Microsoft Cybersecurity Architect
225道练习题
最后审核：April 2026
为你的学习之旅记录个人笔记和资源链接
按认证筛选
Microsoft Cybersecurity Architect (SC-100) 是微软的专家级安全认证，验证设计与零信任 (Zero Trust)、微软网络安全参考架构 (MCRA) 和云采用框架 (CAF) 相符的企业级安全策略的能力。它面向高级安全架构师、首席安全工程师、CISO 路线领导者以及负责涵盖身份、基础设施、应用程序、数据和安全运营 (SecOps) 的端到端设计的顾问。考试以场景驱动，要求判断力而非死记硬背：考生必须权衡 Microsoft Entra、Defender XDR、Defender for Cloud、Sentinel、Purview 和 Intune 之间的利弊，并推荐既满足法规、治理和弹性要求又具备安全控制的设计。
设计与零信任原则、MCRA、MCSB (Microsoft Cloud Security Benchmark)、CAF 和 Well-Architected Framework 相符的策略。弹性规划、勒索软件恢复策略和机密计算场景。约占考试的 22% — 是最需要“架构判断力”的领域。
最大领域 (28%)。安全运营中心 (SOC) 工具和流程（Sentinel、Defender XDR、Security Copilot）、身份和访问架构（Entra ID、条件访问、PIM、Entra Permissions Management、Verified ID）的设计，以及 Microsoft Purview 中的合规性和数据治理设计。
同样占 28% 的最大领域。端点、服务器、物联网 (IoT)/运营技术 (OT) 和混合云安全设计。跨多云（Azure、AWS、GCP）的 Defender for Cloud、Defender for Endpoint、Defender for Servers、网络分段以及使用 Azure Key Vault 和 HSMs 进行密钥/秘密管理。
应用程序威胁建模、安全 DevOps 和供应链控制（GitHub Advanced Security、Defender for DevOps）、API 安全、Purview Information Protection 中的数据分类和保护，以及数据库/存储加密策略。约占考试的 22%。
您将在考试中遇到的服务及其重要性。
Microsoft 的参考框架，它假定泄露，并在身份、端点、应用、数据、基础设施和网络中强制执行显式验证、最小权限访问和假定泄露原则。
为什么会出现在考试中： 领域 1（最佳实践和优先级）将每次 SC-100 设计讨论都锚定在零信任上——预计会考察在给定场景中哪些支柱适用。
Microsoft 的图示参考架构，将安全控件（Defender、Entra、Sentinel、Purview、Intune）映射到零信任支柱和混合企业资产上。
为什么会出现在考试中： 领域 1 明确指出 MCRA 是将解决方案与 Microsoft 推荐的安全架构保持一致的视角；考题会引用特定的 MCRA 层。
云身份提供商，具备目录、B2B/B2C、联合身份和风险信号，并与 PIM 结合，实现即时提升、审批工作流和有时限的角色激活。
为什么会出现在考试中： 领域 2（安全运营、身份和合规性）将 Entra ID + PIM 作为设计身份和特权访问策略的架构支柱。
云原生 SIEM 和 SOAR，聚合整个资产的信号，运行 KQL 狩猎查询，并通过基于 Logic Apps 构建的 Playbook 自动化事件响应。
为什么会出现在考试中： 领域 2 考察企业规模的 SIEM/SOAR 策略——Sentinel 是设计安全运营能力、数据驻留和日志摄取架构的指定平台。
跨工作负载的扩展检测和响应平台，将 Defender for Endpoint、Office 365、Identity 和 Cloud Apps 的信号关联起来，形成统一的事件视图。
为什么会出现在考试中： 领域 2 将 Defender XDR 视为涵盖电子邮件、身份、端点和云应用的统一事件管理的架构解决方案。
云原生应用保护平台，结合云安全态势管理 (CSPM) 和跨 Azure、AWS 和 GCP 资源的工作负载保护计划。
为什么会出现在考试中： 领域 3（基础设施安全）以 Defender for Cloud 为核心——考题会考察多云态势、安全分数提升，以及哪个 CWP 计划覆盖哪个工作负载。
统一的数据治理和风险平台，涵盖信息保护、数据丢失防护 (DLP)、内部风险管理、数据生命周期和跨 Microsoft 365 与 Azure 的数据映射沿袭。
为什么会出现在考试中： 领域 4（应用和数据）将 Purview 定义为涵盖整个资产的数据分类、保护和法规遵从性的架构解决方案。
统一的端点管理，可注册和配置 Windows、macOS、iOS、Android 和 Linux 设备，并发出由 Conditional Access 使用的合规性信号。
为什么会出现在考试中： 领域 3 将 Intune 列为设备合规性态势的架构来源，该态势是零信任资源访问决策的门控。
