2026年微软Azure数据工程师认证考试（DP-203）数据安全高频考点试题

2026年微软Azure数据工程师认证考试（DP-203）数据安全高频考点试题一、单项选择题（第1-40题，每题1分，共40分）1.在AzureSynapseAnalytics中，用于对敏感数据列进行静态脱敏（masking）的机制是A.DynamicDataMasking（DDM）B.AzureSQLTransparentDataEncryptionC.AzurePolicyD.AzureRBAC2.对AzureSQLDatabase执行TransparentDataEncryption（TDE）时，加密密钥由谁管理A.服务托管的密钥或用户用AzureKeyVault管理B.只能由本地服务器管理C.无所谓D.由客户端APP管理3.下列哪一项最适合用于限制只有特定IP范围的客户端访问AzureBlobA.存储账户防火墙与虚拟网络规则B.DynamoDBC.SAS采用任意D.单元测试4.AzureBlobStorage中的数据应加密，其服务器端加密（SSE）默认A.自动启用，密钥可服务托管或CMKB.需手动每种模式启用C.不支持加密D.只在Premium账号可用5.将一个存储账户的SAS（共享访问签名）做一个期限较短、只读且限定容器的token，最能满足的需求是A.按需、最小权限的临时访问B.永久全局写访问C.禁用所有访问D.绕过加密6.为满足GDPR数据合规，对要删除的个人数据记录，Azure应优先采用A.使用SoftDelete与合规删除流程并审计B.只改名C.恢复缓存D.压缩备份7.AzureRBAC（基于角色的访问控制）的最小权限原则体现为A.仅授予完成任务所必需的角色B.授予最高权限C.不授权D.授权到所有资源8.AzurePurview的主要用途是A.数据目录、发现与治理（DataCatalog与DataGovernance）B.只有存储C.只做计算D.只做监控9.对数据湖中的文件设置生命周期管理（LifecycleManagement）用于A.按规则自动迁移层或删除旧数据B.修改文件内容C.提高写入D.禁用加密10.在AzureSynapseSQLPool中，需要将某列设置为仅授权用户可查看，应配合A.列级安全（Column-levelsecurity）B.只靠索引C.只靠联合D.分区键11.DefenceinDepth（纵深防御）在数据安全中的含义是A.多重防御层协同保护数据B.单层加密就够C.不设防御D.依赖物理隔离即可12.AzureStorage支持对账号访问密钥定期轮换的主要安全收益是A.减少密钥泄露的影响范围B.提高吞吐C.简化分区D.增加成本13.对于AzureBlob，若要实现备份保留与防止误删，宜启用A.SoftDelete（软删除）与版本控制B.直接删除C.关闭日志D.不做配置14.AzureKeyVault中存储的密钥可被Synapse等通过（）安全引用A.托管标识（ManagedIdentity）与密钥引用B.明文嵌入SQLC.硬编码D.明文日志15.AzureSQLDatabase为满足审计合规应开启A.审计（Auditing）与诊断日志B.只删日志C.只加缓存D.关闭监控16.将敏感分析数据限制在专用VNet内访问，最直接的措施是A.配置VNet服务端点/私有端点B.打开公网C.提高并发D.使用字符串17.AzureSynapseAnalytics中的工作区防火墙默认行为是A.默认拒绝公网，可启用VNet/私有端点B.默认开放全公网C.禁止一切访问D.无控制18.在DP-203数据管道中加密静止数据（atrest）的默认保护层是A.存储与数据库的加密（如SSE/TDE）B.仅列头C.仅图例D.无加密19.对于MicrosoftPurview对敏感数据分类，下列流程顺序正确的是A.扫描→分类→标记分类标签B.只分类不扫描C.只标记不扫描D.直接删除20.Azure中用于中央化审计操作事件的日志服务是A.AzureMonitor/ActivityLogB.无C.只有ExcelD.只有图片21.数据湖中的DeltaLake保留策略（retentionminutes）用于A.自动清理过期的历史版本与文件B.提高写入频率C.关闭事务D.删除目录22.要实现DF（数据工厂）对KeyVault的访问而不暴露密钥明文，正确做法是启用A.DataFactory的托管标识并授权KeyVaultB.在管道中写死密钥C.在变量中存储明文D.禁用连接23.