Dans la fenêtre d’impression, choisissez « Enregistrer en PDF » comme destination.
Réf. AZR-SEC
Microsoft Azure - Sécuriser une infrastructure Cloud
Cloud, DevOps & Automatisation
Durée
28 à 35 heures (4 à 5 jours) selon le format
Modalités
Présentiel, Classe à distance
Reconnaissance
Formation non certifiante (attestation de fin de formation)
Format de vente
Inter-entreprise ou Intra-entreprise
Délai d’accès
Inter : jusqu’à 5 jours ouvrés avant la session ; intra : en moyenne 15 jours ouvrés après l’acceptation du devis
Tarif intra
Sur devis
Pourquoi suivre cette formation
Sécuriser le cloud Azure est indispensable. Alignée sur la certification AZ-500, cette formation vous apprend à appliquer le modèle Zero Trust, à protéger vos réseaux virtuels, à chiffrer vos données et à piloter Microsoft Defender et Sentinel.
À l’issue de cette formation, les participants seront capables de
Configurer la sécurité des identités et l'accès conditionnel sous Microsoft Entra ID
Déployer le périmètre de sécurité réseau Azure (Azure Firewall, WAF, NSG, Bastion)
Chiffrer les données au repos et en transit et gérer les secrets via Azure Key Vault
Sécuriser les charges de travail calcul et conteneurs avec Microsoft Defender for Cloud
Piloter la détection et la réponse aux incidents avec Microsoft Sentinel (SIEM, SOAR)
Détenir la certification AZ-104 ou posséder des compétences solides en administration d'infrastructures Microsoft Azure et réseaux.
Prérequis techniques à distance
La classe virtuelle se tient sur Microsoft Teams : AMBIA fournit à chaque participant un compte pour la durée de la formation. En intra-entreprise, elle peut aussi se tenir sur l’outil que l’entreprise utilise déjà, par exemple Zoom ou Google Meet.
Le participant se connecte depuis un ordinateur équipé d’une caméra, d’un micro, d’un accès à internet et d’un navigateur à jour, dans un lieu calme. Si la formation le demande, le formateur donne accès à un poste de travail à distance, depuis le navigateur.
Pendant la formation, l’assistance technique répond à support@ambia-skills.fr.
Objectifs pédagogiques
Restituer les piliers de la sécurité Azure et les notions clés de la certification AZ-500.
Expliquer l'intégration des identités Entra ID, des politiques d'accès conditionnel et du modèle Zero Trust.
Configurer Azure Key Vault, Azure Firewall, Microsoft Defender for Cloud et Microsoft Sentinel.
Analyser les requêtes KQL pour identifier des comportements suspects dans les journaux d'audit.
Évaluer le score de sécurité (Secure Score) d'un tenant Azure et prioriser les recommandations.
Concevoir l'architecture de sécurité complète d'une infrastructure hybride et multi-abonnements Azure.
Programme détaillé
Jour 1ACTION
Matin
Sécurité des identités Entra ID et modèle Zero Trust
Sécuriser les identités, appliquer le Zero Trust et déployer la protection des accès dans Microsoft Entra ID.
Le modèle Zero Trust appliqué à Azure : « Vérifier explicitement, utiliser le moindre privilège, supposer la compromission ».
Sécurisation des accès d'administration : Entra ID Protection (analyse des risques de connexion et d'utilisateur).
Privileged Identity Management (PIM) : élévation de privilèges Just-In-Time et approbations pour les rôles d'administration.
Atelier pratique
Configuration de règles d'accès conditionnel Zero Trust et activation de PIM sur les rôles d'administration Azure.
Cas métier
Protection des accès d'administration d'un grand compte Azure - Élimination des privilèges permanents via PIM.
Compétence acquise
Sécuriser les identités d'administration Azure via Entra ID PIM et l'accès conditionnel.
Livrable
Le jeu de règles d'accès conditionnel et de configuration PIM d'entreprise.
Après-midi
Identités managées, Service Principals et sécurité des applications
Supprimer les mots de passe dans le code en utilisant les identités managées Azure.
Principes des identités de service : enregistrements d'applications (App Registrations), Principal de service (Service Principal).
Identités managées Azure (Managed Identities) : System-Assigned vs User-Assigned.
Sécurisation des interactions inter-services Azure sans stockage d'identifiants dans le code.
Atelier pratique
Configuration d'une identité managée pour une VM Azure permettant d'accéder à un compte de stockage sans aucun mot de passe.
Cas métier
Sécurisation du code d'une application Web hébergée sur Azure App Service - Remplacement des clés d'accès par une Managed Identity.
