Bulletin Technique & Stratégique – SNCF

(Novembre 2025) À l’attention des Business Managers

Synthèse Exécutive

La SNCF (via son équipe technique dirigée par Allan Trivoallan) utilise un écosystème technologique avancé centré sur Kubernetes, Talos, ArgoCD, GitLab, Azure/AWS, et des outils de sécurité comme Trivy et Cyberwatch. Ce bulletin met en lumière les évolutions récentes, les risques potentiels, et les opportunités commerciales pour anticiper les besoins du client et proposer des solutions adaptées.

1. Évolutions Technologiques Clés

🔹 Kubernetes & Talos (Orchestration & Sécurité)

Nouveautés et Impacts

• Talos 1.12.0-beta.0 (14/11/2025) :

  • Nouveaux types de volumes (bind, disk) pour une gestion plus flexible du stockage.
  • Chiffrement des disques : Configuration avancée des PCRs (Platform Configuration Registers) pour le TPM, améliorant la compatibilité avec les systèmes utilisant UEFI Secure Boot.
  • Intégration de nftables dans le rootfs pour supporter les CNIs (ex: Cilium).
  • Optimisations I/O : Prise en charge du userfaultfd et du VDPA (virtio-data-plane) pour améliorer les performances réseau.
  • Gestion des certificats : Rechargement dynamique des certificats TLS (sans redémarrage).
  • Compatibilité étendue : Support de RISC-V64 et améliorations pour ARM64 (VMWare, AWS Graviton).

  → Opportunités :

  • Proposer des audits de sécurité pour valider la configuration des PCRs et du chiffrement.
  • Accompagner la migration vers Talos 1.12 (sortie stable prévue début 2026) avec des formations sur les nouvelles fonctionnalités (ex: volumes bind pour les workloads légers).

• Talos 1.10.8 (18/11/2025) :

  • Corrections de bugs critiques (ex: gestion des ports éphémères pour apid et trustd).
  • Mise à jour de containerd v2.0.7 et du noyau Linux 6.12.58.

  → Risque :

  • Les clusters sous Talos 1.10 doivent être mis à jour vers 1.10.8 pour éviter des vulnérabilités (ex: CVE liées à containerd).

• AKS (Azure Kubernetes Service) :

  • Pod CIDR Expansion (en preview) : Permet d’étendre dynamiquement les plages d’IP des pods pour les clusters larges.
  • eBPF pour le routage hôte (preview) : Améliore les performances réseau en réduisant la latence.
  • Agent AI pour le diagnostic (preview) : Utilise l’IA pour analyser les logs et identifier les problèmes dans les clusters.

  → Action :

  • Évaluer avec la SNCF l’adoption de ces fonctionnalités pour optimiser les coûts (ex: réduction des nœuds grâce à une meilleure gestion des IP) et améliorer la résilience.

🔹 GitLab & CI/CD

Nouveautés

• GitLab 16.8+ (via les feeds suivis) :

  • Améliorations de GitLab Copilot :
    • Intégration avec VS Code pour l’assistance AI dans le développement (ex: génération de schémas de base de données).
    • Modernisation des applications : Outils pour migrer vers des conteneurs et accélérer l’adoption d’Azure (ex: analyse automatique des dépendances).
  • Sécurité :
    • Détection des vulnérabilités dans les pipelines via GitLab Advanced Security (intégration avec Trivy).

  → Opportunités :

  • Proposer un atelier sur l’intégration de GitLab Copilot pour les équipes DevOps de la SNCF.
  • Auditer les pipelines CI/CD pour identifier les risques de sécurité (ex: fuites de secrets, dépendances vulnérables).

🔹 Azure (Cloud & Sécurité)

Nouveautés Critiques

1. Azure SQL & PostgreSQL :

   • PostgreSQL 18 : Support généralisé sur Azure avec mise à niveau in-place (sans changement d’endpoint).
   • Vector Indexing (DiskANN) : En preview pour les recherches vectorielles (idéal pour l’IA et les recommandations).
   • Immutabilité des backups : Protection contre les ransomwares en empêchant la suppression des sauvegardes.

   → Impact :

   • La SNCF utilise Azure SQL Managed Instance : Évaluer la migration vers PostgreSQL 18 pour bénéficier des performances améliorées.
   • Opportunité : Proposer une solution de sauvegarde immutable pour les données critiques (ex: horaires des trains).

2. Azure Container Apps :

   • Dynamic Shell Sessions (preview) : Permet d’exécuter des commandes dans un conteneur éphémère pour le débogage.
   • Rule-Based Routing (GA) : Simplifie l’architecture microservices (ex: A/B testing).
   • Premium Ingress (GA) : Scalabilité personnalisable pour les applications à fort trafic.

   → Action :

   • Identifier les applications SNCF pouvant bénéficier du routing basé sur des règles (ex: gestion des réservations).

3. Sécurité & Observabilité :

   • JWT Validation dans Application Gateway (preview) : Authentification au niveau du gateway avant d’atteindre les backends.
   • Azure Copilot Observability Agent (preview) : Agent IA pour détecter les anomalies dans les logs et métriques.
   • Azure Monitor :
     • Alertes dynamiques pour les logs (seuils calculés automatiquement).
     • Visualisations OpenTelemetry (preview) pour une observabilité unifiée.

   → Risque :

   • La SNCF doit mettre à jour ses politiques de sécurité pour intégrer ces nouvelles fonctionnalités (ex: JWT validation pour les APIs publiques).

4. Azure Site Recovery :

   • Failback vers Hyper-V : Permet de revenir sur site après un failover vers Azure.
   • Support des mises à jour majeures Linux (ex: RHEL 8 → 9) sans interruption de la réplication.

