2025年AWS认证AWSControlTower医疗保健行业数据保护方案专题试卷及解析.pdfVIP

2025年AWS认证AWSCONTROLTOWER医疗保健行业数据保护方案专题试卷及解析1

2025年AWS认证AWSControlTower医疗保健行业数

据保护方案专题试卷及解析

2025年AWS认证AWSControlTower医疗保健行业数据保护方案专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSControlTower中，以下哪项功能最适合用于确保医疗保健行业的所有

账户都符合HIPAA合规性要求？

A、AWSConfig规则

B、AWSCloudTrail日志记录

C、ControlTower防护护栏

D、IAM角色策略

【答案】C

【解析】正确答案是C。ControlTower防护护栏是专门用于强制执行合规性策略的

功能，可以防止账户创建不合规的资源。A选项AWSConfig规则只能检测不合规资源，

无法主动阻止；B选项CloudTrail仅记录API调用，不具合规控制能力；D选项IAM

角色策略仅限于单个账户内的权限管理。知识点：ControlTower防护护栏类型（预防

性vs检测性）。易错点：误将检测性工具（如Config）当作预防性控制。

2、医疗保健客户使用ControlTower部署后，需要实现跨账户的加密密钥管理。以

下哪种方案最符合AWS最佳实践？

A、在每个账户中创建独立的KMS密钥

B、使用AWSKMS多区域密钥

C、通过ControlTower集中管理KMS密钥策略

D、使用AWSSecretsManager存储密钥

【答案】B

【解析】正确答案是B。多区域密钥支持跨区域加密数据，满足医疗数据异地容灾

需求。A选项会导致密钥管理复杂度增加；C选项ControlTower不直接管理KMS密

钥；D选项SecretsManager用于凭证管理而非数据加密。知识点：KMS密钥类型选

择。易错点：混淆密钥管理与凭证管理工具。

3、在医疗保健场景中，ControlTower的哪种防护护栏类型最适合防止S3存储桶

意外公开？

A、检测性护栏：s3bucketpublicreadprohibited

B、预防性护栏：s3bucketlevelpublicaccessprohibited

C、检测性护栏：s3bucketencryptionenabled

D、预防性护栏：s3bucketserversideencryptionenabled

【答案】B

2025年AWS认证AWSCONTROLTOWER医疗保健行业数据保护方案专题试卷及解析2

【解析】正确答案是B。预防性护栏会直接阻止公开访问的S3存储桶创建，而检测

性护栏仅事后告警。A和C选项属于检测性；D选项仅强制加密不控制访问权限。知

识点：防护护栏执行模式差异。易错点：未区分”阻止”与”检测”的功能差异。

4、医疗保健客户需要确保ControlTower环境中的所有VPC都启用流日志。应优

先采用哪种方法？

A、在ControlTower中启用AWSConfig托管规则

B、通过CloudFormation部署VPC流日志

C、使用ControlTower的VPC流日志防护护栏

D、手动在每账户中启用流日志

【答案】C

【解析】正确答案是C。ControlTower提供专门的VPC流日志防护护栏，可统一

强制启用。A选项Config仅检测不强制；B选项需要额外管理模板；D选项违反集中

治理原则。知识点：ControlTower原生防护护栏覆盖范围。易错点：误以为需要自定

义解决方案。

5、当医疗保健组织需要快速隔离受感染的账户时，ControlTower的哪项功能最有

效？

A、SCP服务控制策略

B、账户工厂重置

C、ControlTower紧急访问

D、防护护栏更新

【答案】A

【解析】正确答案是A。SCP可以立即限制账户的所有AWSAPI访问权限。B选

项会删除账户资源；C选项用于紧急管理而非隔离；D选项更新护栏需要时间生效。知

识点：SCP的