下列哪项属于传输中加密（intransit）措施A.TLS/加密信道（如HTTPS、TLSwithstorage）B.仅数据库静态加密C.仅文件后缀D.磁盘缓存24.AzureSQL行级安全（RLS，Row-LevelSecurity）的用途是A.在主键级别限制用户可见的数据行B.加密整列C.删除行D.高可用25.为满足「仅允许特定组织成员访问数据」的需求，DataLakeStore应使用A.RBAC与ACL（访问控制列表）B.关闭权限C.移除账号D.永久公开26.在对Blob分类为「机密」时应在Purview标记后进一步A.应用敏感度标签并设置相应策略B.忽略C.删除D.仅改名27.AzureSQL防火墙对数据库初始默认规则是A.拒绝所有外部IP（默认禁止）B.开放全网C.必然公开D.自动允许28.DP-203中，将某些敏感列在查询时动态遮蔽而不改变底层数据，应使用A.DynamicDataMaskingB.TDEC.RLSD.ColumnStore索引29.识别哪些数据（如PII、身份证号）落在数据湖，首先依赖A.MicrosoftPurview扫描与内置分类器B.手抄C.随机猜测D.不处理30.对Azure存储账户，仅允许来自特定AzureAD身份的写入，应采用A.RBAC加适当的存储数据角色B.打开所有密钥C.关闭AuthD.不做31.以下哪种方式可在不暴露存储密钥的前提下让App访问BlobA.使用托管标识或临时限权SASB.明文分享主键C.写入源代码D.取消鉴权32.对数据仓库的备份加密，其底层密钥来源一般由（）负责A.存储加密密钥与KeyVaultB.只本机C.无D.浏览器33.AzureSynapse中「编排与转换数据时保护凭据」最佳实践是A.集成运行时使用KeyVault密钥引用B.硬编码密码C.明文CSVD.取消校验34.GDPR「数据最小化」要求在数据管道中的体现是A.只采集实现目的所需的最小数据字段B.采集全部字段C.重复冗余存储D.无限期保留35.在数据湖中实施「软删除」以应对误操作时，建议启用A.Blob软删除与启用版本控制B.硬删除目录C.直接覆盖D.无36.AzurePrivateEndpoint相对公网访问在安全上的优势是A.数据不经公网，仅VNet内访问B.比公网更慢C.依赖物理地址D.不需要权限37.为支持审计需保留访问记录，应开启存储的A.诊断日志与访问日志B.关闭记录C.只保留文本D.仅解释38.Endpoint的TLS结束并释放加密后再回源，若需要全程加密须A.保持全链路TLS/加密通道B.允许回源明文C.关闭TLSD.降低协议39.下列最能体现「数据遵从与治理」的做法是A.建立数据目录、分类标签与安全策略统一管理B.私自处理C.关闭日志D.不做审计40.在Azure中通过「数据库一致性和完整性」审计并限制异常操作，最相关的是A.审计日志与告警策略B.只加索引C.只改分区D.调大缓存二、多项选择题（第41-50题，每题2分，共20分）41.下列属于Azure中「静止数据」（atrest）加密方案的有A.StorageServiceEncryption（SSE）B.TransparentDataEncryption（TDE）C.TLS传输加密D.AzureDiskEncryption42.保护AzureSQL下敏感列可组合使用A.DynamicDataMaskingB.列级安全（CLS）C.Row-LevelSecurityD.删除列43.符合最小权限原则（leastprivilege）的做法有A.仅授所需角色B.使用临时限权SASC.作用域尽量收窄D.授予全局管理员44.实现传输中（intransit）加密的手段有A.HTTPSB.TLS1.2+C.明文HTTPD.加密专用链路45.AzurePurview数据治理的能力包括A.数据发现与扫描B.数据编目C.血缘追踪D.权限删除46.对Azure存储账号做安全加固的措施包括A.启用加密B.配置防火墙与私有端点C.定期轮换密钥D.开放公网47.满足GDPR等合规的数据管理措施包括A.数据最小化采集B.审计日志保留C.合规删除流程D.无限期存储全部数据48.Azure中保护凭据（不硬编码）的安全做法有A.使用托管标识B.KeyVault引用C.临时SASD.写死明文连接串49.为敏感数据实施纵深防御可以结合A.身份与RBACB.网络隔离（VNet/私有端点）C.加密透明数据D.完全公开50.DPL/DLP数据泄露防护需要的配套措施是A.敏感度标签B.