先了解这张认证
PCCSE（Palo Alto Networks Certified Cloud Security Engineer）验证候选人使用 Prisma Cloud 平台保护多云环境的能力。考试 80 题 / 120 分钟 / $250 USD，有效期 2 年。
Prisma Cloud 是 Palo Alto 通过收购 RedLock（CSPM）、Twistlock（容器安全）、PureSec（Serverless 安全）和 Bridgecrew（IaC 扫描）整合而成的 CNAPP（Cloud Native Application Protection Platform）。PCCSE 考试覆盖 Prisma Cloud 的五大模块：Cloud Security Posture Management (CSPM) — 合规检查、Alert 规则、RQL 查询语言；Cloud Workload Protection (CWP) — Defender 部署（DaemonSet/Sidecar）、漏洞扫描、运行时防护；Cloud Code Security — IaC 扫描（Terraform/CloudFormation）、Git 仓库集成；Cloud Network Security — 微分段策略、网络可视化；Cloud Identity Security — IAM 过度授权检测。
Prisma Cloud 在 Gartner 2024 CNAPP 魔力象限排 Leader，但市场竞争激烈 — Wiz、Orca、Lacework 都在抢份额。PCCSE 对使用 Prisma Cloud 的企业有直接价值，但不像 AWS SCS-C02 那样有平台通用性。
考试档案
- 考试代码
- PCCSE
- 发证机构
- 其他
- 题型
- 单选题 / 多选题
- 考试语言
- English
- 证书有效期
- 2 年
- 考试费
- $250
你会学到的技能
学完能做什么
- 获得 Palo Alto Networks PCCSE 官方认证，Prisma Cloud 平台工程师资质
- 能够独立配置 Prisma Cloud CSPM/CWPP/CIEM 三大模块，实现多云安全态势管理
- 部署 Kubernetes Defender（DaemonSet/Helm）和 Agentless 扫描，覆盖容器全生命周期安全
- 将 Checkov IaC 扫描集成到 GitHub/Jenkins CI/CD 流水线，实现 Shift Left 安全
- 澳洲市场 Cloud Security Engineer/DevSecOps Engineer 薪资区间约 AUD $110,000-$150,000
适合这样的你
- 云安全工程师（Cloud Security Engineer）负责企业 Prisma Cloud 平台的配置、维护和合规报告
- DevSecOps 工程师将安全扫描（IaC/容器镜像）集成到 CI/CD 流水线（GitHub Actions/Jenkins/GitLab CI）
- Kubernetes 平台管理员（Platform Engineer）希望部署 Prisma Cloud Defender 保护容器工作负载
- 已有 AWS/Azure/GCP 云安全经验、希望获得 Palo Alto Prisma Cloud 官方认证的安全专业人员
开始前需要什么
- 了解公有云基础服务（AWS VPC/IAM/EC2/S3、Azure AD/VNET、GCP Projects/IAM）
- 具备 Kubernetes 和容器基础知识（Pod/Namespace/RBAC/DaemonSet 概念）
- 了解云安全基础概念（CSPM/CWPP/CIEM/DevSecOps/IaC）
- 建议有 3-6 个月 Prisma Cloud 平台实际使用经验
- 了解 CI/CD 流水线基础（GitHub Actions/Jenkins 集成经验有帮助）
一步一步，准备好考试
6 个章节 · 学习路径
安排你的备考
- 课程学习时长
- 40h
- 有相关实操经验
- 6-8 周
- 从基础开始
- 12-16 周
- 建议日投入
- 1-2h
备考支持
- CWPP Defender 选型专项：Container/Host/Serverless/App-Embedded/Agentless 五种类型的部署场景和优劣对比
- CSPM 合规配置：20+ 合规框架（CIS/NIST/PCI-DSS/HIPAA/GDPR）设置、Alert Rule 配置和通知集成（Jira/ServiceNow）
- 235+ 精选 PCCSE 场景题，覆盖 Kubernetes 准入控制、网络微分段和 BIOC 运行时检测规则
- IaC 安全集成：Checkov 开源工具、Prisma Cloud Code Security 模块和 CI/CD PR 扫描配置
- 仿真模拟考试（80 题/120 分钟），Prisma Cloud 是澳洲企业云安全合规的主流平台选择
1. 第一阶段：Prisma Cloud 控制台熟悉（1-2 周）
申请 Prisma Cloud 30 天试用，连接一个 AWS 或 Azure 账号。第一周跑通 CSPM 流程：Onboard Cloud Account → 查看 Compliance Dashboard → 创建一条自定义 Alert Rule → 用 RQL 查询 config from cloud.resource where 搜一个 S3 bucket。
2. 第二阶段：CSPM + RQL 深入（2-3 周）
