Contexte : Mise en production et infogérance complète de l'application Moomoo Café. L'enjeu était de proposer une architecture robuste, capable de cloisonner les données sensibles (espaces entreprises et employés) tout en garantissant un accès chiffré via Internet.

Architecture Conteneurisée (3 Conteneurs)

• Conteneur 1 (Reverse Proxy Traefik) : Point d'entrée unique exposé sur les ports 80/443. Il intercepte les requêtes web, gère automatiquement le renouvellement des certificats SSL (Let's Encrypt), et route le trafic de manière sécurisée vers le frontend.
• Conteneur 2 (Application Web) : Héberge la logique de l'application (Frontend/Backend). Il est isolé d'Internet et n'est accessible que par Traefik via un réseau Docker privé.
• Conteneur 3 (Base de données MariaDB) : Stocke les identifiants, les données des employés et les configurations des entreprises. Ce conteneur n'a aucune exposition externe (pas de port binding 3306 sur l'hôte). Il communique exclusivement avec le conteneur applicatif via le réseau interne Docker, garantissant une sécurité "Zero Trust" depuis l'extérieur.

Contexte : Le S.I. présentait des vulnérabilités critiques avec un score PingCastle de 100/100 sur les comptes à privilèges, dû à une utilisation généralisée des droits administrateurs locaux. L'objectif était de mettre l'infrastructure en conformité avec les guidelines de sécurité du groupe (Zero Trust, Modèle de Tiering).

Réalisations Techniques :

• Gestion des Privilèges (PAM) : Révocation totale des droits administrateurs locaux sur l'ensemble des postes. Déploiement par GPO et MDT de la solution Admin By Request pour permettre une élévation de privilèges temporaire, soumise à validation et entièrement journalisée.
• Hardening Active Directory : Implémentation de l'architecture de Tiering (Tier 1-0 pour les serveurs/AD, Tier 2 pour la bureautique). Nettoyage en masse des attributs SIDHistory obsolètes via scripting PowerShell (188 objets traités). Le score PingCastle a été drastiquement réduit de 100 à 5.
• Station Blanche d'Administration : Déploiement d'une VM d'administration dédiée. Isolation réseau stricte via FortiGate (blocage total de l'accès à Internet). Sécurisation du flux entrant via GPO : activation du RDP sur un port personnalisé et blocage du port standard.
• LAPS : Préparation du déploiement de Microsoft LAPS pour la rotation automatisée des mots de passe des comptes administrateurs locaux.

• Migration de l'interconnexion réseau européen des branches du groupe d'une technologie MPLS vers des liens SD-WAN sécurisés dans un but d'optimisation et d'uniformité.
• Amélioration de la résilience réseau et réduction globale des coûts d'infrastructure télécom.
• Migration préalable des outils bureautiques Office 365 depuis le tenant global vers le tenant européen pour assurer la conformité RGPD.

• Remplacement en urgence d'un serveur physique vieillissant gérant le système de badgeage.
• Externalisation de la sauvegarde existante, création d'une nouvelle Machine Virtuelle et restauration complète de l'environnement de production.
• Création et implémentation d'un VLAN isolé spécifiquement dédié pour assurer l'étanchéité du réseau.
• Développement et adaptation d'un script Python permettant l'export régulier (chaque minute) d'un fichier de présence vers des tablettes distantes situées sur le même réseau isolé.

• Migration de l'ensemble du parc bureautique, serveurs (Windows et Linux) et contrôleurs de domaine vers la solution EDR Trend Micro Deep Security pour répondre aux exigences de défense proactive.
• Installation, configuration et mise en production d'un serveur Microsoft WSUS (rôles, groupes d'ordinateurs).
• Création de stratégies de groupe (GPO) granulaires pour centraliser et automatiser le déploiement des correctifs de sécurité (séparation des politiques postes clients / serveurs).

• Pilotage d'une réunion COPIL pour définir et expliquer l'implémentation de la méthode de sécurité Microsoft AGDLP.
• Communication avec l'ensemble des managers de chaque service pour repenser et concevoir l'arborescence des données.
• Création des répertoires, des groupes globaux et des groupes de domaine local, et attribution sécurisée des droits d'accès sur les dossiers partagés.

• Nettoyage complet et repérage systématique des branchements et identification des ports sur les commutateurs réseau.
• Implémentation d'une nouvelle organisation physique : gestion stricte des câbles, codes couleurs et étiquetage réseau standardisé.
• Mise en place d'un ATS (Automatic Transfer Switch) et de 2 ePDUs pour garantir la continuité de l'alimentation électrique.
• Repositionnement des équipements critiques basé sur une analyse stricte de gestion des risques physiques.

• Revue et reconfiguration de l'outil ITSM GLPI incluant la refonte des entités, la création de SLA (Service Level Agreements) et la définition de gabarits de tickets récurrents.
• Mise en place des procédures de "Changements", refonte de la base de connaissances et ouverture officielle du portail GLPI en libre-service pour les utilisateurs.
• Élaboration d'un catalogue de services complet en collaboration avec le DSI de transition, incluant la documentation des opérations de niveau 1 et 2.
• Augmentation de l'indicateur de taux de couverture de la documentation de 35% à 75%.