分类策略C.访问与共享策略D.关闭所有日志三、判断题（第51-65题，每题1分，共15分。正确的填「√」，错误的填「×」。）51.AzureBlob默认启用服务器端加密（SSE）（）52.SAS授权范围越大越安全（）53.TDE可对整个AzureSQL数据库的静止数据加密（）54.DynamicDataMasking需要修改底层数据值（）55.私有端点使数据只能通过VNet私有IP访问（）56.KeyVault中的密钥无须任何授权即可访问（）57.最小权限原则要求只授予完成任务所必需的最小权限（）58.DataFactory可在不暴露明文密钥的前提下访问KeyVault（）59.行级安全（RLS）不能限制用户可见的数据行（）60.Purview可自动识别并分类PII等敏感数据（）61.审计日志对数据安全与合规没有作用（）62.可用Trusted服务端点确保相关服务读取存储有专属路径（）63.传输加密只在本地生效，与数据安全无关（）64.TableStorage在传输中也应使用HTTPS（）65.数据湖的保留期可理解为过期文件自动归档或删除（）四、简答与案例分析题（第66-70题，共25分）66.请说明在AzureSynapse中实现「列级安全」与「行级安全」的用途和适用场景。（5分）67.某方案需将AzureBlob中的PII数据长期保留且可追溯删除，请给出安全与合规设计要点。（5分）68.请比较Azure中「托管标识」与「共享访问签名SAS」在访问控制的适用差别。（5分）69.请解释AzureKeyVault在数据管道凭据管理中的作用与配置要点。（5分）70.对于SynapseSQL数据仓库，请列出保障静止、传输及访问三层面的安全措施。（5分）答案与解析1.【答案】A【解析】SynapseSQL通过DynamicDataMasking对查询结果动态遮蔽敏感列数据；TDE用于整库加密。【知识点】数据静态脱敏2.【答案】A【解析】TDE密钥可服务托管，也可客户用AzureKeyVault自管（BYOK）。【知识点】TDE密钥3.【答案】A【解析】Azure存储通过防火墙+虚拟网络规则限定来源IP/VNet访问。【知识点】存储网络访问控制4.【答案】A【解析】Blob默认启用服务器端加密（SSE），可用平台托管密钥或客户管理密钥。【知识点】存储加密5.【答案】A【解析】SAS支持按期限、权限与资源范围限定访问，实现最小权限原理。【知识点】SAS安全6.【答案】A【解析】合规删除须结合软删除、审计日志与明确删除流程，满足可溯源与恢复需求。【知识点】数据合规删除7.【答案】A【解析】RBAC遵循最小权限，角色范围尽量缩小到所需资源。【知识点】RBAC原则8.【答案】A【解析】AzurePurview提供数据发现、编目、分类与血缘追踪，支撑数据治理。【知识点】AzurePurview9.【答案】A【解析】生命周期管理根据时间与规则自动将数据迁移到热/冷归档层或删除。【知识点】生命周期管理10.【答案】A【解析】列级安全控制字段级别的访问，结合权限共同保障敏感列。【知识点】列级安全11.【答案】A【解析】纵深防御通过身份、网络、加密、监控等多层次保护数据资产。【知识点】纵深防御12.【答案】A【解析】定期轮换访问密钥可降低泄露风险与影响窗口。【知识点】密钥轮换13.【答案】A【解析】软删除与版本控制可恢复误删数据，增强容错与合规。【知识点】数据保护14.【答案】A【解析】工作负载用托管标识向KeyVault请求密钥，避免明文硬编码。【知识点】KeyVault15.【答案】A【解析】开启审计与诊断日志记录操作，满足安全审计与合规要求。【知识点】SQL审计16.【答案】A【解析】私有端点（PrivateEndpoint）使资源只在VNet内以私有IP访问。【知识点】私有端点17.【答案】A【解析】Synapse工作区默认限制公网访问，建议用私有端点保障安全。【知识点】Synapse网络安全18.【答案】A【解析】静止数据加密通过存储加密与数据库TDE实现。【知识点】加密分层19.【答案】A【解析】Purview先扫描数据源，对数据分类并附加标签实现敏感信息管理。【知识点】数据分类流程20.【答案】A【解析】AzureActivityLog与Monitor集中记录控制平面与安全审计事件。【知识点】审计日志21.【答案】A【解析】DeltaLake通过VACUUM与保留策略清理过期版本，控制存储成本并符合生命周期。【知识点】DeltaLake保留22.