2025年AWS认证IAM策略在CodeBuild与CodePipeline中的集成专题试卷及解析.pdfVIP

2025年AWS认证IAM策略在CODEBUILD与CODEPIPELINE中的集成专题试卷及解析1

2025年AWS认证IAM策略在CodeBuild与

CodePipeline中的集成专题试卷及解析

2025年AWS认证IAM策略在CodeBuild与CodePipeline中的集成专题试卷及

解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSCodeBuild中，以下哪个IAM策略元素用于限制构建项目只能访问特

定的S3存储桶？

A、Action

B、Resource

C、Effect

D、Principal

【答案】B

【解析】正确答案是B。Resource元素用于指定策略适用的资源，可以通过ARN格

式限制访问特定S3存储桶。Action定义允许的操作，Effect决定允许或拒绝，Principal

用于基于资源的策略。知识点：IAM策略元素。易错点：混淆Action和Resource的作

用。

2、CodePipeline需要调用CodeBuild时，应该使用哪种IAM实体？

A、IAM用户

B、IAM角色

C、IAM组

D、根账户

【答案】B

【解析】正确答案是B。CodePipeline通过IAM角色临时获取权限调用CodeBuild，

这是AWS服务间集成的最佳实践。IAM用户适用于长期访问，组用于权限管理，根账

户应避免日常使用。知识点：服务角色概念。易错点：误用IAM用户代替角色。

3、以下哪个JSON策略语法用于允许CodeBuild读取ECR镜像？

A、“ecr:GetAuthorizationToken”

B、“ecr:BatchGetImage”

C、“ecr:PutImage”

D、“ecr:InitiateLayerUpload”

【答案】B

【解析】正确答案是B。BatchGetImage是ECR中用于拉取镜像的核心API。GetAu-

thorizationToken用于获取认证令牌，PutImage和InitiateLayerUpload用于推送镜像。

知识点：ECR权限操作。易错点：混淆拉取和推送的API。

2025年AWS认证IAM策略在CODEBUILD与CODEPIPELINE中的集成专题试卷及解析2

4、在CodePipeline中，以下哪个条件键可以限制操作只能来自特定IP？

A、aws:SourceIp

B、aws:RequestedRegion

C、aws:MultiFactorAuthPresent

D、aws:CurrentTime

【答案】A

【解析】正确答案是A。aws:SourceIp是IAM中用于IP限制的标准条件键。Re-

questedRegion限制区域，MultiFactorAuthPresent检查MFA，CurrentTime用于时间

限制。知识点：IAM条件键。易错点：混淆不同条件键的用途。

5、CodeBuild项目需要访问DockerHub时，应该配置什么？

A、VPC端点

B、访问凭证

C、NAT网关

D、安全组规则

【答案】B

【解析】正确答案是B。访问外部Docker仓库需要配置访问凭证。VPC端点用于

AWS服务，NAT网关用于出站互联网访问，安全组控制网络流量。知识点：外部仓库

认证。易错点：误用网络配置代替凭证配置。

6、以下哪个策略语句会拒绝所有操作？

A、“Effect”:“Allow”,“Action”:“”

B、“Effect”:“Deny”,“Action”:“”

C、“Effect”:“Allow”,“NotAction”:“”

D、“Effect”:“Deny”,“NotAction”:“”

【答案】B

【解析】正确答案是B。显式Deny优先于Allow，“Action”:““表示所有操作。其

他选项要么是允许所有，要么是逻辑错误。知识点：IAM策略评估逻辑。易错点：忽略