2025年AWS认证AWSOrganizations多账户安全策略实施专题试卷及解析.pdfVIP

2025年AWS认证AWSORGANIZATIONS多账户安全策略实施专题试卷及解析1

2025年AWS认证AWSOrganizations多账户安全策略

实施专题试卷及解析

2025年AWS认证AWSOrganizations多账户安全策略实施专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSOrganizations中，以下哪种服务功能允许管理员为组织中的所有账户

创建和管理统一的服务控制策略（SCP）？

A、AWSIAM

B、AWSControlTower

C、AWSOrganizations

D、AWSConfig

【答案】C

【解析】正确答案是C。AWSOrganizations的核心功能之一就是通过服务控制策略

（SCP）集中管理多个账户的权限。A选项IAM仅管理单个账户权限；B选项Control

Tower依赖Organizations实现管控；D选项Config用于资源合规性审计。知识点：SCP

是Organizations的专属功能。易错点：容易混淆IAM策略和SCP的作用范围。

2、当需要限制成员账户只能创建特定区域的EC2实例时，应该使用哪种策略类

型？

A、IAM角色策略

B、SCP条件键

C、VPC端点策略

D、S3存储桶策略

【答案】B

【解析】正确答案是B。SCP通过条件键（如aws:RequestedRegion）可以实现区域

级权限控制。A选项无法跨账户生效；C选项仅限VPC内通信；D选项仅限S3资源。

知识点：SCP条件键扩展了权限控制维度。易错点：容易忽略SCP的条件键功能。

3、以下哪种情况会导致SCP策略失效？

A、成员账户未启用所有功能

B、管理账户未配置IAM权限

C、SCP附加到OU而非账户

D、策略包含Deny语句

【答案】A

【解析】正确答案是A。SCP仅在”所有功能”模式下生效，“仅整合结算”模式不支

持。B选项不影响SCP执行；C选项是正确用法；D选项是SCP的核心机制。知识

点：Organizations功能模式影响策略生效。易错点：容易忽略功能模式的前提条件。

2025年AWS认证AWSORGANIZATIONS多账户安全策略实施专题试卷及解析2

4、当需要强制所有成员账户启用MFA时，最佳实践是？

A、在成员账户单独配置

B、通过SCP强制IAM策略

C、使用AWSControlTower管控

D、依赖CloudTrail审计

【答案】B

【解析】正确答案是B。SCP可以通过条件键aws:MultiFactorAuthPresent强制

MFA。A选项效率低下；C选项底层仍依赖SCP；D选项仅审计不强制。知识点：SCP

可实现安全基线强制执行。易错点：容易混淆强制执行与事后审计的区别。

5、以下哪个SCP语句会阻止所有S3操作？

A、{“Effect”:“Allow”,“Action”:“s3:”,”Resource”:””}

B、{“Effect”:“Deny”,“Action”:“s3:ListBucket”,“Resource”:““}

C、{“Effect”:“Deny”,“Action”:[“s3:”],“Resource”:““}

D、{“Effect”:“Deny”,“NotAction”:“s3:”,”Resource”:””}

【答案】C

【解析】正确答案是C。明确的Deny语句会覆盖所有Allow权限。A选项是允许；

B选项仅限制列表操作；D选项语法错误。知识点：SCP的Deny优先级机制。易错

点：容易混淆Action和NotAction的用法。

6、当SCP与IAM策略冲突时，最终权限由什么决定？

A、IAM策略

B、SCP

C、两者取交集

D、默认拒绝

【答案】C

【解析】正确答案是C。SCP设定权限边界，IAM策略在边界内生效，两者取交集。

A选项忽略SCP限制