Descriptif
Kubernetes : sécuriser un cluster (CKS) est une formation de 3 jours (21 heures), de niveau expert, rattachée au domaine « Cybersécurité et gestion des risques informatiques ». Durcir un cluster Kubernetes et sa chaîne logicielle. Conçue et animée par des praticiens en activité, elle alterne apports ciblés (30 %) et mises en pratique (70 %) sur des laboratoires individuels accessibles depuis un navigateur, avec des cas inspirés des secteurs banque, assurance et services publics. Le parcours s'appuie sur 55 laboratoires dédiés, provisionnés à la demande et accessibles trente jours après la session. Disponible en inter-entreprises, en intra sur catalogue et en version sur mesure adaptée au contexte de l'entreprise.
Objectifs pédagogiques
À l'issue de la formation, le participant sera capable de :
- Durcissement du cluster et du plan de contrôle
- Sécurité de la chaîne logicielle et des images
- Politiques réseau, détection à l’exécution et examen blanc commenté
Programme détaillé
| N° | Contenus et activités | Durée |
|---|---|---|
| Jour 1 | ||
| 1 | Cadrage : vérification du CKA, obligatoire et en cours de validité pour s'inscrire au CKS, ouverture des accès aux clusters de laboratoire et format de l'épreuve — 2 h, intégralement pratique en ligne de commande | 1 h |
| 2 | Surface d'attaque d'un cluster Kubernetes et durcissement du plan de contrôle | 1 h |
| 3 | Laboratoire : durcir le serveur d'API, les rôles RBAC et les comptes de service d'un cluster exposé | 3 h |
| 4 | Travaux pratiques : appliquer les CIS Benchmarks avec kube-bench et corriger les écarts relevés | 2 h |
| Jour 2 | ||
| 5 | Sécurité de la chaîne logicielle et des images de conteneurs | 1 h |
| 6 | Laboratoire : analyser les images avec Trivy, réduire la surface et signer les artefacts produits | 2,5 h |
| 7 | Travaux pratiques : activer les admission controllers et appliquer les PodSecurity Standards | 2 h |
| 8 | Laboratoire : écrire et appliquer des politiques OPA Gatekeeper bloquantes puis tester leur contournement | 1,5 h |
| Jour 3 | ||
| 9 | Isolation réseau et détection à l'exécution | 1 h |
| 10 | Laboratoire : écrire des NetworkPolicy en refus par défaut et valider chaque flux légitime | 2 h |
| 11 | Travaux pratiques : instrumenter Falco, déclencher une alerte et enquêter sur le conteneur fautif | 2 h |
| 12 | Examen blanc commenté dans les conditions pratiques de l'épreuve CKS | 1,5 h |
| 13 | Correction, plan de révision individuel et modalités d'inscription à l'examen | 0,5 h |
Méthodes pédagogiques
- Pédagogie active : 71 % du temps en pratique encadrée — laboratoires cloud provisionnés par participant, travaux pratiques guidés, fil rouge applicatif —, le reste en apports structurés, démonstrations commentées, cadrage et évaluation
- répartition calculée sur le déroulé détaillé de cette formation, et non annoncée de façon uniforme
- classe inversée avec prérequis sur le LMS
- apprentissage adaptatif selon le positionnement initial
- travaux en binômes
- classe virtuelle en séquences de 3 h 30 maximum sur Microsoft Teams
- support clair, complet et paginé remis à chaque participant
Technologies et outils mobilisés
Kubernetes, PodSecurity, NetworkPolicy, OPA Gatekeeper, Falco, Trivy, admission controllers
Modalités d'évaluation et de validation
- Positionnement initial en ligne
- quiz de validation à chaque séquence
- évaluation finale des acquis (QCM et mise en situation)
- satisfaction à chaud
- questionnaire de transfert à 30 jours
- attestation de fin de formation
- préparation à la certification CKS – Certified Kubernetes Security Specialist (Linux Foundation), examen en sus
Plateforme, laboratoires et ressources
- Plateforme LMS DATAROCKSTARS : parcours, quiz et supports. Environnements de laboratoire provisionnés à la demande, isolés par participant et accessibles depuis un navigateur — 55 laboratoires dédiés à ce programme. Accès maintenu trente jours après la session