2025年AWS认证AWSOrganizations服务控制策略（SCP）基础专题试卷及解析.pdfVIP

2025年AWS认证AWSORGANIZATIONS服务控制策略（SCP）基础专题试卷及解析1

2025年AWS认证AWSOrganizations服务控制策略

（SCP）基础专题试卷及解析

2025年AWS认证AWSOrganizations服务控制策略（SCP）基础专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSOrganizations中，服务控制策略（SCP）的主要作用是什么？

A、管理IAM用户和组的权限

B、控制AWS账户级别的服务访问权限

C、加密AWS资源

D、监控AWS资源使用情况

【答案】B

【解析】正确答案是B。SCP是AWSOrganizations中用于控制账户级别权限的策

略，它定义了账户中IAM实体（用户、角色）可以执行的最大权限。A选项是IAM策

略的功能，C选项是KMS的功能，D选项是CloudWatch的功能。知识点：SCP的作

用范围和限制。易错点：容易混淆SCP与IAM策略的功能，SCP是边界控制而非权

限授予。

2、以下哪个SCP语句会阻止所有账户删除S3存储桶？

A、{“Effect”:“Allow”,“Action”:“s3:”,”Resource”:””}

B、{“Effect”:“Deny”,“Action”:“s3:DeleteBucket”,“Resource”:““}

C、{“Effect”:“Deny”,“Action”:[“s3:DeleteBucket”,“s3:ListBucket”],“Resource”:““}

D、{“Effect”:“Allow”,“Action”:“s3:ListBucket”,“Resource”:““}

【答案】B

【解析】正确答案是B。SCP中的”Deny”语句会显式阻止指定操作，“s3:DeleteBucket”

是删除S3存储桶的API操作。A选项是允许所有S3操作，C选项包含了不必要的

ListBucket操作，D选项只允许列表操作。知识点：SCP的Effect和Action字段使用。

易错点：容易混淆Allow和Deny的效果，在SCP中Deny优先级更高。

3、SCP可以附加到以下哪些组织实体？

A、仅根账户

B、仅OU（组织单元）

C、仅成员账户

D、根、OU和成员账户

【答案】D

【解析】正确答案是D。SCP可以附加到组织的根、OU或单个成员账户，但根账

户不受SCP限制。知识点：SCP的附加范围。易错点：容易忽略根账户虽然可以附加

SCP但不受其限制的特性。

2025年AWS认证AWSORGANIZATIONS服务控制策略（SCP）基础专题试卷及解析2

4、当SCP与IAM策略冲突时，AWS如何处理？

A、IAM策略优先

B、SCP优先

C、随机选择一个

D、报错拒绝请求

【答案】B

【解析】正确答案是B。SCP定义了权限边界，即使IAM策略允许某个操作，如果

SCP拒绝，请求仍会被拒绝。知识点：SCP与IAM策略的优先级。易错点：容易误解

IAM策略可以覆盖SCP限制。

5、以下哪个操作不受SCP限制？

A、创建EC2实例

B、删除IAM角色

C、修改组织结构

D、上传文件到S3

【答案】C

【解析】正确答案是C。SCP不限制组织级别的管理操作（如创建OU、移动账户

等），这些操作由组织管理员权限控制。知识点：SCP的例外情况。易错点：容易误以

为SCP限制所有操作。

6、SCP中的”Principal”字段可以指定什么？

A、具体IAM用户

B、具体IAM角色

C、AWS账户

D、SCP不支持Principal字段

【答案】D

【解析】正确答案是D。SCP与IAM策略不同，不支持Principal字段，它默认应

用于附加范围内的所有IAM实体。知识点：SCP与IAM策略的结构差异。易错点：容

易将IAM策略的语法套用到SCP。

7、以下哪个SCP