22 道身份生命周期管理练习题及答案

1. 1. 某公司正在为一款新的财务应用整理权限清单。关于身份生命周期管理中的角色定义，下列哪项说法是正确的？

   • A.权限附加在成本中心代码上，该预算下的所有成员自动继承这些权限。
   • B.权限按姓名直接分配给每个人，事后再补记一个角色标签用于报表。
   • C.权限附加在描述某项工作职能的角色上，再把人员分配到该角色。✓ 答案
   • D.权限附加在应用负责人身上，再由他把自己的权限逐一复制给各用户。

   角色应在开通账户之前定义，并且权限集合附着在角色上而不是附着在某个人身上。由于权限归属于工作职能，从事同一职能的人获得的访问权限是一致的，只需增加或取消角色分配即可完成授予、复核与撤销。

   编号 QB-MT64ZA依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Roles definition'报告此题的问题

2. 2. 某公司新员工的账户是由经理发邮件给服务台后开通的，不同新员工拿到的权限各不相同。下列哪项改进最能纠正这一问题？

   • A.先为每个账户开通较宽的权限，等下次定期复核时再收紧。
   • B.要求经理在邮件中列出新员工今后可能用到的所有系统。
   • C.保留邮件流程，但要求第二位经理回复邮件批准每项申请。
   • D.由人力资源系统中已审批的新员工记录自动触发账户创建。✓ 答案

   账户开通应由权威数据源驱动，通常就是人力资源系统中的员工记录，并通过工作流自动执行。自动化可以保证同一角色的每个人获得完全相同的权限，并留下可审计的记录，而临时的工单或邮件做不到这一点。

   编号 QB-4BZWDA依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Provision'报告此题的问题

3. 3. 下列哪一顺序正确地排列了为新入职员工开通身份的各个步骤？

   • A.先签发凭据，再分配角色，然后核验本人身份，最后创建账户。
   • B.先创建账户，再签发凭据，然后核验本人身份，最后分配角色。
   • C.先核验本人身份，再创建账户，然后分配角色，最后签发凭据。✓ 答案
   • D.先分配角色，再创建账户，然后签发凭据，最后核验本人身份。

   身份核验与登记必须放在最前面：组织要先确认此人确实是其所声称的人，然后才能把凭据绑定给他。若在核验之前就签发凭据，等于为一个未经核实的人提供了认证手段；而角色分配应先于凭据签发，以免账户在权限尚未确定时就已可用。

   编号 QB-KTTRT9依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Provision'报告此题的问题

4. 4. 为了省事，管理员把一位资深分析师账户的全部组成员身份复制给新入职分析师，以此创建新账户。这种做法为什么不妥？

   • A.复制会让新账户在目录完成同步之前完全没有任何组成员身份。
   • B.复制会把老员工多年累积的权限一并带入，远超新员工的实际需要。✓ 答案
   • C.复制会导致老员工无法登录自己的账户，必须由管理员重置密码。
   • D.复制会使两人共用同一套凭据，日志因此无法区分各自的操作。

   克隆现有账户会把该账户长期累积的冗余权限连同合法权限一起带过来，新员工从第一天起就权限过大，最小权限原则当场被破坏。正确做法是依据该岗位已定义的角色来授予权限。

   编号 QB-3BNK89依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — 'Provision' and 'Principle of least privilege'报告此题的问题

5. 5. 一名新入职的系统管理员从上班第一天起就需要普通员工权限，今后偶尔还会用到域管理员权限。开通账户时应当授予什么？

   • A.授予普通权限，并把团队现有管理员账户的共用凭据交给他。
   • B.同时授予普通权限和长期有效的管理员权限，因为职位已隐含。
   • C.只授予管理员权限，因为它本身已经包含全部普通员工权限。
   • D.先按岗位授予普通权限，管理员权限另行申请并单独审批。✓ 答案

   开通账户时应按已定义的角色授予最小权限，特权则作为单独申请并经审批后授予，且放在独立的管理员账户中。若日常使用的账户长期带有管理员权限，一旦该会话遭到钓鱼或恶意软件攻击，影响范围会大幅扩大。

   编号 QB-JTFEN8依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — 'Provision' and 'Principle of least privilege'报告此题的问题

6. 6. 三名服务台技术员共用同一个名为 support 的账户登录工单系统。这种做法最主要的安全问题是什么？

   • A.共用密码的有效期会缩短为三分之一，因为有三个人在使用它。
   • B.系统不允许并发会话，两名技术员只能等第三人用完才能登录。
   • C.系统中的操作无法追溯到具体某个人，个人问责因此完全丧失。✓ 答案
   • D.该账户无法绑定角色，技术员只能因此被授予管理员级的权限。