互联网规模地发现组织外部攻击面——暴露的域、证书、IP 和影子资产——并提供优先修复指导。
为什么会出现在考试中： 领域 3 架构工作涵盖攻击面缩减；EASM 是用于清点组织可能未意识到拥有的互联网暴露资产的指定工具。
威胁情报平台，结合 Microsoft 的遥测数据与 RiskIQ 的收购数据，以揭示 IOC、威胁行为者档案和基础设施关联。
为什么会出现在考试中： 领域 2 SOC 架构场景将 Defender TI 作为威胁上下文层，用于丰富 Sentinel 和 XDR 事件分类。
去中心化身份服务，基于 W3C DID 和可验证凭证标准，颁发和验证防篡改的可验证凭证。
为什么会出现在考试中： 领域 2 身份架构问题区分了联合身份和去中心化身份模式；Verified ID 是指定的去中心化选项。
云基础设施授权管理 (CIEM)，映射并合理调整 Azure、AWS 和 GCP 身份的权限，以减少权限蔓延。
为什么会出现在考试中： 领域 2 多云身份场景将 Permissions Management 列为 CIEM 控制，用于设计跨云提供商的最小权限。
托管的有状态网络防火墙服务，通过 Firewall Manager 实现集中策略——Premium 层增加了 TLS 检查、IDPS 和 URL 过滤。
为什么会出现在考试中： 领域 3 边界设计问题将 Azure Firewall + Firewall Manager 作为中心辐射型拓扑和安全虚拟中心的集中网络安全平面。
云访问安全代理 (CASB)，可发现影子 IT，通过 API 连接器治理受批准的 SaaS，并通过 Conditional Access App Control 强制执行会话控制。
为什么会出现在考试中： 领域 4 SaaS 安全架构将 Defender for Cloud Apps 列为 CASB 层，用于补充应用层中的 DLP 和 Conditional Access。
ML 驱动的危险内部活动检测——数据外泄、离职员工盗窃、策略违规——结合匿名调查和与 HR 保持一致的工作流。
为什么会出现在考试中： 领域 4 明确将内部威胁策略作为独立于外部威胁的支柱进行考察；Insider Risk Management 是合规架构中指定的负载。
敏感度标签，具备加密、内容标记和权限强制功能，随文档和电子邮件跨 Microsoft 365、端点和合作伙伴 SaaS 流转。
为什么会出现在考试中： 领域 4 数据架构场景将 Information Protection 定位为对静态、传输中和使用中的数据进行分类和保护的规范控制。
策略即代码的强制执行，结合蓝图（已弃用但仍受考察）和云采用框架着陆区域，以实现企业规模的治理基线。
为什么会出现在考试中： 领域 1 企业设计问题将着陆区域和 Azure Policy 作为规模化治理、合规性和安全基线的基础。
Compliance Manager 根据 ISO 27001、NIST 800-53 和 GDPR 等框架评估租户态势；Service Trust Portal 托管 Microsoft 的第三方审计报告和合规性文档。
为什么会出现在考试中： 领域 2 合规架构场景将 Compliance Manager（改进措施、分数）和 Service Trust Portal（审计报告）作为法规遵从性的证据来源。
基于信号的策略引擎，评估用户、设备、位置、应用和风险输入，以在授予访问权限之前强制执行控制措施——MFA、合规设备、会话限制。
为什么会出现在考试中： 领域 2 使 Conditional Access 成为零信任的中心强制执行点——每个身份架构答案都通过它路由。
跨 Azure、AWS 和 GCP 的量化态势分数和优先推荐，映射到监管合规性框架（Azure Security Benchmark、CIS、PCI、ISO）。
为什么会出现在考试中： 领域 3 态势架构场景使用 Secure Score 作为向利益相关者跟踪和报告云安全改进的指标。
$150k–$200k–$280k USD 每年
该范围反映了美国境内高级和首席安全架构师职位，这些职位要求候选人负责微软安全技术栈中的企业级设计。非沿海市场和咨询公司员工的薪资水平普遍较低；FAANG/大型银行的首席架构师总薪酬通常超过 30 万美元。SC-100 本身并不能直接带来这些薪资 — 它与多年的架构经验以及通常一系列先前的认证相辅相成。
来源：levels.fyi 2025–2026 security-architecture and principal-security-engineer roles, U.S. BLS OEWS May 2024 (15-1241 computer network architects, median ~$130k; 15-1212 information security analysts, median ~$120k), (ISC)² Cybersecurity Workforce Study 2024。数据为估算值；实际薪酬取决于职位、地区和经验。
