2025年AWS认证EKS安全组策略配置与最佳实践专题试卷及解析.pdfVIP

2025年AWS认证EKS安全组策略配置与最佳实践专题试卷及解析1

2025年AWS认证EKS安全组策略配置与最佳实践专题

试卷及解析

2025年AWS认证EKS安全组策略配置与最佳实践专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AmazonEKS中，当需要为工作节点组配置安全组时，以下哪种做法是最佳

实践？

A、使用默认安全组规则，不做任何修改

B、创建专用的安全组，仅开放必要的端口和协议

C、将所有端口开放给/0以确保最大兼容性

D、为每个Pod单独创建安全组

【答案】B

【解析】正确答案是B。创建专用的安全组并遵循最小权限原则是EKS安全组配置

的最佳实践。A选项默认规则可能过于宽松；C选项完全开放所有端口存在严重安全风

险；D选项为每个Pod创建安全组会导致管理复杂度剧增且不必要。知识点：安全组

最小权限原则。易错点：误认为默认规则足够安全或过度开放端口。

2、EKS集群的安全组策略(SGP)主要用于控制什么？

A、Pod到Pod的网络流量

B、节点到互联网的流量

C、控制平面到节点的流量

D、负载均衡器到服务的流量

【答案】A

【解析】正确答案是A。安全组策略专门用于控制Pod级别的网络流量，这是EKS

特有的网络策略实现方式。B、C、D选项分别由节点安全组、集群安全组和负载均衡

器安全组控制。知识点：SGP与普通安全组的区别。易错点：混淆SGP与常规安全组

的作用范围。

3、当配置EKS安全组策略时，以下哪个CIDR块表示”仅允许来自同一VPC的

流量”？

A、/0

B、/8

C、VPC的CIDR范围

D、/12

【答案】C

【解析】正确答案是C。使用VPC的CIDR范围可以精确限制仅允许来自同一VPC

的流量。A选项是所有IP；B和D选项是RFC1918私有地址范围，但可能包含非本

2025年AWS认证EKS安全组策略配置与最佳实践专题试卷及解析2

VPC的地址。知识点：CIDR表示法。易错点：误用私有地址范围代替具体VPCCIDR。

4、在EKS中，安全组策略(SGP)和网络安全组(NSG)的主要区别是什么？

A、SGP用于Pod级别，NSG用于节点级别

B、SGP是AWS原生功能，NSG是第三方工具

C、SGP支持IPv6，NSG不支持

D、SGP需要额外付费，NSG免费

【答案】A

【解析】正确答案是A。SGP是EKS特有的Pod级别网络策略，而NSG是常规

的节点级别安全组。B选项错误，两者都是AWS原生功能；C选项两者都支持IPv6；

D选项两者都包含在EKS费用中。知识点：EKS网络策略层次。易错点：混淆不同层

次的网络控制机制。

5、当需要允许EKS工作节点访问EC2API时，应该配置什么？

A、出站规则允许443端口到EC2端点

B、入站规则允许80端口从EC2端点

C、出站规则允许22端口到EC2端点

D、入站规则允许443端口从EC2端点

【答案】A

【解析】正确答案是A。节点需要通过HTTPS(443端口)出站访问EC2API。B和

D选项方向错误；C选项使用SSH端口(22)不正确。知识点：AWSAPI访问模式。易

错点：混淆入站/出站方向和端口号。

6、EKS安全组策略中的”安全组ID”字段应该填写什么？

A、Pod所在节点的安全组ID

B、集群控制平面的安全组ID

C、要应用策略的Pod的安全组ID

D、VPC的默认安全组ID

【答案】C

【解析】正确答案是C。SGP中的安全组ID字段指定要应用策略的Pod的安全

组。A和B选项是其他组件的安全组；D选项默认安全组通常不用于生产环境。知识

点：SG