Compétence acquise
Supprimer les secrets codés en dur via le déploiement des identités managées Azure.
Livrable
Le guide d'implémentation des Identités Managées Azure.
Jour 2ACTION
Matin
Sécurité du réseau virtuel (NSG, ASG, Azure Bastion)
Étanchéifier les réseaux virtuels Azure et éliminer les adresses IP publiques d'administration.
Hardening des Groupes de Sécurité Réseau (NSG) et des Application Security Groups (ASG).
Administration à distance sécurisée : suppression des IP publiques et déploiement d'Azure Bastion.
Sécurisation des accès aux services PaaS : Private Endpoints et Service Endpoints.
Atelier pratique
Déploiement d'Azure Bastion et accès RDP/SSH sécurisé en HTTPS à des VMs isolées sans IP publique.
Cas métier
Suppression de l'exposition Internet des serveurs d'administration - Déploiement d'Azure Bastion.
Compétence acquise
Sécuriser l'accès réseau et administrer les VMs via Azure Bastion et Private Endpoints.
Concevoir une infrastructure réseau Hub-and-Spoke d'entreprise avec pare-feu centralisé.
Architecture réseau Hub-and-Spoke sous Azure et routage forcé via UDR (User Defined Routes).
Déploiement d'Azure Firewall (Standard / Premium) : politiques d'application, de réseau et d'inspection IDPS.
Protection Web avec Azure Web Application Firewall (WAF) sur Application Gateway / Front Door.
Atelier pratique
Configuration d'un Azure Firewall central filtrant tout le trafic sortant des VNets Spoke.
Cas métier
Filtrage centralisé des flux Internet d'une entreprise multisite sur Azure - Configuration de l'Azure Firewall.
Compétence acquise
Concevoir et déployer une architecture Hub-and-Spoke sécurisée avec Azure Firewall et WAF.
Livrable
Le dossier d'architecture réseau Hub-and-Spoke Azure Firewall.
Jour 3ACTION
Matin
Gestion des secrets avec Azure Key Vault et chiffrement des données
Centraliser la gestion des secrets et chiffrer les disques et bases de données Azure.
Prise en main d'Azure Key Vault : gestion des secrets, clés de chiffrement et certificats TLS.
Politiques d'accès Key Vault vs Contrôle d'accès RBAC Azure pour Key Vault.
Chiffrement des données : Azure Disk Encryption (ADE), Transparent Data Encryption (TDE) pour SQL Database et chiffrement du stockage S3/Blob (SSE).
Atelier pratique
Stockage d'un secret sous Key Vault, configuration de l'accès RBAC pour une application et chiffrement d'un disque de VM.
Cas métier
Mise en conformité du stockage des clés de chiffrement bancaires - Déploiement d'Azure Key Vault avec HSM.
Compétence acquise
Centraliser les secrets sous Azure Key Vault et chiffrer les données au repos.
Livrable
La politique de gestion des secrets Azure Key Vault.
Après-midi
Niveau de sécurité global (Microsoft Defender for Cloud)
Superviser le score de sécurité et protéger les charges de travail avec Defender for Cloud.
Présentation de Microsoft Defender for Cloud (ex-Azure Security Center) : Cloud Security Posture Management (CSPM).
Analyse du score de sécurité (Secure Score) et application des recommandations de sécurité.
Cloud Workload Protection (CWPP) : protection des VMs (Defender for Servers), des conteneurs (Defender for Containers) et des bases de données (Defender for SQL).
Atelier pratique
Audit du Secure Score d'un abonnement et remédiation automatisée d'une non-conformité réseau.
Cas métier
Évaluation de la conformité du Cloud d'entreprise aux exigences CIS Microsoft Azure Benchmark - Utilisation de Defender for Cloud.
Compétence acquise
Piloter la posture de sécurité d'un abonnement Azure avec Microsoft Defender for Cloud.
Livrable
Le rapport de posture de sécurité et le plan de remédiation Secure Score.
Jour 4ACTION
Matin
SIEM et SOAR avec Microsoft Sentinel (requêtes KQL)
Déployer le SIEM Cloud Microsoft Sentinel et écrire des requêtes d'investigation en langage KQL.
Architecture de Microsoft Sentinel : connecteurs de données, espace de travail Log Analytics et rétention des journaux.
Langage de requête KQL (Kusto Query Language) : filtrage, agrégation, jointures et détection d'anomalies.
Règles d'alerte de sécurité (Analytics Rules) et gestion des incidents de sécurité.
Atelier pratique
Connexion des logs Entra ID à Microsoft Sentinel et écriture d'une requête KQL détectant les connexions depuis des IP suspectes.