2024–2026 年期间，网络安全架构师的需求持续结构性紧张 — (ISC)² 劳动力数据继续显示全球存在数百万个职位空缺，主要集中在高级和架构师级别。SC-100 是少数专门针对这一级别的认证之一，在企业安全架构师和微软实践负责人职位发布中被广泛列为首选，尤其是在其安全技术栈以 Defender、Sentinel、Entra 和 Purview 为核心的组织。微软咨询合作伙伴将其用作高级交付职位和架构师路线晋升的凭证门槛。对于负责多云设计的候选人，它与 AZ-305 (Azure solutions architect) 或 AWS/GCP 架构师认证自然匹配；对于走向 CISO 路线角色的候选人，则与 CISSP 匹配。
SC-100 对先决条件的要求是所有微软安全考试中最强的。微软建议 — 并且实际假定 — 考生在尝试 SC-100 之前，已持有 AZ-500 (Azure Security Engineer)、SC-200 (Security Operations Analyst)、SC-300 (Identity and Access Administrator) 或已退役的 MS-500 (Microsoft 365 Security Administrator) 中的一项认证。虽然该先决条件在注册时并未强制执行，但考试是根据已具备该操作员级别知识的考生进行校准的。
除了认证先决条件外，微软还期望考生具备身份和访问管理、平台保护、安全运营以及数据和应用程序安全方面的高级经验和知识，以及混合云和云实施经验。实际上，成功的考生是拥有多年微软 365 和 Azure 实践经验的高级安全工程师或架构师，对零信任原则有实际了解，并接触过企业治理框架。请将推荐的先决条件视为真正的底线，而非建议。
SC-100 被普遍认为是微软较难的考试之一 — 难度与 AZ-305 或 AWS Solutions Architect Professional 相当，并且明显比助理级别的 SC-200 或 SC-300 更难。即使您已经持有先决认证，也请计划在 8–14 周内进行 80–150 小时的集中学习；如果您的实践架构经验不足，则需要更多时间。考试时长 100–120 分钟，包含 40–60 道题，题型包括多项选择、多项应答、拖放、构建列表以及一个或多个案例研究；及格分数是 700/1000。
主要的挑战在于 SC-100 的问题很少有单一客观正确的答案 — 它们会询问哪种设计最符合一组既定的业务、法规和技术约束。那些通过记忆服务功能来学习的考生往往会失败；而那些将零信任、MCRA、MCSB 和 CAF 内化为决策框架，然后练习将其应用于模糊案例研究的考生，则往往能通过。案例研究中的时间压力是真实存在的。
于 2022 年 5 月正式发布，作为微软首个专家级安全认证。自那时以来，考试目标已更新，以反映 Azure AD → Entra 的更名、Defender XDR 的整合、Microsoft Cloud Security Benchmark（取代 Azure Security Benchmark），以及新增的 Microsoft Security Copilot 指导。基于角色的认证在通过后一年失效；通过 Microsoft Learn 上的非监考在线评估可免费续期。
SC-100 (Microsoft Cybersecurity Architect) 是一门一项具有挑战性、场景丰富的考试，要求具备深入的实际操作经验以及做出架构权衡决策的能力Expert级别考试。大多数考生需要为专业和专家级别考试学习 150-300 小时，分摊在 3-6 个月内完成。这些考试通常要求具备先前的助理级别熟练度。 大多数在模拟考试中持续得分高于及格线的考生，在第一次尝试时都能通过。
大多数考生需要为专业和专家级别考试学习 150-300 小时，分摊在 3-6 个月内完成。这些考试通常要求具备先前的助理级别熟练度。 通过考试所需时间因个人经验而异。在底层技术方面具有实际生产经验的工程师通常所需时间较少；平台新手则应计划在学习时间范围的上限。
SC-100 是 Microsoft 生态系统中公认的证书，向雇主、招聘人员和客户表明您已具备经过验证的知识。它是否值得您投入时间和费用取决于您的角色和目标——对于日常使用 Microsoft 或希望从事相关工作的云工程师、架构师和顾问来说，其回报通常最大。
SC-100 的及格分数是 700 / 1000。考试包含 50 道题，时长为 2 小时。
SC-100 考试费用为 $165 USD。费用由 Microsoft 设定，并可能因地区而异；预订前请务必在 Microsoft 官方认证页面确认当前价格。
Microsoft 基于角色的认证有效期为 1 年，但在证书过期前 6 个月内，可以通过 Microsoft Learn 上的无监考在线评估免费续订。
是的。您可以选择在线考试（通过提供商的安全浏览器进行监考，在大多数地区全天候可用）或在工作时间内前往 Pearson VUE 线下考试中心参加。两种形式使用相同的题目、时间限制和及格分数。
CertLabPro 为 SC-100 提供了包含 15 种学习模式的练习题库。考试模拟模式与真实考试一致：50 道题，时长 2 小时，及格分数同样为 700 / 1000。浏览模式允许您静态阅读所有问答。