第3章：云安全基础高频问题
本章聚焦阿里云安全面试中出现频率最高的基础概念题。核心考点围绕责任边界划分、网络隔离手段以及公网暴露面管理。掌握这些基础问题的回答框架，是顺利通过第一轮技术面的关键。
💡 课程提示： 责任共担模型是所有云安全面试的“第一题”。回答时务必体现出“边界清晰”和“合规意识”，不要笼统地说“平台负责安全，我负责数据”。
🎯 Q1：请解释一下阿里云的责任共担模型？
| 考察点 | 理解IaaS/PaaS安全边界，客户安全意识，合规知识。 |
| 回答框架 | 分层模型：客户负责“云内”安全(数据/应用/访问) → 阿里云负责“云”安全(物理/虚拟化/产品) → 共担配置与补丁。 |
| 示例回答 | 阿里云负责“云的安全”，涵盖物理设施、虚拟化和基础产品；客户负责“云内安全”，包括数据、应用和访问控制。PaaS场景责任有分化，但客户始终对数据及权限负责，这就是责任共担的核心边界。 |
| 可能追问 | 使用容器服务(ACK)时，节点安全由谁负责？答：阿里云负责Master节点和基础设施，客户负责Worker节点安全与镜像扫描。 |
| 避坑提醒 | ❌ 不要把责任全推给阿里云，数据安全永远是客户的责任。回答要体现“责任边界清晰”。 |
🎯 Q2：安全组（Security Group）和网络ACL有什么区别？
| 考察点 | 网络隔离深度理解、有无状态判定、生产环境架构能力。 |
| 回答框架 | 层级(SG:实例 vs NACL:子网) → 状态(SG:有状态 vs NACL:无状态) → 策略(SG:仅Allow vs NACL:Allow+Deny)。 |
| 示例回答 | 安全组是实例级 |