【答案】A【解析】DataFactory通过系统分配的托管标识向KeyVault获取连接密钥，无明文暴露。【知识点】ADF安全访问23.【答案】A【解析】传输加密依靠TLS/HTTPS等加密信道保护数据传输过程。【知识点】传输加密24.【答案】A【解析】RLS通过安全谓词按用户身份过滤可见行，实现行粒度访问控制。【知识点】行级安全25.【答案】A【解析】AzureDataLakeGen2结合RBAC与ACL细粒度授权特定成员。【知识点】ACL控制26.【答案】A【解析】分类后应用敏感度标签并配合DLP/访问策略实施防护。【知识点】敏感度标签27.【答案】A【解析】SQL数据库默认拒绝外部IP，需显式添加规则允许特定来源。【知识点】SQL防火墙28.【答案】A【解析】DDM在返回结果时动态遮蔽列值，底层数据不变。【知识点】数据遮蔽29.【答案】A【解析】Purview内置分类器可自动识别PII并为其分类标记。【知识点】PII识别30.【答案】A【解析】存储数据平面支持RBAC细粒度控制读写等操作。【知识点】存储RBAC31.【答案】A【解析】托管标识与限权SAS可安全访问，避免共享主密钥。【知识点】存储访问控制32.【答案】A【解析】备份及数据文件加密由存储加密与密钥管理共同完成。【知识点】备份加密33.【答案】A【解析】在链接服务中用KeyVault存量凭据，避免明文硬编码。【知识点】凭据管理34.【答案】A【解析】最小化原则要求仅收集与处理必要的数据，避免过度采集。【知识点】数据最小化35.【答案】A【解析】软删除+版本控制可实现恢复与历史回滚。【知识点】软删除36.【答案】A【解析】私有端点通过VNet私有IP访问服务，数据不经过公网。【知识点】私有访问37.【答案】A【解析】诊断日志与访问日志可溯源数据访问行为。【知识点】访问日志38.【答案】A【解析】全链路传输加密需各跳均保持TLS。【知识点】全链路加密39.【答案】A【解析】通过数据目录、分类与安全策略实现统一治理与合规。【知识点】数据治理40.【答案】A【解析】审计日志与告警可识别并响应异常存取操作，保障数据一致与安全。【知识点】审计与告警41.【答案】A,B,D【解析】SSE、TDE、DiskEncryption针对静止数据，TLS针对传输数据不选。【知识点】静止数据加密42.【答案】A,B,C【解析】DDM、CLS、RLS可组合敏感列防护，删除列不是防护不选。【知识点】敏感列保护43.【答案】A,B,C【解析】最小权限要求最小化授予与收窄作用域，D授予过高权限不选。【知识点】最小权限44.【答案】A,B,D【解析】HTTPS、TLS与加密专用链路保传输安全，明文HTTP不选。【知识点】传输加密45.【答案】A,B,C【解析】Purview具备发现、编目、血缘追踪等治理功能，权限删除不属于不选。【知识点】Purview功能46.【答案】A,B,C【解析】加密、网络限制、密钥轮换均为加固措施，开放公网违反安全不选。【知识点】存储加固47.【答案】A,B,C【解析】最小化、审计与合规删除符合GDPR，无限期存储全部数据不合规不选。【知识点】数据合规48.【答案】A,B,C【解析】托管标识、KeyVault与限权SAS避免明文，D明文连接不选。【知识点】凭据保护49.【答案】A,B,C【解析】身份、网络、加密构成纵深防御，完全公开显著不安全不选。【知识点】纵深防御50.【答案】A,B,C【解析】标签、分类与访问策略支撑DLP，关闭日志无法审计不选。【知识点】数据防泄漏51.【答案】√【解析】存储服务默认开启SSE，数据静止时被加密。【知识点】SSE52.【答案】×【解析】SAS应限定时效与最小权限，范围越大风险越高。【知识点】SAS安全53.【答案】√【解析】TDE对数据库数据文件自动加密。【知识点】TDE54.【答案】×【解析】DDM只对查询结果动态遮蔽，不改底层数据。【知识点】DDM55.【答案】√【解析】私有端点消除公网暴露。【知识点】PrivateEndpoint56.【答案】×【解析】访问KeyVault密钥需要相应的Azure权限。【知识点】KeyVault57.【答案】√【解析】RBAC最小权限是安全最佳实践。【知识点】最小权限58.【答案】√【解析】通过系统托管标识向KeyVault获取连接密钥。【知识点】ADF安全59.【答案】×【解析】RLS通过安全谓词按用户过滤可见行。【知识点】RLS60.【答案】√【解析】Purview内置分类器自动识别PII并标记。【知识点】Purvie