2025年AWS认证AmazonCognito与ActiveDirectory集成专题试卷及解析.pdfVIP

2025年AWS认证AMAZONCOGNITO与ACTIVEDIRECTORY集成专题试卷及解析1

2025年AWS认证AmazonCognito与

ActiveDirectory集成专题试卷及解析

2025年AWS认证AmazonCognito与ActiveDirectory集成专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、当企业需要将现有的本地ActiveDirectory（AD）与AmazonCognito用户池集

成以实现联合身份验证时，应使用哪种Cognito功能？

A、CognitoIdentityPools

B、CognitoUserPoolswithSAMLIdP

C、CognitoSync

D、CognitoUserPoolswithSocialIdP

【答案】B

【解析】正确答案是B。CognitoUserPools支持通过SAML2.0协议与ADFS

（ActiveDirectoryFederationServices）集成，这是连接本地AD的标准方式。A选项

IdentityPools用于临时AWS凭证管理，C选项Sync是已弃用的数据同步功能，D选

项SocialIdP仅支持第三方社交登录。知识点：SAML联合身份验证。易错点：混淆

UserPools和IdentityPools的功能定位。

2、在Cognito与AD集成场景中，哪种配置允许用户使用AD凭据直接登录Cognito

托管UI？

A、启用密码加密传输

B、配置AD作为SAML身份提供商

C、设置LDAP直连

D、使用OAuth2.0授权码流

【答案】B

【解析】正确答案是B。只有将AD配置为SAMLIdP才能实现AD凭据登录

CognitoUI。A选项是安全措施但不解决认证问题，C选项Cognito不支持LDAP直

连，D选项OAuth适用于API认证而非UI登录。知识点：SAML认证流程。易错点：

误认为Cognito支持LDAP直连。

3、当AD用户通过Cognito认证后，如何获取临时AWS凭证访问S3？

A、直接使用ADKerberos票据

B、通过CognitoIdentityPool映射IAM角色

C、调用CognitoUserPools的token端点

D、使用ADFS生成的SAML断言

【答案】B

2025年AWS认证AMAZONCOGNITO与ACTIVEDIRECTORY集成专题试卷及解析2

【解析】正确答案是B。IdentityPool负责将认证后的用户映射到IAM角色并生成

临时凭证。A选项Kerberos不能用于AWSAPI，C选项UserPoolstoken不包含AWS

权限，D选项SAML断言需通过IdentityPool转换。知识点：凭证转换机制。易错点：

混淆UserPoolstoken和AWS凭证的区别。

4、在AD与Cognito集成中，哪种场景需要配置属性映射？

A、用户密码验证

B、同步AD属性到Cognito用户配置文件

C、生成SAML响应

D、建立SSL连接

【答案】B

【解析】正确答案是B。属性映射用于将AD属性（如email、department）同步到

Cognito用户池。A选项密码验证由SAML处理，C选项SAML响应由ADFS生成，

D选项SSL是传输层配置。知识点：属性映射规则。易错点：忽略属性同步的必要性。

5、当需要限制只有特定AD组的用户能访问应用时，应在Cognito中配置什么？

A、IAM策略条件

B、SAML断言中的组成员资格

C、Cognito用户池触发器

D、Lambda授权器

【答案】B

【解析】正确答案是B。通过SAML断言传递AD组成员信息，Cognito可基于此

进行访问控制。A选项IAM策略控制AWS资源而非应用访问，C