   身份生命周期管理要求每个人拥有唯一的身份标识，因为问责与不可否认性都依赖于把日志中的每一项操作对应到某一位具名的人。共用账户还有一个问题：无法只针对其中某一个人复核或撤销权限，否则会影响其他人。

   编号 QB-2BA938依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Provision'报告此题的问题

7. 7. 公司政策要求网络管理员同时持有一个日常使用账户和一个独立的管理员账户。这样安排的作用是什么？

   • A.两个账户共用同一套权限，一次复核即可同时覆盖这两个账户。
   • B.日志中能够按姓名识别出该管理员，只用一个账户则无法做到。
   • C.只需在拥有特权的那个账户上定期更换口令即可满足合规要求。
   • D.收发邮件和上网时不带特权，该会话即使被攻陷造成的损失也有限。✓ 答案

   把特权工作与日常工作分开，实际上是在时间维度上落实最小权限：暴露于邮件附件、网页内容和日常应用的那个账户不带管理员权限，因此恶意软件或被劫持的会话只能继承普通权限。特权只在那个独立账户中、且在确有需要时才使用。

   编号 QB-HT44G7依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — 'Principle of least privilege'报告此题的问题

8. 8. 一名员工从应付账款文员晋升为财务主管。这一变动主要需要身份生命周期中的哪一项活动？

   • A.开展角色定义工作，因为主管这一角色的权限集合此前并不存在。
   • B.先完整注销该员工，再把她作为一个全新身份重新登记并开通。
   • C.复核其访问权限，在授予新角色权限的同时收回原角色的权限。✓ 答案
   • D.只做开通步骤，在她现有全部权限之上再叠加主管所需的权限。

   晋升或调岗属于生命周期中的“变动”事件，由复核阶段来处理。在授予新角色权限的同时必须收回原角色的权限；把新权限直接叠加在旧权限之上，正是权限蠕变累积的典型方式。

   编号 QB-9BSK9G依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Review'报告此题的问题

9. 9. 下列哪种情形是权限蠕变（privilege creep）的典型定义？

   • A.员工把自己的口令告诉同事，同事随后以她的名义在系统中开展工作。
   • B.员工入职第一天就因职位名称而获得了长期有效的管理员账户。
   • C.攻击者利用服务中的缺陷，取得了该账户从未被授予过的那些权限。
   • D.员工两次调岗之后，仍然保留着此前每个部门所授予的访问权限。✓ 答案

   权限蠕变指的是一个人在不同角色、项目和部门之间流动时，旧权限始终未被收回，从而逐步累积起来的现象。它属于生命周期中复核环节的失效，既不是攻击行为，也不是开通阶段的决策失误。

   编号 QB-RTKEPF依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Review'报告此题的问题

10. 10. 审计发现，多名老员工仍然持有他们数年前就已离开的岗位所对应的权限。下列哪项措施才能真正纠正这一问题？

    • A.定期开展访问权限复核，对每项权限作出保留、调整或撤销的结论。✓ 答案
    • B.为所有账户启用多因素认证，使被窃取的口令无法再被他人使用。
    • C.缩短口令有效期，强制所有员工每个月都必须更换一次新的口令。
    • D.设置会话超时，用户在应用中一段时间无操作后即被自动注销登录。

    只有复核并撤销权限才能解决权限蠕变，因为问题本身就出在这些权限上。更强的认证只能验证登录者是谁，却管不了这个已通过验证的人进入系统后被允许做什么，因此多因素认证和口令规则丝毫不会减少多余的权限。

    编号 QB-KXH8VR依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Review'报告此题的问题

11. 11. 在用户访问权限复核中，由谁来判断某位员工是否仍然需要某项权限最为合适？

    • A.员工本人，因为她最贴近工作，清楚自己每天需要打开哪些系统。
    • B.当初创建该账户并为其授予这些访问权限的那位服务台技术人员。
    • C.数据或系统的责任人，或该员工的直属经理，他们了解业务上的需要。✓ 答案
    • D.内部审计人员，其独立性使其可以代表业务方批准各项访问权限。

    再认证的决定应由理解该访问权限业务理由的人来做，通常就是数据或系统的责任人，或者直属经理。服务台只负责执行变更，审计人员是测试控制措施而不是承担该控制，由用户本人签字确认则是弱控制，因为用户天然倾向于把所有权限都保留下来。

    编号 QB-4FQDFS依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Review'报告此题的问题

12. 12. 一名外包人员的合同结束已经六个月，她的域账户仍处于启用状态，而且没有登记任何负责人或经理。这种账户应如何定性，其风险何在？

    • A.孤儿账户；已没有任何责任人会察觉或质疑它仍在被使用。✓ 答案
    • B.休眠账户；只要口令过了有效期，它就不再构成任何风险。
    • C.服务账户；没有具名负责人的账户本来就应当长期存在下去。
    • D.特权账户；凡是比其所有者存续更久的账户都按管理员对待。