RQL（Resource Query Language）是 PCCSE 考试的重点，类似 SQL 但语法独特。必须掌握三种查询类型：config from（资源配置）、network from（网络流）、event from（审计日志）。每种至少写 10 个不同查询，练到能手写 config from cloud.resource where api.name = 'aws-ec2-describe-security-groups' AND json.rule = ... 这种级别。
3. 第三阶段：CWP + Code Security（2 周）
在 K8s 集群上部署 Defender（DaemonSet 模式），观察漏洞扫描和运行时保护的工作方式。Code Security 部分重点是 Checkov（Bridgecrew 的开源 IaC 扫描工具）与 Prisma Cloud 的集成 — 考试会考 Terraform plan 扫描的配置流程。
4. 第四阶段：模考复习（1-2 周）
Palo Alto Beacon 平台的 PCCSE 模拟题是最接近真实考试的资源。重点回顾 CSPM Alert 规则的优先级逻辑、Defender 类型选择（Container/Host/Serverless/App-Embedded）、Compliance Framework 的映射关系。
这张认证的职业价值
Prisma Cloud 是 Palo Alto 增长最快的产品线（FY2024 ARR 超过 $4B），但 CNAPP 市场竞争极其激烈。LinkedIn 上搜 "Prisma Cloud" 的澳洲岗位约 40-60 个，美国约 300-500 个，但很多 JD 写的是 "CNAPP experience" 而非 "PCCSE required"。
这张证最适合两类人：1) 已经在用 Prisma Cloud 的团队成员，考证能证明你掌握了整个平台（CSPM + CWP + Code Security）；2) 云安全咨询师，需要 Palo Alto Partner 认证来投标项目。
不适合的人：纯 AWS/Azure 原生安全方向（考对应云厂商的安全认证更实用）、不接触云工作负载的传统安全岗位。
- 澳洲
- AUD 140,000 – 185,000
- 美国
- USD 130,000 – 180,000
- 新加坡
- SGD 95,000 – 145,000
备考时，做好这些事
- **RQL 查询题手写练习** — 考前一周每天写 5 条 RQL，覆盖 config/network/event 三种类型。
- **Compliance Framework 映射背常见的** — CIS Benchmark、SOC 2、HIPAA、PCI-DSS 在 Prisma Cloud 里的预置 Policy 对应关系。
- **Defender 部署决策树** — K8s 用 DaemonSet、ECS Fargate 用 App-Embedded、EC2 用 Host Defender、Lambda 用 Serverless Defender。这个选型逻辑考了多次。
这些误区要避开
- **RQL 语法死记硬背** — 不在控制台练直接背语法，上考场根本写不出来。RQL 的 `json.rule` 过滤器嵌套逻辑、`addcolumn` 函数这些只有动手才能掌握。
- **混淆 CSPM 和 CWP 的 Alert 机制** — CSPM Alert 基于 Policy（合规基线），CWP Alert 基于 Runtime Rule（运行时行为检测）。两套系统独立运作，考试爱出场景题让你判断用哪个。
- **忽略 Compute 模块的 Defender 选型** — Container Defender (DaemonSet) vs Host Defender vs App-Embedded Defender 的差异是高频考点，尤其是 Serverless 场景用 App-Embedded 而不是 DaemonSet。
报名之前，你可能想问
PCCSE 考试难度如何？
PCCSE 考试涵盖 Prisma Cloud 平台的云安全架构、合规治理、运行时防护等内容，考试时长 120 分钟，建议有 3-6 个月的系统备考时间。通过本课程的系统练习，可以有效提升通过率。
考试费用是多少？
PCCSE 考试费用为 $250 USD。认证有效期为 2 年，到期后需要重新认证。
PCCSE 认证适合什么背景的人？
适合有云安全工作经验、熟悉 Prisma Cloud 平台的工程师，以及希望在多云/混合云安全领域获得权威认证的 DevSecOps 从业者。
如何高效使用本课程备考？
建议先完成所有章节的学习，再通过模拟考试检验薄弱环节，最后利用错题本进行针对性复习。每天投入 1-2 小时，持续 4-8 周即可做好充分准备。
听听学过的人怎么说
评价加载中…
公司从 AWS-native security 迁到 Prisma Cloud，我负责整个迁移。考试比预期难 — RQL 查询题占了约 25%，不是选选关键词那种，是给你一个安全需求让你写完整查询。建议在 Prisma Cloud 控制台多练 Investigate 页面的 RQL。
DevSecOps 工程师 2 年
金融科技公司 · 约 80% · 8 周
我是做 Palo Alto Partner 认证的，PCCSE 是 Partner 等级要求之一。CWP 部分最难 — Defender 的四种部署类型（Container/Host/Serverless/App-Embedded）各自的限制和适用场景必须分清楚，考了 5-6 道。
W. Tan
Cloud Security Consultant · 10 周
从第一章，开始你的备考。
前 2 章免费试学 · 完整备考 $39 起