本文档的用途
本学习指南应帮助你了解考试的预期内容，并包括考试可能涵盖的主题摘要以及指向其他资源的链接。 本文档中的信息和材料可以帮助你在准备考试时集中精力学习。
| 有用链接 | 说明 |
|---|---|
| Microsoft Learn 个人资料 | 通过将认证个人资料连接到 Microsoft Learn，可以安排和续订考试以及共享和打印证书。 |
| 考分和成绩报告 | 需要 700 分或更高的分数才能通过。 |
| 考试沙盒 | 可以通过访问我们的考试沙盒来探索考试环境。 |
| 请求住宿 | 如果你使用辅助设备、需要额外时间或需要修改考试体验的任何部分，你可以申请住宿。 |
关于考试
语言
某些考试已本地化为其他语言。 可以在“考试详细信息”网页的“安排考试”部分找到这些内容。 如果考试不以你的首选语言提供，你可以请求额外 30 分钟时间来完成考试。
注释
每项技能下面的项目符号旨在说明我们如何评估该技能。 考试中可能会涉及到相关的主题。
注释
大多数问题都与一般可用性 (GA) 的功能有关。 如果经常使用预览功能，该考试可能会包含有关这些功能的问题。
测试的技能
受众概况
作为此Microsoft认证的候选者，你是一名安全工程师，通过实施全面的安全控制，主动帮助防止未经授权的访问并降低风险，从而保护跨云和混合环境的组织系统和数据。 角色跨越多个安全域，包括标识、网络、应用程序、数据和计算。 还可以帮助确保安全实现和监视 AI 工作负载使用的平台、数据、标识和基础结构。
在此角色中，你的职责包括：
使用Microsoft Entra ID和Azure 密钥保管库保护对资源的访问。
强制实施安全性和法规合规性。
保护存储、数据库和网络。
保障计算安全。
保护 AI 解决方案。
管理和监视安全状况。
你与负责Azure、Microsoft 365、标识和访问、信息保护、安全操作、DevOps、应用程序开发、数据库平台和网络的架构师、管理员、工程师、分析师和开发人员密切合作。
对于本考试，你应该在管理Azure和混合环境（包括计算、网络和存储）方面具有实践经验。 你需要非常熟悉Microsoft Entra ID，并熟悉Microsoft 365管理。
技能概览
管理身份、访问和治理（20–25%）
保护存储、数据库和网络（25-30%）
安全计算（20-25%）
管理和监视安全状况（20-25%）
管理身份、访问和治理（20–25%）
使用 Microsoft Entra ID 保护对资源的访问
实现和配置 Privileged Identity Management （PIM）
实现条件访问策略
实现和配置身份验证方法，包括多重身份验证（MFA）和无密码
为应用程序（包括企业应用程序和应用注册）实现和配置标识
管理 OAuth 权限授予和许可设置
为Azure资源实现和配置托管标识
使用 Azure 密钥保管库 保护机密和密钥
部署 密钥保管库
配置 密钥保管库 设置
配置对 密钥保管库 的访问权限
在 密钥保管库 上配置防火墙设置
管理密钥、机密和证书
使用 Defender 云安全态势管理 (Defender CSPM) 扫描机密信息
实现 Defender for 密钥保管库
实施治理以强制实施安全性和法规合规性
使用Azure Policy实现和配置安全控制，包括内置策略和自定义策略定义
使用 Microsoft Defender for Cloud 评估法规符合性
在Defender for Cloud中实现和配置安全控制，包括安全标准和建议
实施资源锁
管理 Azure 内置角色分配
管理自定义角色，包括 Azure 角色和 Microsoft Entra 角色
使用Azure基于角色的访问控制（RBAC）评估和修正过度特权访问分配
使用Azure 备份安全功能配置备份保护的安全控制
使用基础结构即代码实现和配置安全控制
保护存储、数据库和网络（25-30%）
实现存储帐户的安全性
实现和配置存储帐户的安全性
配置Azure 存储防火墙规则
实施适用于存储的 Defender 威胁防护配置
管理对存储的访问，包括访问策略
实现数据库的安全性
在 Azure SQL 中实现平台级安全配置
为Azure SQL 数据库和Azure SQL 托管实例配置数据库审核
为 Azure 各数据库服务配置 Defender for Databases 保护
实现Azure网络服务的安全性
实现和管理网络安全组（NSG）和应用程序安全组（ASG）
使用 Azure Virtual Network Manager 实现和配置网络访问策略
为Azure 虚拟 WAN配置安全性
为虚拟专用网络（VPN）连接实现和配置安全性
实现和配置Microsoft Entra 专用访问
