模拟考试第 3 部分：安全性、治理与成本

欢迎参加模拟考试第 3 节：安全性、治理和成本。该领域约占 AZ-900 考试分值的 30–35%，涵盖 Entra ID、云安全中心、Azure Policy、资源锁、成本工具和 SLA。由于容易混淆服务名称以及细微差异，这是考生最常失分的领域。请为本节安排18–20 分钟。回答前请仔细阅读每个场景。

场景：一名云管理员希望使用一个仪表板查看所有 Azure 订阅的整体安全运行状况，其中包括按优先级排列的建议，以及用于表示环境遵循安全最佳实践程度的数值分数。哪项 Azure 服务可以提供这些功能？

A) Microsoft Defender for Cloud（安全分数） — B) Microsoft Sentinel — C) Azure Policy — D) Azure 顾问

答案：A — Microsoft Defender for Cloud（安全分数）。Defender for Cloud 汇总安全建议，并提供百分比形式的安全分数。Microsoft Sentinel 是用于威胁检测和事件响应的 SIEM，而不是安全态势评分工具。Azure Policy 强制执行治理规则，但不提供安全分数。Azure 顾问包含安全支柱，但其侧重点不如 Defender for Cloud。关键信号：“数值安全分数 + 建议” → Defender for Cloud。

场景：一家公司希望员工使用企业凭据登录一次，随后即可访问 Microsoft 365 和 Salesforce，而无需再次输入凭据。他们应该配置 Entra ID 的哪项功能？

A) 单一登录（SSO） — B) 多重身份验证（MFA） — C) 条件访问 — D) B2B 协作

答案：A — 单一登录（SSO）。Entra ID SSO 允许用户完成一次身份验证后访问多个集成应用程序，而无需重新输入凭据。MFA 会增加第二个身份验证因素，但不会减少跨应用程序的身份验证提示。条件访问会评估登录信号，并与 SSO 一起强制执行策略，但它本身不是 SSO。B2B 协作面向外部合作伙伴用户，而不是内部员工。关键信号：“登录一次，无需再次验证即可访问多个应用” → SSO。

场景：一家企业希望确保在所有订阅中，任何 Azure SQL 数据库都不能在美国东部和美国西部以外的区域创建。必须在资源创建时拒绝不合规区域中的资源，而不能仅将其标记出来。他们应该使用哪项 Azure 治理工具？

A) Azure Policy（拒绝效果） — B) 资源锁 — C) Azure 蓝图 — D) Azure 顾问

答案：A — 使用带有拒绝效果的 Azure Policy。带有拒绝效果的 Azure Policy 会阻止违反策略规则的资源创建。在管理组范围分配策略，可确保其覆盖所有子订阅。资源锁可以防止删除或修改现有资源，但无法阻止在错误区域创建新资源。蓝图可以打包 Policy 分配，但真正执行强制措施的是 Policy 本身。关键信号：“在创建时拒绝” → Azure Policy，拒绝效果。

场景：一家公司尚未部署任何 Azure 资源。其 CFO 希望在项目确定之前，估算在美国东部运行 2 台 VM、1 个 Azure SQL 数据库和 1 个负载均衡器的月度成本。他们应该使用哪项工具？

A) Azure 定价计算器 — B) Azure 成本管理 — C) TCO 计算器 — D) Azure 顾问

答案：A — Azure 定价计算器。定价计算器可以在部署前估算拟议架构的月度成本。Azure 成本管理用于监控已经部署资源的实际支出。TCO 计算器用于比较本地成本与 Azure 成本，适用于迁移业务论证，而不是评估新架构。Azure 顾问会针对现有资源提供建议，而不是估算尚未部署服务的成本。关键信号：“尚未部署，在确定项目前进行估算” → 定价计算器。

场景：一家公司使用 Azure 应用服务（SLA：99.95%）和 Azure SQL 数据库（SLA：99.99%）部署 Web 应用程序。两项服务都必须可用，应用程序才能正常运行。组合 SLA 是多少？

A) 约 99.94% — B) 99.95% — C) 99.99% — D) 100%

答案：A — 约为 99.94%。当两项服务都必须可用（AND 关系）时，组合 SLA = SLA1 × SLA2 = 0.9995 × 0.9999 = 0.99940005 ≈ 99.94%。增加依赖项总会使组合 SLA降低到低于任一单独 SLA 的水平。因此，要维持高可用性目标，就需要冗余（可用性区域、多区域）。OR 关系则会提高组合 SLA。请记住这个公式，以备考试使用。

测试您对本课程中 Microsoft Azure 基础知识（AZ-900）概念的理解。

在本节中，您练习了：用于评估安全态势的Defender for Cloud 安全分数、用于跨多个应用单一登录的SSO、用于阻止创建不合规资源的Azure Policy 拒绝效果、用于部署前成本估算的Azure 定价计算器，以及用于具有 AND 依赖关系的服务的组合 SLA 乘法计算。请重新学习相应课程，以复习答错的问题。接下来：最后一课将复盘您的得分，并制定有针对性的补强计划。