阿里云ACP云安全备考指南：责任共担、安全组与核心产品解析

1. ACP的云安全10%：看着不起眼，却是最容易拉开差距的部分

1.1 考题不是独立章节，而是“撒”在整张卷子里

ACP考试大纲里明确写着云安全占比10%，但真翻开模拟题你会发现，几乎没有哪个章节会大大方方标注“云安全”三个字。它更多是以场景题的形式出现：描述一个运维场景，问你怎么配安全组；给一个业务被攻击的案例，让你选该上什么产品；或者给你一个权限管理需求，让你判断正确的授权方式。

这种考法很考验人。它意味着你不能只背安全概念，你得把安全和ECS、SLB、VPC这些具体产品揉在一起理解。我见过不少人复习时图省事，只看安全那章的概览，结果遇到结合负载均衡或对象存储的场景题就发懵。10%的比例看起来不大，但一张卷子一百多道题，安全题能碰到十来道，分布在卷子中后段——那时候人已经答得有点疲惫，很容易凭“印象”选错。

1.2 云安全是性价比最高的“救命分”

ACP考试对分数的要求很明确，差几分没过线的例子我见了太多。如果你目标是擦线过，把安全这10%答好比死磕某些计算题划算得多。原因是云安全题目结构相对固定：不搞复杂计算，不烧脑推演，核心就是考责任模型的理解、产品边界的区分、安全配置的常识。你只要把几个产品的职责边界理清楚，拿分效率比网络部分高出一大截。

我身边有个非常典型的例子：备考时把大量时间砸在ECS实例规格和网络配置细节上，安全部分靠考前一天突击，结果在“DDoS基础防护默认额度是多少”“WAF能防哪些攻击”这类送分题上连续翻车。反过来，另一个朋友花了一个完整下午把安全产品线整理成表，这部分直接拿下八成以上分数。差别不在于智商，而在于有没有把“安全”当成一个可以系统化准备的模块。

2. 责任共担模型：能帮你解决一半选择题的底层逻辑

2.1 一句话理解“谁管什么”

阿里云安全体系的第一课，永远从责任共担模型开始。这个模型解决一个问题：系统里出了安全事件，责任到底算谁的。

物理机房、服务器硬件、底层虚拟化、物理网络设备，这些属于平台责任。普通用户碰不到也管不着，平台会保证这些基础设施的可用性和安全，硬件故障、物理机被入侵、底层的网络设备被攻击，都是平台兜底。

但从你买了一台云服务器开始，往上的操作系统补丁、软件环境、应用代码、数据库账号、访问权限、安全组规则、数据加密，全部属于租户责任。这句话几乎是考试里的“标准答案”，反着考、正着考、换着场景考，怎么变都离不开它。

打个比方你就懂了：平台相当于小区的物业，负责楼道照明、门禁、外墙维护这些公共部分；但你家里怎么装修、要不要装防盗门、出门有没有锁门，那是你自己的事。物业不会进屋帮你锁门，也不会替你决定窗户要不要加防盗网。

2.2 考题常挖的三个“责任坑”

考试特别喜欢在这些责任边界上埋坑，我总结了三个高频陷阱：

第一个坑是操作系统漏洞修复。题目说“服务器被入侵了，平台应该负责”，判错。操作系统层属于租户责任，因为你有管理员权限，只有你能决定什么时候打补丁、打哪些补丁。平台能提供漏洞扫描和修复建议，但执行动作在租户侧。

第二个坑是虚拟化逃逸。题目问“底层虚拟化被攻击是谁的责任”，答案是平台。虚拟化层在Hypervisor层级，租户根本无法触碰，这属于平台基础设施安全范畴。

第三个坑是配置错误导致的数据泄露。比如你把对象存储的Bucket设置成公共读，导致数据被爬走——产品是平台的，但权限配置是租户自己做的，责任在租户。对象存储默认是私有读写，改成公共读等于自己打开了门，这个锅甩不到平台头上。

