2025年AWS认证AWSControlTower日志聚合中断或数据丢失排查专题试卷及解析.pdfVIP

2025年AWS认证AWSCONTROLTOWER日志聚合中断或数据丢失排查专题试卷及解析1

2025年AWS认证AWSControlTower日志聚合中断或

数据丢失排查专题试卷及解析

2025年AWS认证AWSControlTower日志聚合中断或数据丢失排查专题试卷及解

析

第一部分：单项选择题（共10题，每题2分）

1、在AWSControlTower中，当发现成员账户的CloudTrail日志未聚合到审计账

户时，首先应该检查哪个配置？

A、IAM角色的权限策略

B、S3存储桶的生命周期策略

C、CloudTrail的服务链接角色

D、ControlTower的注册状态

【答案】C

【解析】正确答案是C。CloudTrail的服务链接角色（AWSCloudTrailServiceRole）是

日志聚合的关键组件，如果该角色缺失或权限异常会导致日志无法传输。A选项IAM

角色权限虽然重要，但通常在ControlTower自动配置时已正确设置；B选项S3生

命周期策略影响日志存储而非传输；D选项注册状态影响管控而非日志聚合。知识点：

CloudTrail服务链接角色是日志聚合的必要条件。易错点：容易忽略服务链接角色而直

接检查IAM权限。

2、AWSControlTower日志聚合使用哪种服务实现跨账户日志传输？

A、AWSConfig

B、AmazonKinesis

C、AWSResourceAccessManager

D、AWSOrganizations

【答案】B

【解析】正确答案是B。ControlTower使用KinesisDataFirehose实现跨账户日志

传输，A选项Config用于配置跟踪；C选项RAM用于资源共享；D选项Organizations

提供账户管理但不直接传输日志。知识点：KinesisDataFirehose是ControlTower日

志聚合的核心传输服务。易错点：容易混淆Config和Kinesis的功能。

3、当发现ControlTower日志聚合延迟时，最可能的原因是？

A、S3存储桶版本控制未启用

B、KinesisDataFirehose缓冲区配置过大

C、CloudWatchLogs保留期过短

D、IAM角色信任策略错误

【答案】B

2025年AWS认证AWSCONTROLTOWER日志聚合中断或数据丢失排查专题试卷及解析2

【解析】正确答案是B。KinesisDataFirehose缓冲区配置过大会导致日志传输延

迟，A选项版本控制影响存储而非传输；C选项保留期影响存储时长；D选项信任策略

错误会导致完全无法传输而非延迟。知识点：Kinesis缓冲区大小直接影响传输时效性。

易错点：容易忽略缓冲区配置对延迟的影响。

4、ControlTower日志聚合失败时，应该优先检查哪个CloudWatch指标？

A、DeliveryToS3.Success

B、IncomingBytes

C、DeliveryToS3.DataFreshness

D、RecordsPerSecond

【答案】A

【解析】正确答案是A。DeliveryToS3.Success直接反映传输成功率，B选项Incom-

ingBytes反映输入量；C选项DataFreshness反映延迟；D选项RecordsPerSecond反

映吞吐量。知识点：CloudWatch指标是排查日志聚合问题的关键工具。易错点：容易

选择反映延迟而非成功率的指标。

5、AWSControlTower日志聚合的默认存储位置是？

A、审计账户的S3存储桶

B、管理账户的S3存储桶

C、成员账户的S3存储桶

D、集中式CloudWatchLogs

【答案】A

【解析】正确答案是A。ControlTower默认将日志聚合到审计账户的S3存储桶，B

选项管理账户用于管控；C选项成员账户是日志源；D选项CloudWatchLog