    孤儿账户是指仍然有效、却没有合法所有者的账户，通常是人员离开后遗留下来的。它的危险之处正在于无人关注：凭据可能被重用或被猜出，而其活动也没有一个合法的人可以对照，因此必须通过定期审计把这类账户找出来清理掉。

    编号 QB-JX6WPQ依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Review' and 'Deprovision'报告此题的问题

13. 13. 一名员工提出辞职。安全部门要求立即停止其访问权限，而法务部门因一起待办案件需要保留她的邮箱内容。正确的处理方式是什么？

    • A.立即删除该账户，邮件平台本来就会单独保留她的邮箱内容。
    • B.立即禁用该账户，之后再按数据保留期限的规定予以删除。✓ 答案
    • C.保留该账户为启用状态但更换口令，以便调查人员登录查看。
    • D.把该账户转为共享邮箱，让她原来的整个团队都可以登录使用。

    禁用可以立刻阻断认证，同时保留账户对象，从而保住审计痕迹、邮箱与文件的归属关系，以及与该身份绑定的加密密钥。删除则会毁掉这些证据，还可能让加密数据变成无人可解，因此删除只能在之后按数据保留策略执行。

    编号 QB-3FC3AR依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Deprovision'报告此题的问题

14. 14. 某经理将在上午十点的会议上辞退一名员工。该员工的访问权限应当在什么时候撤销？

    • A.在当天下班时撤销，以便她把手头未完成的交接工作全部处理完。
    • B.在会议开始时或开始之前，由人力资源与安全部门事先协调好执行。✓ 答案
    • C.在两周之内撤销，等下一轮定期权限复核轮到她所在部门时执行。
    • D.在离职面谈结束、并且她已交回笔记本电脑和门禁卡之后再撤销。

    对于非自愿离职，撤销权限要与人力资源部门协同，并与告知本人的时点同步执行，因为从得知被辞退到失去权限之间的那段时间，正是破坏数据或窃取资料最容易发生的窗口。有通知期的主动辞职可以按较宽松的节奏处理，被辞退则不行。

    编号 QB-NX8W7U依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Deprovision'报告此题的问题

15. 15. 一名离职开发人员的目录账户已在其最后一个工作日被禁用。下列哪一项后续步骤最常被遗漏，同时也最为重要？

    • A.撤销她在各云服务中的 API 密钥、个人访问令牌以及联合登录会话。✓ 答案
    • B.把她的名字从内部员工通讯录中删掉，以免同事继续给她发送邮件。
    • C.归档她的聊天记录，以便团队今后仍然可以检索过去的会话内容。
    • D.删除她的工作站配置文件，以便这台笔记本电脑重新分配给其他人。

    注销必须覆盖进入组织的每一条通道，而不只是网络登录。令牌、API 密钥、证书、VPN 配置、云和 SaaS 账户以及门禁卡，在目录账户被禁用之后都可能依然有效；此外，此人知悉的任何共用凭据或特权凭据也应一并更换。

    编号 QB-6FE3TU依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Deprovision'报告此题的问题

16. 16. 处理敌意离职（被辞退）与处理有通知期的友好辞职，在做法上有什么不同？

    • A.要等到前员工把公司全部设备都归还之后，才切断其访问权限。
    • B.在告知本人的那一刻就切断访问权限，而不是在通知期内逐步收回。✓ 答案
    • C.反而把访问权限保留更久，以便调查人员观察此人后续的各种动作。
    • D.两种情况的处理完全相同，离职类型属于人事问题而不是安全问题。

    两种离职最终都要完整注销，但时间安排取决于风险高低。配合交接的离职者可以在移交工作期间保留有限权限；而被辞退的人在被告知的同时就要被切断权限，因为已经知道自己要走的人，既有动机也有机会破坏数据或带走资料。

    编号 QB-MXVJ2T依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Deprovision'报告此题的问题

17. 17. 某组织在其各业务应用中部署了单点登录。关于由此产生的结果，下列哪项描述是准确的？

    • A.用户一次认证即可访问多个应用，该登录入口因此成为高价值攻击目标。✓ 答案
    • B.用户每个应用仍各自保留一个口令，但所有口令改为同一时间统一到期。
    • C.用户只要被其中任何一个应用接受，就自动获得其余所有应用的授权。
    • D.用户对每个应用都认证两次，因此这种设计同时满足了多因素认证要求。

    单点登录让用户只认证一次即可访问多个应用，既减轻了用户的口令疲劳，也让管理员在员工离职时有一个统一的停用入口。代价是风险集中：一次登录被攻陷就等于所有应用被攻陷，因此单点登录必须与多因素认证配合使用。认证与授权仍然是两回事。

    编号 QB-5F3RMT依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Frameworks and tools'报告此题的问题