最稳的记忆方式：只要你能在控制台上操作的，默认都是租户责任；你在控制台上根本看不到的底层设施，才是平台责任。这条经验在大多数安全选择题里都通用。

3. 高频安全产品逐个拆解：考试最喜欢考的就是这三类

3.1 云安全中心：主机安全的大集合

云安全中心是ACP安全题里出镜率最高的产品之一，但很多旧模拟题里它叫“安骑士”。名字陌生没关系，记住它的职责就够：主机安全。

它覆盖的能力包括：漏洞扫描与修复、基线合规检查、木马病毒查杀、Webshell检测、异常登录检测、暴力破解拦截、恶意进程识别。考试频率最高的有三个点：

第一，漏洞管理与基线检查。它会扫描云服务器系统层和应用层的漏洞，给出修复建议和风险等级。考试常问基线检查能检查什么——记住关键词：操作系统安全配置合规审计，比如密码复杂度策略、账户锁定策略、内核参数这些。

第二，暴力破解拦截。默认可以检测针对SSH远程登录和RDP远程桌面的暴力破解行为，并且自动阻断攻击来源IP。考试有时候会问“默认拦截多少小时”或者“拦截后怎么解除”，不同版本的参数有细微差别，以官方文档最新数据为准。

第三，Webshell与木马检测。当Web目录出现可疑脚本文件时会触发告警，支持一键隔离。注意：它是检测Webshell，不是防御Web攻击。攻击防护是WAF的活，这两个方向千万别搞混。

考试还喜欢用反向题考你：云安全中心不收集哪些日志？它主要收集操作系统日志、网络连接日志、进程启动日志，但数据库的原始SQL日志它不管，那是数据库审计产品的职责。

3.2 WAF和DDoS高防：攻击到了门口，谁先上

WAF（Web应用防火墙）部署在Web应用前面，主要防护七层应用攻击。考试常考的攻击类型对应关系：

• SQL注入：把SQL命令拼进输入参数，企图操纵后端数据库，关键词是“SQL报错”“数据库被拖”
• XSS跨站脚本：往页面注入恶意脚本偷用户Cookie，关键词是“页面被注入脚本”“浏览器弹窗”
• CC攻击：模拟大量正常用户请求耗尽应用资源，关键词是“应用卡顿”“CPU不高但连接数爆了”
• 恶意爬虫：高频抓取页面内容，关键词是“数据被批量抓取”“流量异常来自同一IP段”

WAF支持通过CNAME方式接入，考试里出现“应用层防护”“SQL注入”“恶意爬虫”关键词，选WAF基本不会错。

DDoS防护则专注网络层和传输层的大流量攻击。这里要记住产品线划分：免费的基础DDoS防护，默认提供一定额度的防护能力；付费的高防服务，通过把流量牵引到高防机房清洗再回源；面向中小企业的原生防护则是直接在入口处清洗。

考试最常考的区分点可以浓缩成两句话：WAF管“精”，管的是应用层恶意请求的特征识别；DDoS高防管“量”，管的是带宽和连接数被洪水流量打满。题目说“带宽被占满”“大量UDP/TCP流量涌入”，选DDoS高防；题目说“SQL注入持续报错”“页面被插入恶意脚本”，选WAF。

这里有个容易被忽略的细节：WAF本身也具备CC防护能力，但如果CC攻击的流量大到把带宽耗尽，那就不是WAF能扛的了，得靠DDoS高防。界限在于“应用层的慢速耗尽”和“网络层的流量洪峰”。

3.3 KMS与数据加密：这一小节搞定数据安全考题

数据加密部分的主角是密钥管理服务KMS。核心概念是主密钥CMK和数据密钥DEK配合使用，叫做信封加密。

信封加密值得花三分钟理解，因为案例题会考。你先生成一个CMK主密钥，由KMS托管；再用CMK去加密一个临时生成的数据密钥DEK；最后用DEK加密真正的业务数据。为什么绕这么一圈？因为直接用主密钥加密大数据量，性能开销太大；而用一次性数据密钥加密业务数据，配合密钥托管，既保证加密强度又解决了性能问题。

