2025年AWS认证AWSOrganizations与AWSConfig集成专题试卷及解析.pdfVIP

2025年AWS认证AWSORGANIZATIONS与AWSCONFIG集成专题试卷及解析1

2025年AWS认证AWSOrganizations与AWSConfig

集成专题试卷及解析

2025年AWS认证AWSOrganizations与AWSConfig集成专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSOrganizations中，当需要确保所有成员账户的S3存储桶都启用了版

本控制时，应使用哪种服务组合来实现？

A、AWSControlTower+AWSConfig

B、AWSOrganizationsSCP+AWSConfig

C、AWSIAM角色+AWSConfig

D、AWSCloudTrail+AWSConfig

【答案】B

【解析】正确答案是B。AWSOrganizations的服务控制策略(SCP)可以限制成员

账户的操作权限，而AWSConfig可以监控和评估资源配置。两者结合可以实现强制合

规。A选项ControlTower更适合新账户设置，C选项IAM无法跨账户强制执行，D

选项CloudTrail只记录操作不评估配置。知识点：SCP与Config的联动机制。易错点：

混淆SCP与IAM的权限范围。

2、AWSConfig规则在多账户环境中部署时，哪种方法最符合成本效益原则？

A、在每个成员账户单独部署规则

B、使用AWSConfig聚合器集中管理

C、通过AWSLambda跨账户部署

D、利用AWSCloudFormationStackSets

【答案】B

【解析】正确答案是B。Config聚合器可以集中查看多账户配置数据，避免重复部

署规则。A选项成本高且管理复杂，C选项需要额外开发，D选项主要用于资源部署而

非配置聚合。知识点：Config聚合器的优势。易错点：忽视聚合器与StackSets的功能

差异。

3、当需要检测组织内所有账户的EC2实例是否使用指定AMI时，应优先配置哪

种Config规则类型？

A、托管规则

B、自定义规则

C、AWSConfigConformancePack

D、AWSConfig高级查询

【答案】A

2025年AWS认证AWSORGANIZATIONS与AWSCONFIG集成专题试卷及解析2

【解析】正确答案是A。AWS提供现成的托管规则如”ec2instanceapprovedamischeck”。

B选项需要开发，C选项是规则集合，D选项用于查询而非检测。知识点：托管规则的

应用场景。易错点：混淆规则类型与功能。

4、在AWSOrganizations中启用所有功能后，SCP的默认行为是什么？

A、允许所有操作

B、拒绝所有操作

C、仅允许只读操作

D、继承父级策略

【答案】A

【解析】正确答案是A。启用所有功能后，默认FullAWSAccessSCP允许所有操作。

B选项是禁用所有功能时的行为，C选项需要显式配置，D选项仅适用于OU层级。知

识点：SCP默认机制。易错点：混淆启用/禁用所有功能的差异。

5、AWSConfig规则评估频率最高的选项是？

A、24小时

B、12小时

C、1小时

D、连续触发

【答案】D

【解析】正确答案是D。配置变更触发的规则可以实时评估。其他选项都是周期性

评估的固定频率。知识点：Config触发机制。易错点：忽视连续触发的存在。

6、当需要限制成员账户创建特定区域的资源时，应如何配置SCP？

A、使用”aws:RequestedRegion”条件键

B、通过”aws:SourceRegion”条件键

C、设置区域白名单

D、禁用区域服务

【答案】A

【解析】正确答案是A。“aws:RequestedRegion”可以控制API调用的目标区域。B

选项用于日志记录，C选项SCP不支持，D选项需要单独配置。知识点：SCP条件键

的使用。易错