Conception et exploitation d'une plateforme Kubernetes managée pour 12 clients hébergés en datacenter. Les nœuds tournent sur Flatcar Container Linux, provisionnés via Ansible et reliés à des switchs Arista en BGP/EVPN.

Le cycle de vie applicatif suit un modèle GitOps : chaque cluster est réconcilié par Flux depuis un mono-repo GitLab. Cilium assure le réseau et les NetworkPolicies, Cert-Manager génère les certificats, et l'isolation multi-tenant repose sur des namespaces, des RBAC stricts et des quotas.

Résultat : un déploiement client passe de plusieurs jours à moins d'une heure, avec un modèle 100 % reproductible et auditable.

Mise en place d'une stack d'observabilité centralisée agrégeant les métriques de 47 clusters répartis sur GCP, Azure, AWS et OCI, ainsi que sur des sites on-premise (Interxion, Digital Realty).

Chaque site dispose d'un Prometheus local avec un sidecar Thanos qui exporte les blocs vers un bucket S3/GCS. Le Querier Thanos offre une vue globale, le Compactor déduplique sur 13 mois de rétention, et le Ruler évalue les alertes multi-cluster relayées par Alertmanager.

La stack soutient 12 millions de séries actives et alimente une trentaine de tableaux de bord Grafana, avec authentification SSO et droits par tenant.

Suite à un ransomware ayant chiffré l'intégralité du SI d'un retailer (250 serveurs, 2 forets AD), j'ai participé à la reconstruction complète de l'environnement en mode crise pendant plusieurs mois.

Cela a inclus une réinstallation greenfield de l'Active Directory avec un plan de tiering strict, la restauration des bases métier (Oracle, PostgreSQL, MariaDB, Sybase) depuis des sauvegardes off-site, ainsi qu'une nouvelle segmentation réseau Fortinet associée à un déploiement EDR généralisé.

L'expérience m'a appris à garder la tête froide sous pression, à arbitrer rapidement entre vitesse et hygiène, et à documenter rigoureusement chaque changement pour l'audit post-incident.

Mon homelab repose sur trois Mini PC i5 reliés en 10 GbE avec un stockage distribué Ceph. Les VM sont provisionnées par Terraform et Cloud-Init à partir de templates, et un Proxmox Backup Server externe sur ZFS RAID-Z2 garde les sauvegardes dédupliquées.

Une réplication ZFS over SSH vers un site distant assure le PRA. Un test de coupure électrique simulée a validé une reprise en 42 secondes, et la santé de chaque OSD Ceph est surveillée par Zabbix couplé à des scripts Python.

Cet environnement me sert à valider tout ce que je teste avant de toucher à de la production : c'est là que je casse, que j'apprends, et que je recommence.

Pilotage du déploiement d'une solution MDM unifiée pour un client retail multi-magasins : 1100 iPad/iPhone enrôlés sur Workspace ONE UEM Airwatch via Apple Business Manager, et 400 terminaux Android sur TinyMDM.

Définition des profils par métier (caisse, vendeur, manager), pré-provisionnement DEP, restrictions réseau, app catalogue privé et politiques de chiffrement. La supervision quotidienne est assurée via Atera et un tableau de bord Power BI restituant la conformité du parc.

Résultat : 100 % du parc enrôlé en six semaines, et un temps moyen d'on-boarding magasin réduit de moitié.

Conception d'une solution VPN destinée à des collaborateurs répartis dans 14 pays, dont plusieurs soumis à des restrictions d'accès à Internet (DPI, blocage de protocoles).

L'architecture combine Pritunl pour l'orchestration, des concentrateurs WireGuard et OpenVPN multi-PoP (GCP, OCI), et un mécanisme d'obfuscation pour traverser les filtres profonds. L'authentification s'appuie sur un serveur RADIUS centralisé couplé au MFA Azure AD.

Résultat : un accès stable et conforme aux usages locaux, des temps de connexion divisés par trois et un modèle scalable pour ajouter de nouveaux pays sans redéployer de matériel.

Après détection d'une intrusion sur le SI d'un client, j'ai contribué à l'investigation forensique sur 80 endpoints à l'aide de Velociraptor : artefacts personnalisés, hunts ciblés sur les techniques MITRE ATT&CK observées et collecte de timelines.

En parallèle, déploiement d'un EDR (SentinelOne, puis étendu à Microsoft Defender XDR) avec intégration au SIEM. Rédaction de règles de détection sur mesure et tuning des exclusions pour limiter les faux positifs.

L'opération a permis d'identifier le vecteur d'entrée initial, de cartographier les mouvements latéraux et de produire un rapport exploitable par la direction et les assureurs cyber.

Industrialisation d'une chaîne de masterisation Windows 11 pour 200+ caisses et postes de back-office déployés sur trois références matérielles distinctes (Dell, Aures, Oxhoo).

Le master est allégé avec NTLite, scellé via Sysprep, et configuré au premier démarrage par AutoUnattend.xml et un set de scripts PowerShell qui intègrent le poste à l'AD, posent les GPOs nécessaires et installent la suite Microsoft 365. Le déploiement réseau s'appuie sur FOG et Clonezilla en mode multicast.

Résultat : une caisse passée d'une demi-journée à moins de 20 minutes pour être prête, et un master unique réutilisable sur l'ensemble du parc.

Mon environnement personnel auto-hébergé regroupe une quinzaine de services derrière Traefik en reverse proxy : blog Hugo, Nextcloud, Jellyfin pour ma musique Hi-Res, Bookstack pour la documentation, Vaultwarden, Uptime Kuma et un Gitea miroir.

Tout est décrit en Docker Compose et versioné sur un Gitea privé. Un GitLab Runner local déclenche les mises à jour, Restic envoie des sauvegardes chiffrées vers un backend S3, et Authelia ajoute du SSO + MFA à l'ensemble.

C'est aussi le bac à sable où je rédige les tutoriels publiés sur le blog : un cycle utile pour partager mes apprentissages tout en gardant une vraie hygiène d'exploitation.