Table des matières Introduction Présentation de Docusaurus Installation de Docusaurus Création du site avec Docusaurus Structure d’un site Docusaurus Lancement local Création d’un certificat local Définir des variables du projet avec direnv Lancement du site en local Personnalisation de Docusaurus Modification du Nom et de la description Modification de la barre de navigation Modification du pied de page Modification du style de votre site Docusaurus Modification de la page d’accueil de Docusaurus Gestion des pages de documentation Classement des sections de la documentation Entête (frontmatter) des fichiers de documentations Ecrire un Blog avec docusaurus L’entête des pages de blog de Docusausrus Liste des auteurs Plus loin Introduction Vous devez écrire, maintenir et publier une documentation sur votre produit ?

Table des matières Introduction Installation de Gitlab sur le homelab Modification du Vagrantfile Test de la connexion à gitlab avec le compte créé Plus loin Introduction On continue l’exploration de la sécurisation de notre serveur Gitlab. Maintenant que notre IDP, FreeIPA en l’occurrence, fonctionne, voyons comment installer Gitlab et comment le connecter à l’IDP. Installation de Gitlab sur le homelab Modification du Vagrantfile Je vais continuer à travailler sur le [fichier Vagrantfile du serveur d’IDP FreeIPA(/post/gitlab-secure-server-freeipa.

Table des matières Introduction Démarche d’automatisation de l’installation de FreeIPA Ecriture du Vagrantfile Ecriture du playbook pour installer FreeIPA Plus loin Introduction Je vais poursuivre mes billets sur la sécurisation de la supply chain. Dans ce billet, je vous propose de monter un IDP pour pouvoir mettre en place le principe de moindre privilège sur notre futur serveur Gitlab. Démarche d’automatisation de l’installation de FreeIPA Toujours le même principe.

!!!! Changer le titre et la description La lecture de ce billet du blog d’eleven labs m’a donné l’idée de le décliner sur le développement à base de code d’infrastructure (Ansible, Terraform, Puppet, Pulumi, Crossplane …). Pourquoi ? Parce que je vois trop souvent mis de côté au nom de l’agilité, de la rapidité et de la simplicité de mise en œuvre tout un ensemble de bonnes pratiques. Dans un premier temps, je vais définir ce qu’est une dette technique, puis énumérer les différents types de dettes, et pour en finir certaines causes.

Il y a un an, je vous présentais R2DevOps, un outil de gestion des templates de pipeline CI/CD de Gitlab. Un an après, et à l’occasion d’une nouvelle mission où je suis Lead Tech ‘Méthodologies et Conformité’, j’ai l’occasion de l’ajouter à la stack d’outils de l’usine logicielle. Cela m’a permis de voir que R2Devops a beaucoup évolué ! Table des matières Maintenabilité du code des pipelines Conformité du code des pipelines Problème de Sécurité du code des pipelines Et les runners ?

Table des matières Introduction Quelques conseils et règles Les accès au gestionnaire de versions de code Ne pas exposer publiquement son gestionnaire de versions de code ? Limiter l’accès à des adresses IP spécifiques Désactiver l’auto-enregistrement Renforcer les méthodes d’authentification Utiliser un gestionnaire d’identités externe Activer l’authentification à deux facteurs Gérer le départ de vos utilisateurs Principe de moindre privilège Mettre en place un outil d’audits des comptes et des accès Les accès aux projets Protection de la branche principale Auditer les activités sur vos projets Signer les commits Stockage des secrets Pour les serveurs de gestion de versions de code auto-hébergés Durcir la configuration des serveurs Activer la journalisation des activités Mettre à jour régulièrement votre gestionnaire de code Plus loin Je continue mon étude de la sécurisation de la supply chain.

Table des matières Installation de kind Configuration kind pour ajouter un serveur d’ingress Déploiement du service rekor Installation de la CLI Rekor Signature de l’image avec Cosign avec notre serveur Rekor Vérification de la signature Conclusion Hier, je vous ai présenté comment utiliser cosign pour signer et vérifier vos images Docker. Par contre, j’avais désactivé le stockage des preuves de signature dans le serveur de transparence rekor publique.

Table des matières Introduction Installation de Cosign Signatures de nos artefacts Création des clés Création de l’image Signature de l’image Récupération des informations sur la signature Vérification de la signature de l’image Attachement de la SBOM Vérification de l’attestation Plus loin Dans le billet précédent, j’avais introduit la notion de sécurisation de la chaine d’approvisionnement logiciel et surtout pourquoi il est important de la mettre en place.

Table des matières Introduction Un exemple d’attaque de la supply chain Quelles solutions pour y répondre ? Supply chain Levels for Software Artifacts Quelles attaques corrige le framework SLSA ? Et en Europe ? Conclusion Liens S’il est un sujet qui me tient à cœur, c’est bien la sécurité. Combien de fois, je vois sacrifier la sécurité au nom de la vélocité ou de la fainéantise.

Table des matières Introduction Les spécifications de Wolfi OS Construction des images avec un Dockerfile On utilise apko et melange Et les vulnérabilités ? Conclusion Introduction Les concepteurs de Wolfi OS, porté par la société Chainguard se sont fixé comme objectif de produire des images de conteneurs qui répondent aux exigences de sécurité. Par exemple les images officielles ne doivent contenir aucune vulnérabilité critique connue.

Table des matières Qu’est ce que le Platform Engineering ? Retour sur le DevOps Les anti patterns du Devops Le Platform Engineering c’est… Comment démarrer ? Conclusion Après DevOps, Site Reability Engineering, voilà qu’on nous parle de Plateform Engineering. Mais de quoi s’agit-il ? Qu’est ce que le Platform Engineering ? Je vais m’appuyer sur le site de la communauté platformengineering.org Voici la définition qu’on y retrouve : “Platform engineering is the discipline of designing and building toolchains and workflows that enable self-service capabilities for software engineering organizations…”

A l’image d’asdf, aqua est un nouvel outil permettant d’installer de très nombreux outils. Pa exemple, vous travaillez pour un client qui utilise Kubernetes 1.27 et Terraform 1.5.0. Ensuite, on vous met sur un nouveau projet client qui lui utilise Kubernetes 1.25 et Terraform 1.3.6. Si vous ne gérez pas vos versions correctement cela peut vite tourner au drame avec des incompatibilités ou du code non pris en charge au moment de la livraison de celui-ci.