配置Azure专用终结点，以保护对 Azure 平台即服务（PaaS）资源的访问
配置Azure 专用链接服务以保护对网络资源的访问
实现和配置Azure 防火墙
使用Azure 网络观察程序诊断评估有效的安全规则
安全计算（20-25%）
实现 AI 安全性
识别 SharePoint 中数据的过度暴露
使用 Microsoft Purview 数据安全状况管理 （DSPM） 识别与Microsoft Copilot和 AI 应用相关的风险
为Microsoft Copilot Studio代理启用和配置实时保护
实现 Microsoft Entra 智能体 ID 的条件访问
使用 Defender XDR 分析爆炸半径，以分析与Entra 智能体 ID相关的安全风险
管理 Entra 智能体 ID 访问权限
在 Azure API 管理 中为 Microsoft Foundry 配置和部署 AI 网关
在 Defender for Cloud 的云工作负载保护中启用 Defender for AI Service
在 Foundry 中为代理安全配置防护栏
使用 Defender for Cloud 中的数据和 AI 安全仪表板监视 AI 安全性
在 Microsoft 365 管理中心 中管理代理
实现服务器和虚拟机（VM）的安全性
实现和配置磁盘加密
规划和实施Azure Bastion
启用并强制使用实时 (JIT) VM 访问
使用 Azure Arc 将安全控制扩展到混合和多云服务器
将服务器加入 Defender for Cloud 中的 Defender for Servers，包括混合和多云应用场景
配置 Defender for Servers 设置，包括漏洞扫描和终结点检测与响应 (EDR)
在 Defender for Servers 中为虚拟机实施和管理无代理扫描
在 VM 上配置安全功能，包括安全启动、虚拟受信任的平台模块 （vTPM）、完整性监视和安全类型
使用 Azure 计算机配置强制执行 Azure 托管的服务器的安全配置
实现应用程序平台服务的安全性
使用容器Defender检测容器工作负荷中的错误配置和运行时风险
为Azure Kubernetes 服务 (AKS)实现和配置安全控制
为Azure 容器注册表实现和配置安全控制
为Azure 容器实例和Azure 容器应用实现和配置安全控制
实现和配置Azure Functions的安全控制，包括身份验证和网络访问
为Azure 逻辑应用实现和配置安全控制
为Azure 应用服务实现和配置安全控制
实现和配置Azure Web 应用程序防火墙
使用 API 管理实现后端 API 保护的安全策略
管理和监视安全状况（20-25%）
使用 Defender for Cloud 管理安全状况
使用 Defender CSPM 识别安全风险
使用 Defender for Cloud 评估安全框架的符合性
启用和配置Defender for Cloud工作负荷保护计划
将混合云和多云环境连接到Defender for Cloud，包括 Amazon Web Services （AWS） 和 Google Cloud Platform （GCP）
为 Azure VM 配置Microsoft Defender 漏洞管理设置
使用 Microsoft Defender 外部攻击面管理 （EASM） 发现未受保护的资产和漏洞
在 Microsoft Sentinel 中实现活动和事件收集
在 Microsoft Sentinel 中创建和连接工作区
在 Microsoft Sentinel 中分配角色
实现和使用内容中心解决方案
为Azure资源配置和使用Microsoft数据连接器
实现和配置 syslog 和通用事件格式 （CEF） 事件集合
使用数据收集规则实现并配置对 Windows 安全事件的收集，包括 Windows 事件转发（WEF）
在工作区中创建自定义日志表，以存储引入的数据
在 Microsoft Sentinel 中实施自动化规则和行动手册
在Microsoft Sentinel数据存储中实现数据保留
在 Defender XDR 中查询 Microsoft Purview 审核
实施 智能 Microsoft Security Copilot 副驾驶®
为Security Copilot配置工作区
在 Security Copilot 中管理权限和角色
启用和配置插件
启用并配置 Microsoft 代理和安全存储代理
学习资源
我们建议你在参加考试之前进行培训并获得实践经验。 我们提供自学选项和课堂培训，以及文档、社区网站和视频的链接。