18. 18. 某大学允许合作院校的研究人员使用各自所属院校签发的凭据，访问该校的共享图书馆门户。这种安排叫什么？

    • A.联合身份：组织之间建立信任，使身份可跨组织边界被对方采信。✓ 答案
    • B.权限委派：一名用户把自己账户的权限临时借给另一位同事使用。
    • C.账户开通：门户为每一位外部研究人员各自创建一个本地的账户。
    • D.权限提升：为已经存在的会话授予比原先更高一级的权限等级。

    联合身份把身份扩展到组织或信任边界之外：研究人员所属院校充当身份提供方，负责断言此人是谁，而门户作为依赖方接受该断言，无需再为此人维护一个本地账户。这样一来，门户方就省去了整套开通与注销的负担。

    编号 QB-K6ZWH3依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Frameworks and tools'报告此题的问题

19. 19. 某组织希望员工入职、调岗和离职时，其云应用中的账户能够自动创建、更新和删除。哪一项标准正是为此设计的？

    • A.Kerberos：签发票据，使客户端能够向网络服务证明自己的身份。
    • B.SAML：在系统之间传递认证断言，使浏览器会话可以被对方信任。
    • C.LDAP：应用需要在目录中查找某个用户条目时，向其发起查询请求。
    • D.SCIM：在系统之间传递身份记录，使各处的账户保持同步更新。✓ 答案

    SCIM 是账户开通方面的标准：它在身份源与目标应用之间传递用户记录，使入职、调岗、离职的变更无需人工干预即可同步下去。SAML 传递的是用于单点登录的认证断言，属于另一件事；即便联合登录已经打通，目标应用中也可能仍然没有该用户的账户。

    编号 QB-4P6454依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Frameworks and tools'报告此题的问题

20. 20. 某公司希望把管理员凭据集中存放在保险库中，只在需要时领用，并对每一次管理会话进行录制。哪一类工具能提供这些能力？

    • A.身份治理：负责开展对普通用户权限进行再认证的各类复核活动。
    • B.特权访问管理：把管理员凭据集中保管，并限定其使用的时间窗口。✓ 答案
    • C.目录服务：集中存放组织内的用户对象及其所属的组成员关系信息。
    • D.单点登录：把一次已完成认证的会话传递给多个下游的应用系统。

    特权访问管理正是为那些破坏力最大的账户而设：它把这些账户的凭据集中保管，按需在有限的时间窗口内发放，并对会话进行录制以便事后复核。由于这类账户风险最高，其权限再认证的频率也高于普通用户账户。

    编号 QB-XTG24U依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Frameworks and tools'报告此题的问题

21. 21. 下列哪一项功能最能描述身份治理与管理（IGA）类工具？

    • A.自动处理访问申请、入职调岗离职流程，以及权限再认证的复核活动。✓ 答案
    • B.在网络边界处检查数据包，并丢弃违反既定规则集的那一部分流量。
    • C.保存可还原的用户口令副本，以便服务台在用户求助时找回其口令。
    • D.记录管理员会话中的击键内容，使调查人员日后可以回放这些命令。

    身份治理与管理是覆盖整个生命周期的策略与流程层：它负责角色挖掘与定义、访问申请与审批、入职调岗离职的自动化，以及用于暴露权限蠕变和孤儿账户的再认证复核活动。数据包检查和会话录制属于其他类别的控制措施。

    编号 QB-EBBVGT依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, 'Frameworks and tools'报告此题的问题

22. 22. 一个数据科学项目已经结束，但其 AI 代理用于读取生产数据库的自动化账户仍然启用，权限也原封未动。按照身份生命周期管理的要求应当怎么做？

    • A.保留该账户为启用状态，仅作改名，以便后续项目复用它的权限。
    • B.项目退役时按流程注销该自动化账户，与员工离职的处理方式相同。✓ 答案
    • C.继续保持该账户可用，因为非人类身份不纳入权限复核计划的范围。
    • D.把该账户的凭据交给平台团队，使这个账户的所有权转移给该团队。

    服务账户、机器人和 AI 代理要走与人员完全相同的生命周期：先定义角色，再以唯一身份开通并指定一位具名的人类责任人，纳入权限复核，并在其承载的工作负载退役时予以注销。若继续保持启用，这样的账户就成了一个对生产环境长期有权限、却无人看管的孤儿身份。

    编号 QB-WT5QWS依据： ISC2 CC Exam Outline, Identity and Access Management (IAM) Concepts — understand identity life cycle management, applied to non-human (service and AI) identities报告此题的问题

练习题依据 ISC2《Certified in Cybersecurity (CC) 考试大纲》编写。本网站与 ISC2 无关联，也未获其认可，题目并非真实考题。ISC2 会定期修订知识域及其权重，考试长度、通过标准与报考条件均由其规定——报名前请向 ISC2 确认现行大纲与要求。 官方 CC 考试大纲 →