对象存储服务端加密、关系型数据库数据加密、云盘加密，都支持与KMS集成。考试里出现“使用KMS管理密钥加密OSS文件”这种描述，你就要有这层映射关系。

证书服务也属于数据安全部分的常见考点，SSL证书用于HTTPS加密。常考的分类是：DV域名型，最快只验证域名所有权；OV企业型，额外验证企业身份；EV增强型，最高级别，浏览器地址栏会显示企业名称。记住“越严越贵”三个档位，这类题基本送分。

4. 安全组与网络隔离：实操题的主战场

4.1 安全组的规则匹配逻辑

安全组本质上是一台云服务器的虚拟防火墙，考试重点在“规则怎么生效”。阿里云安全组的默认策略是：入方向默认拒绝所有流量，出方向默认放行所有流量；规则里主要写允许，通常不需要写拒绝。

这个设计导致一个常见考题：让你拒绝某个IP访问某端口时，正确做法不是“加一条更狠的拒绝规则”，而是“不添加相应的允许规则”或者“添加一条优先级更高、策略为拒绝的规则”。很多人习惯性想“我想让他访问不了，那就写条拒绝”，但安全组的核心思想是白名单——没放行，就是拒绝。

优先级规则要记牢：数字越小优先级越高，数字从1开始递增。当两条规则同时命中时，如果一条允许一条拒绝，显式拒绝默认优先于允许。下面是安全组常考参数对照表，备考直接背：

实操中，用命令行配置安全组也很常见，给你一个放行80端口的参考命令：

# 在安全组sg-abc12345上放行入方向TCP 80端口 aliyun ecs AuthorizeSecurityGroup \ --RegionId cn-hangzhou \ --SecurityGroupId sg-abc12345 \ --IpProtocol tcp \ --PortRange 80/80 \ --SourceCidrIp 0.0.0.0/0 \ --NicType internet

这个命令记不记都行，但你得看懂它在干什么，考试偶尔会在输出方向、端口范围这些参数上做文章。

4.2 VPC隔离、企业安全组与云防火墙

VPC的作用是把云上资源放进一个逻辑隔离的网络空间。考试常见题：两个云服务器要隔离，不能互相访问，选什么方案？答案是利用不同交换机或者配置安全组规则，而不是修改路由表。

企业安全组是比普通安全组更严格的一种，适合承载核心业务，支持更多控制项，比如限制只能通过内网访问、支持更细粒度的会话级管控。考试里出现“核心数据库不能对公网开放”“关键业务需要更严格隔离”这类需求，大概率是在暗示企业安全组。

云防火墙则是多账号、多VPC场景的集中式安全管控产品，可以统一管理东西向流量（VPC到VPC、云服务器到云服务器）和南北向流量（互联网到VPC）。考试里出现“集团多个账号需要统一安全策略”“VPC间流量需要审计和控制”这类描述，选云防火墙。

安全组、企业安全组、云防火墙三者的关系可以这么理解：安全组管单台机器，企业安全组管首核心单机的精细化策略，云防火墙管整张网络拓扑的集中化策略。考试问“单实例”找安全组，问“多账号全网”找云防火墙。

4.3 典型场景题的配置思路

场景一：Web服务器对外提供网站服务。正确做法是入方向放通TCP 80和443端口，来源写0.0.0.0/0；SSH管理端口22只放通公司出口IP，绝不放通全网。很多初学的人图省事把22端口也放通所有来源，实操里这是高危行为，考试里也会反向考你哪条规则有风险。

场景二：数据库服务器（默认端口3306）只允许Web服务器访问。正确做法是入方向放通TCP 3306，授权对象写Web服务器的内网IP。这里有个高级考点：授权对象可以直接填另一个安全组ID，实现安全组级联授权。好处是Web服务器扩容时，新实例只要是同安全组的，自动继承访问数据库的权限。这个知识点超出很多人的认知，是考卷里的拉分题。

场景三：日常运维要封锁某个攻击来源IP。正确做法是添加一条优先级更高的拒绝规则，把攻击IP设为授权对象。这里要特别注意优先级：默认规则是拒绝所有入方向，但你之前可能已经放行了某些端口，攻击IP恰好能通过这些放行端口进来，所以必须用高优先级拒绝规则把它单独堵住。

