2025年AWS认证AWSOrganizations运维自动化实践专题试卷及解析.pdfVIP

2025年AWS认证AWSORGANIZATIONS运维自动化实践专题试卷及解析1

2025年AWS认证AWSOrganizations运维自动化实践

专题试卷及解析

2025年AWS认证AWSOrganizations运维自动化实践专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSOrganizations中，以下哪种服务策略类型最适合用于限制成员账户只

能创建特定类型的EC2实例？

A、SCP（服务控制策略）

B、IAM策略

C、VPC端点策略

D、S3存储桶策略

【答案】A

【解析】正确答案是A。SCP是AWSOrganizations中用于控制成员账户权限的核

心机制，可以限制账户可用的操作和资源类型。B选项IAM策略是账户级别的权限控

制，无法跨账户限制；C选项VPC端点策略仅控制对特定服务的访问；D选项S3存

储桶策略仅针对S3资源。知识点：SCP的作用范围和限制能力。易错点：混淆SCP与

IAM策略的适用场景。

2、当需要自动为新加入组织的成员账户应用统一的基线配置时，最推荐使用哪种

AWS服务？

A、AWSConfig

B、AWSControlTower

C、AWSCloudFormationStackSets

D、AWSSystemsManager

【答案】C

【解析】正确答案是C。CloudFormationStackSets专门用于跨多个账户和区域部署

模板化资源，最适合自动配置新成员账户。B选项ControlTower虽然能设置防护护栏，

但定制化能力有限；A选项Config仅用于合规检查；D选项SystemsManager主要用

于实例管理。知识点：StackSets的跨账户部署能力。易错点：误认为ControlTower可

以完全替代StackSets的配置功能。

3、在多账户环境中，以下哪种方法最符合最小权限原则来授予管理员访问所有成

员账户的权限？

A、在管理账户创建具有所有权限的IAM用户

B、使用IAM角色和STSAssumeRole

C、在每个成员账户创建相同的IAM用户

D、通过AWSSSO分配完全访问权限

2025年AWS认证AWSORGANIZATIONS运维自动化实践专题试卷及解析2

【答案】B

【解析】正确答案是B。通过IAM角色和STS临时凭证可以实现最小权限的跨账

户访问。A选项违反最小权限原则；C选项管理复杂且不安全；D选项AWSSSO虽然

方便但可能授予过多权限。知识点：跨账户访问的最佳实践。易错点：忽略临时凭证相

比长期凭证的安全性优势。

4、当组织需要强制所有成员账户启用CloudTrail日志时，应该使用哪种机制？

A、成员账户手动配置

B、AWSConfig规则

C、Organizations服务控制策略

D、AWSTrustedAdvisor

【答案】C

【解析】正确答案是C。SCP可以强制要求成员账户必须启用CloudTrail，否则相

关操作会被拒绝。A选项无法保证一致性；B选项只能检测不合规；D选项仅提供建

议。知识点：SCP的强制执行能力。易错点：混淆检测工具(Config)和强制工具(SCP)

的区别。

5、在AWSOrganizations中，以下哪种OU（组织单元）结构最有利于实施渐进

式权限控制？

A、单层扁平结构

B、按部门分层结构

C、按环境分层结构

D、按区域分层结构

【答案】C

【解析】正确答案是C。按环境(prod/staging/dev)分层可以逐步收紧生产环境的

权限。A选项无法实现差异化控制；B选项部门结构可能导致权限过宽；D选项区域分

层不符合AWS全球架构原则。知识点：OU设计原则。易错点：忽略环境隔离的重要

性。

6、当需要自动检测成员账户中不符合安全基线的资