2025年AWS认证AWSOrganizations组织单元（OU）设计与管理专题试卷及解析.pdfVIP

2025年AWS认证AWSORGANIZATIONS组织单元（OU）设计与管理专题试卷及解析1

2025年AWS认证AWSOrganizations组织单元（OU）

设计与管理专题试卷及解析

2025年AWS认证AWSOrganizations组织单元（OU）设计与管理专题试卷及解

析

第一部分：单项选择题（共10题，每题2分）

1、在AWSOrganizations中，组织单元（OU）的主要作用是什么？

A、存储和管理IAM用户

B、对账户进行逻辑分组并应用策略

C、替代AWSIAM角色

D、直接管理EC2实例

【答案】B

【解析】正确答案是B。OU的核心功能是对AWS账户进行逻辑分组，并允许通过

服务控制策略（SCP）对这些账户批量应用权限边界。A选项错误，因为IAM用户由

IAM服务管理；C选项错误，OU不能替代IAM角色；D选项错误，EC2实例由各账

户独立管理。知识点：OU的基本功能。易错点：混淆OU与IAM的功能边界。

2、以下哪种SCP格式允许所有服务操作？

A、{“Effect”:“Deny”,“Action”:““}

B、{“Effect”:“Allow”,“Action”:““}

C、{“Effect”:“Deny”,“NotAction”:““}

D、{“Effect”:“Allow”,“NotAction”:““}

【答案】D

【解析】正确答案是D。“NotAction”:“”配合”Allow”效果等同于允许所有操作。A选

项是全拒绝策略；B选项虽然语法正确但实际会被默认拒绝覆盖；C选项是拒绝所有

非””操作（即无实际作用）。知识点：SCP的Action/NotAction逻辑。易错点：忽略SCP

默认拒绝的特性。

3、当需要将生产环境账户与开发环境账户严格隔离时，最佳OU设计实践是？

A、将所有账户放在根OU下

B、创建生产OU和开发OU分别管理

C、使用单个OU但通过标签区分

D、完全禁用开发OU的SCP

【答案】B

【解析】正确答案是B。通过创建独立的OU可以实现环境隔离，并应用不同的SCP

策略。A选项无法实现隔离；C选项标签不能替代OU的权限控制；D选项完全禁用

2025年AWS认证AWSORGANIZATIONS组织单元（OU）设计与管理专题试卷及解析2

SCP会失去安全控制。知识点：OU的隔离设计原则。易错点：低估OU在环境隔离中

的重要性。

4、SCP策略的优先级规则是？

A、子OU策略覆盖父OU策略

B、父OU策略覆盖子OU策略

C、按字母顺序应用

D、随机应用

【答案】B

【解析】正确答案是B。AWSOrganizations中，父OU的SCP会限制子OU和账

户的权限，子OU策略不能放宽父OU的限制。A选项错误；C/D选项无实际依据。知

识点：SCP的继承机制。易错点：误认为子OU可以覆盖父策略。

5、以下哪种情况需要启用所有功能（AllFeatures）？

A、仅需要账单整合

B、需要使用SCP策略

C、只需要合并账单

D、仅使用consolidatedbilling

【答案】B

【解析】正确答案是B。SCP策略属于高级功能，需要启用AllFeatures模式。A/C/D

选项仅需合并账单功能即可。知识点：Organizations功能模式选择。易错点：混淆基础

功能与高级功能的区别。

6、当账户被移出OU时，该账户会？

A、保留原有SCP权限

B、自动转移到根OU

C、失去所有SCP限制

D、需要手动重新配置

【答案】C

【解析】正确答案是C。账户移出OU后不再受任何SCP限制（仅受根OU默认

策略影响）。A选项错误；B选项不会自动转移；D选项不需要手动操作。知识点：账

户与OU的解耦机制。易错点：忽略SCP的即时失效特性。

7、OU的最大嵌套深度是？

A、3层

B、5层

C、无限制