5. RAM权限与账号安全：送分题和陷阱题并存

5.1 RAM四个核心对象：账号、用户、组、角色

RAM（访问控制）是管理云资源权限的核心服务。核心对象有四个，考试反复围绕它们出题：

• 主账号：注册云平台的账号，拥有全部权限，主账号签发AccessKey是绝对禁忌
• RAM用户：主账号下创建的子账号，被授予特定权限策略，可以创建多个
• RAM用户组：把多个RAM用户归组统一授权，简化管理
• RAM角色：不绑定长期凭证的虚拟身份，通过STS临时凭证代替长期密钥，常用于跨账号授权或授信给云产品

考试最经典的场景是“跨账号访问另一个账号的OSS资源”。正确做法通常是：在目标账号创建角色，源账号用户通过身份切换的方式获得STS临时凭证，而不是把对方的AccessKey直接拿过来用。记住这个原则：跨账号协作一律走角色+临时凭证，共享长期密钥永远是错误答案。

5.2 权限策略的匹配逻辑：显式Deny优先

RAM权限策略核心由四个字段构成：Action（动作）、Resource（资源）、Effect（效果）、Condition（条件）。Effect只有两个值：Allow和Deny。判断逻辑可以浓缩成四句话：

• 有显式Deny，直接拒绝，无论有没有Allow都拦不住
• 没有Deny，再看有没有Allow，有匹配的Allow就放行
• 都没有，最终默认拒绝
• 多个Allow策略之间取并集，但Deny始终覆盖Allow

这里给一个RAM策略示例，JSON格式，方便直观理解：

{ "Version": "1", "Statement": [ { "Effect": "Allow", "Action": ["oss:GetObject", "oss:PutObject"], "Resource": ["acs:oss:*:*:my-bucket/*"] }, { "Effect": "Deny", "Action": "oss:DeleteObject", "Resource": "acs:oss:*:*:my-bucket/*" } ] }

这段策略的意思是：允许对某个Bucket内的对象执行读取和上传，但明确禁止删除。即使后面再加一个“允许所有操作”的策略，删除动作依然被Deny拦死。考试陷阱经常这么出：给用户同时绑定了“允许读写某Bucket”的策略和“管理员全权限”策略，问最终能不能删对象。答案是看有没有Deny，有Deny就不能，没有Deny就看并集——管理员全权限策略包含删除动作，所以能删。

实操上建议坚持最小权限原则：给每个子账号只分配完成工作所必需的最小权限集合，分配完立刻实测，发现权限过大马上收回。考试也默认这个原则是最佳实践，凡是有违这个原则的选项基本都是错的。

5.3 AccessKey管理与MFA强制绑定

AccessKey是调用API的凭证，由AccessKey ID和AccessKey Secret组成。考试高频点非常集中：

第一，主账号不要创建AccessKey。主账号的AK拥有账号下所有权限，一旦泄露，整个账号等于裸奔。正确做法是关闭主账号AK，使用RAM用户创建AK并配合最小权限策略。题目问你“安全的AK管理方案”，这个答案几乎总是对的。

第二，AccessKey Secret只在创建时显示一次，遗忘只能删除重建。考题如果问“AK泄露了怎么办”，第一步操作一定是禁用或删除这个AK，而不是先修改其他配置。这个顺序在场景题里很重要。

第三，MFA多因素认证。开启之后，登录控制台或执行高敏感操作需要额外动态验证码。考试里出现“提高登录安全性”“强制二次验证”这类描述，答案基本都是MFA。它被官方一贯宣传为账号安全的最佳实践，考试出题也从来不绕弯。

6. 常见混淆点与考题速查表

6.1 高频混淆点对照表

备考冲刺期，下面这张表建议直接收藏，进考场前再看一遍都来得及：

这类混淆题想得分，关键不是背产品全称，而是抓住“问题发生在哪一层”。应用层问题找WAF，网络流量问题找DDoS，主机问题找云安全中心，权限问题找RAM，加密问题找KMS。这一条判断链能帮你在拿不准时快速排除一半选项。

