto Unseal ; le rôle d'un KMS, d'un HSM ; pourquoi un Vault Transit constitue un Root of Trust ; ce que Vault protège et ce qu'il ne protège pas.

Faire. Déployer un cluster Raft de trois nœuds et provoquer un failover maîtrisé ; écrire la policy minimale d'une application et la prouver ; livrer un secret_id AppRole sans jamais l'exposer ; émettre, renouveler et révoquer des credentials PostgreSQL dynamiques ; mettre en place une PKI à deux niveaux et faire tourner l'intermédiaire ; produire un snapshot et le restaurer sur un cluster neuf.

Raisonner. Choisir un mécanisme de scellement en fonction de contraintes données et défendre ce choix ; analyser précisément les conséquences d'une indisponibilité, d'une compromission ou d'une perte définitive du Vault Transit ; concevoir une stratégie de récupération avec RPO et RTO explicites ; limiter l'impact d'un token compromis et reconstruire la confiance après incident ; identifier les cas où Vault est une solution disproportionnée.