   → Opportunité :

   • Proposer un plan de reprise d’activité (PRA) optimisé utilisant ces nouvelles capacités.

🔹 Sécurité & Conformité

Harbor (Registry de Conteneurs)

• Harbor 2.14.1 (24/11/2025) :

  • Améliorations du proxy-cache : Synchronisation avec les registres amont (ex: suppression des artefacts locaux si supprimés en amont).
  • Replication unique active : Évite les conflits lors des réplications parallèles.
  • Scan des artefacts : Support de fixVersion dans les rapports CVE et optimisations pour les artefacts non scannables.
  • Gestion des logs : Option pour désactiver les logs d’audit en base de données (utile pour les environnements haute performance).

  → Action :

  • Auditer la configuration Harbor de la SNCF pour s’assurer que les scans de vulnérabilités sont activés et que les réplications sont optimisées.

Trivy (Scan de Sécurité)

• Trivy 0.67.2 (10/10/2025) :

  • Corrections de bugs dans la détection des CVE et l’intégration avec les registres.
  • Amélioration des performances pour les scans de conteneurs.

  → Risque :

  • Vérifier que la SNCF utilise la dernière version de Trivy pour éviter les faux négatifs dans les scans.

Redis (Base de Données)

• Redis 8.4.0 (20/11/2025) :

  • Nouveaux commandes :
    • DIGEST/DELEX : Comparaison et suppression atomique de clés.
    • MSETEX : Définition multiple de clés avec expiration.
    • FT.HYBRID : Recherche hybride (vectorielle + texte) pour les moteurs de recommandation.
  • I/O Threading : Amélioration des performances (jusqu’à +30% pour les workloads cache).
  • Sécurité : Correction de vulnérabilités critiques (ex: CVE-2025-62507 dans XACKDEL).

  → Opportunités :

  • Proposer une mise à jour vers Redis 8.4 pour les applications SNCF utilisant Redis (ex: gestion des sessions, cache).
  • Atelier sur FT.HYBRID pour les équipes data science (recherche avancée dans les données trains).

🔹 Terraform (Infrastructure as Code)

• Terraform 1.15.0-alpha (19/11/2025) :

  • Nouveautés :
    • List Resources : Requêtes sur l’infrastructure existante (ex: lister toutes les VMs Azure matching un tag).
    • Commande terraform query : Interrogation directe des ressources cloud.
    • Actions blocks : Permet de définir des actions impératives (ex: invoquer une Lambda AWS après un terraform apply).
  • Améliorations :
    • Support des backends dans les tests Terraform (pour conserver l’état entre les exécutions).
    • Cleanup automatique des ressources de test.

  → Impact :

  • La SNCF utilise Terraform pour gérer son infrastructure multi-cloud : Former les équipes à ces nouvelles fonctionnalités pour simplifier la gestion des ressources.

2. Risques & Alertes

3. Opportunités Commerciales

📌 Offres à Proposer

1. Migration vers Talos 1.12 :

   • Atelier : "Nouveautés Talos 1.12 : Volumes bind, chiffrement TPM avancé, et observabilité".
   • Service : Audit de sécurité des clusters existants + plan de migration.

2. Optimisation Azure :

   • Workshop : "Azure Container Apps & Rule-Based Routing pour les microservices SNCF".
   • Solution clé en main : Déploiement de Azure Copilot Observability Agent pour une détection proactive des anomalies.

3. Modernisation des Bases de Données :

   • Proof of Concept (PoC) : Migration de Azure SQL vers PostgreSQL 18 avec vecteur indexing pour l’IA.
   • Formation : "Redis 8.4 pour le cache et la recherche hybride".

4. Sécurité & Conformité :

   • Audit Harbor/Trivy : Vérification des scans de vulnérabilités et configuration des réplications.
   • Plan de Sauvegarde Immutable : Intégration avec Azure Backup pour protéger contre les ransomwares.

5. Terraform Avancé :

   • Formation : "Terraform 1.15 : List Resources et Actions Blocks pour une IaC dynamique".
   • Service : Refactoring des modules Terraform SNCF pour utiliser les nouvelles fonctionnalités.

4. Roadmap & Anticipation

5. Recommandations Stratégiques

1. Prioriser la Sécurité :

   • Mettre à jour Talos, Redis, et Harbor pour corriger les vulnérabilités critiques.
   • Auditer les pipelines GitLab et les registres de conteneurs avec Trivy.

2. Capitaliser sur l’IA et l’Observabilité :

   • Déployer Azure Copilot Observability Agent pour une détection proactive des incidents.
   • Explorer Redis FT.HYBRID pour les moteurs de recherche SNCF (ex: horaires, offres).

3. Optimiser les Coûts Cloud :

   • Utiliser AKS Pod CIDR Expansion pour réduire le nombre de nœuds.
   • Migrer vers PostgreSQL 18 sur Azure pour des coûts réduits et des performances améliorées.

4. Former les Équipes :

   • Organiser des ateliers sur Talos 1.12, Terraform 1.15, et GitLab Copilot.
   • Sensibiliser aux bonnes pratiques de sécurité (ex: immutabilité des backups, JWT validation).

6. Prochaines Étapes

• Réunion de Cadrage : Présenter ce bulletin à l’équipe technique SNCF (Allan Trivoallan) pour valider les priorités.
• Proposition Commerciale :
  • Pack "Migration Talos 1.12" (audit + formation + support).
  • Pack "Modernisation Azure" (optimisation AKS + observabilité).
• Calendrier :
  • Décembre 2025 : Audit initial et plan d’action.
  • Q1 2026 : Déploiement des mises à jour critiques (Talos, Redis, Harbor).

📌 Contactez-nous pour organiser une revue détaillée avec vos équipes techniques ! Document généré le 25/11/2025 – À réviser mensuellement.