6.2 场景题三步答题法

场景题是ACP安全部分的绝对主力，我的解法固定三步：

第一步，圈出受害者。题目说的被攻击对象是云服务器，是Web应用，是数据库，还是整个VPC？受害者类型决定产品归属。

第二步，圈出攻击特征。SQL报错、脚本注入、恶意爬虫、应用卡顿，这些都是应用层特征；带宽被打满、UDP Flood、大流量涌入，这些都是网络层特征。特征决定选WAF还是选DDoS防护。

第三步，圈出操作主体。题目问“你该怎么做”还是“平台会自动怎么做”？前者从租户侧配置入手，后者从平台机制入手。把这三个动作走一遍，大部分场景题都能落到正确选项上。

6.3 最容易错的判断题清单

有些信息安全判断题，看起来像送分题，实际错得人最多：

• “平台会自动帮你修补云服务器系统漏洞”——错，系统漏洞修复需要租户主动执行
• “安全组添加允许规则后，原有的拒绝规则自动失效”——错，显式拒绝优先级高于允许
• “对象存储Bucket默认是私有读写权限”——对，这是默认状态
• “主账号和子账号拥有相同权限”——错，主账号是全权限，子账号受策略限制
• “放通了SLB后端云服务器的80端口，安全组就不用管了”——错，负载均衡转发到后端时仍有安全组规则需要匹配

7. 备考节奏：用最少的精力把10%稳稳装进口袋

7.1 安全部分的复习时间怎么分配

安全部分不需要像ECS那样啃得很深，但也不建议只靠考前一晚上突击。我的建议是在备考中期用一个完整下午集中突破，然后每天用碎片时间刷二十道左右安全相关题目，保持手感。

具体安排可以参考：第一个小时过责任共担模型和数据安全；第二到第三个小时过安全产品线，重点是云安全中心、WAF、DDoS防护、RAM、KMS；第四个小时专门刷安全组相关模拟题；最后一个小时把错题整理成自己的速查表。五个小时下来，这10%的题目基本就能hold住。

需要提醒的是，现阶段官方模拟题的云安全题目数量并不算特别多，所以尽量多找几套不同批次的题库交叉刷，重点观察同一个考点在不同题目里被怎么包装。刷完会发现，出题人翻来覆去考的就二十来个知识点，不存在超纲的意外。

7.2 实操在备考中的分量

备考阶段没必要真的买大量云资源做实验，但下面三次低成本实操非常值得做：在云服务器控制台查看安全组规则，动手修改一条入方向规则并观察生效效果；在RAM控制台创建子账号，绑定一个最小权限策略并测试访问效果；在密钥管理控制台走一遍创建主密钥的流程。这三次实操能把你最抽象的三个考点——安全组规则匹配、权限策略作用、密钥托管逻辑——全部变成具体的操作记忆，性价比极高。

刷题时我建议顺手把每道题错误选项为什么错也标注出来。安全类模拟题的干扰项设计非常套路：无非是把产品职责进行调换，比如把WAF的功能说成防DDoS流量；或者把权限顺序颠倒，比如把Allow说成优先于Deny。这些干扰项刷几轮之后你就会形成条件反射，看到就能秒排除。

7.3 一个很实用的应试经验

我在整理这类认证的过程中发现一个规律：云安全题目的答案，绝大多数倾向“安全优先”的选项。凡是描述里体现最小权限、收紧安全组只放行必要端口、强制开启多因素认证、启用审计日志、使用临时凭证代替长期密钥，这些基本都可以直接视为正确方向。反过来，凡是“为了省事放通全网段端口”“多个账号共用一个访问密钥”“关闭日志审计功能”这类描述，基本都可以直接判错。

这个规律在时间紧张、拿不准具体产品细节时特别管用，能帮你把命中率从碰运气提升到比较有把握。毕竟云安全这门课的底层价值观就是：默认不安全，一切配置都从最小权限和最大可控出发。顺着这个价值观答题，你的思路就和出题人在一个频道上了。