Cas métier
Investigation à la suite d'une alerte d'usurpation de compte administrateur - Recherche d'incidents sous Sentinel avec KQL.
Compétence acquise
Collecter les journaux de sécurité et analyser les incidents sous Microsoft Sentinel avec KQL.
Livrable
La bibliothèque de requêtes KQL d'investigation de sécurité.
Après-midi
Réponses automatisées (Playbooks) et préparation à l'examen AZ-500
Automatiser la réponse aux incidents avec des Playbooks Sentinel et réussir l'examen blanc AZ-500.
Réponse automatisée SOAR : création de Playbooks Sentinel basés sur Azure Logic Apps (blocage d'utilisateur, isolation de VM).
Synthèse des compétences clés du référentiel d'examen officiel Microsoft AZ-500.
Examen blanc et correction commentée des cas pratiques de certification.
Atelier pratique
Déploiement d'un Playbook Sentinel isolant automatiquement une machine virtuelle en cas d'alerte de malware.
Cas métier
Automatisation de la réaction du SOC face aux cyberattaques Cloud - Déploiement du SOAR Sentinel.
Compétence acquise
Automatiser la réponse aux incidents avec Microsoft Sentinel et valider sa préparation AZ-500.
Livrable
Le Playbook SOAR de réponse automatique et le rapport d'examen blanc AZ-500.
Jour 5 · en décaléIMPACT
Matin
Diagnostic de votre Secure Score et de votre réseau Azure
Améliorer le Secure Score de l'entreprise, fermer les accès réseau injustifiés et corriger les failles liées aux identités.
Examen confidentiel du score de sécurité Defender for Cloud, des règles Azure Firewall et des accès conditionnels de l'entreprise.
Après-midi
Construire les règles Key Vault et Sentinel de l'entreprise
Livrer une architecture de sécurité Azure renforcée, supervisée et conforme aux exigences de l'AZ-500.
Migration en direct des secrets vers Azure Key Vault et écriture des règles d'alerte KQL dans l'environnement Sentinel de production.
Les ateliers et cas métier de ce programme pourront être adaptés par le consultant-formateur selon les besoins, le niveau et les prérequis des participants, pour favoriser l’atteinte des objectifs pédagogiques.
Méthodes et moyens pédagogiques
Méthodes mobilisées
Pédagogie par projet et par résolution de problèmes. Le formateur introduit les concepts théoriques avant de basculer l'équipe dans un scénario de crise ou d'audit où l'apprenant doit analyser et corriger l'architecture Azure fournie.
Moyens techniques
Un accès individuel complet à un environnement cloud de laboratoire (Tenant de test Azure hautement pourvu), supports de cours numériques, grilles d'audit de sécurité.
Moyens humains
Consultant-formateur senior, certifié Microsoft Certified : Azure Security Engineer Associate (AZ-500) avec une expérience significative en audit de sécurité cloud.
Modalités d’évaluation
Évaluation diagnostique
Questionnaire technique d'entrée envoyé à J-15 pour valider la bonne maîtrise des prérequis d'administration Azure.
Évaluation formative
Évaluation continue à travers la réussite des 8 cas métiers de résolution de crises en laboratoire au cours des 4 jours.
Évaluation sommative
Examen blanc type AZ-500 (QCM d'architecture et scénarios de sécurité) en fin de formation avec revue de conformité par le formateur de l'infrastructure globale durcie par l'apprenant, complété par un Questionnaire de validation des acquis sous forme de QCM en fin de formation.
Suivi
Feuilles de présence signées par demi-journée, en présentiel comme à distance.
Attestation de fin de formation remise à chaque stagiaire, mentionnant les objectifs, la nature, la durée et les résultats de l’évaluation.
Certificat de réalisation adressé au client ou au financeur.
Questionnaire de satisfaction remis à l’issue de la formation.
Délai d’accès
Inter-entreprises : L’inscription est possible jusqu’à 5 jours ouvrés avant le début de la session, sous réserve des places disponibles.
Intra-entreprise : La formation débute en moyenne 15 jours ouvrés après l’acceptation du devis.
Ce délai peut être adapté selon la disponibilité des sessions, le positionnement du stagiaire et, le cas échéant, l’instruction du dossier de prise en charge par le financeur.
Accessibilité handicap
Parcours accessible aux personnes en situation de handicap.
Référent handicap : accessibilite@ambia-skills.fr. Aucune reconnaissance de la qualité de travailleur handicapé ni aucun justificatif médical n’est exigé.
Indicateurs de résultats
Indicateurs publiés à partir de 3 avis.
Mode de calcul : www.ambia-skills.fr/notre-approche#notes
