Conception et déploiement d'une infrastructure Open-Source sécurisée

Ce projet d'infrastructure sécurisée s'appuie exclusivement sur des solutions Open-Source pour répondre aux exigences modernes de sécurité et de souveraineté numérique. Déployée sur un hyperviseur Proxmox VE, l'infrastructure isole les flux via un cloisonnement réseau rigoureux (LAN, Server, DMZ), sécurise les accès distants via WireGuard, et centralise l'authentification et les habilitations grâce au couplage de FreeIPA et Keycloak.

Le défi et la philosophie

Le défi consistait à bâtir une infrastructure d'entreprise résiliente, modulaire et hautement sécurisée, en appliquant le principe du moindre privilège. Le choix d'une philosophie 100 % open source garantit la transparence du code, l'absence de vendor lock-in (dépendance exclusive à un fournisseur) et le respect de la souveraineté des données.

Architecture réseau et interconnexion

Pour étanchéifier les environnements, un découpage en zones (VLANs) a été mis en place : LAN Client : Pour les postes utilisateurs. LAN Server : Zone interne isolée accueillant les contrôleurs et bases de données. DMZ (Zone Démilitarisée) : Pour les serveurs exposés à l'extérieur. L'accès d'administration à distance est sécurisé par un tunnel VPN WireGuard chiffré, performant et à faible surface d'attaque.

Systèmes de base et gestion des identités

Le cœur de l'infrastructure repose sur le déploiement de serveurs d'entreprise Rocky Linux. La gestion des utilisateurs et des machines est centralisée via FreeIPA (implémentant LDAP/Kerberos, DNS et PKI). Pour la brique applicative, Keycloak a été adossé à FreeIPA pour fournir une solution moderne d'Identity and Access Management (IAM), permettant le Single Sign-On (SSO) et le chiffrement des sessions utilisateurs.

Conteneurisation et micro-services

Toujours dans cette optique open-source et sécuritaire, le déploiement des applications métiers se fait par conteneurisation sous Podman. Contrairement à Docker, Podman fonctionne en mode rootless (sans démon privilégié), réduisant drastiquement les risques d'élévation de privilèges en cas de compromission d'un conteneur.

Documentation technique

Conformément aux exigences de l'épreuve E6, l'intégralité des procédures d'installation, les fichiers de configuration (règles de pare-feu, conteneurs Podman) et la cartographie réseau ont fait l'objet d'une documentation technique rigoureuse pour garantir la reproductibilité et la maintenabilité de l'infrastructure.

Ce que j'ai appris

Ce projet m'a apporté une vision globale de la gestion d'infrastructure moderne. J'ai renforcé mes compétences en administration système Linux avancée, en routage/pare-feu et en gestion des identités à l'échelle d'un réseau d'entreprise. Ce projet m'a permis de valider les compétences suivantes : Protéger les données à caractère personnel (RGPD) Vérifier le respect des règles d'utilisation des ressources numériques Gérer des sauvegardes et assurer la continuité de service Évaluer et maintenir la sécurité des accès et des systèmes Documenter les architectures et les procédures de déploiement