2025年AWS认证AWSControlTower运维监控与告警体系构建专题试卷及解析.pdfVIP

2025年AWS认证AWSCONTROLTOWER运维监控与告警体系构建专题试卷及解析1

2025年AWS认证AWSControlTower运维监控与告警

体系构建专题试卷及解析

2025年AWS认证AWSControlTower运维监控与告警体系构建专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSControlTower中，以下哪个服务是构建集中式日志记录的核心组件？

A、AWSConfig

B、AmazonCloudWatchLogs

C、AWSCloudTrail

D、AWSSecurityHub

【答案】B

【解析】正确答案是B。AmazonCloudWatchLogs是AWSControlTower推荐的

集中式日志记录解决方案，用于收集、存储和分析来自所有账户的日志。A选项AWS

Config主要用于配置跟踪，C选项CloudTrail记录API调用，D选项SecurityHub专

注于安全合规。知识点：AWSControlTower日志架构。易错点：容易混淆CloudWatch

Logs和CloudTrail的功能。

2、ControlTower的Guardrail中，以下哪种类型属于强制性控制？

A、检测性Guardrail

B、预防性Guardrail

C、建议性Guardrail

D、监控性Guardrail

【答案】B

【解析】正确答案是B。预防性Guardrail通过SCP（服务控制策略）强制执行，阻

止不符合策略的操作。A选项检测性Guardrail仅检测违规但不阻止，C和D不是官

方分类。知识点：ControlTowerGuardrail类型。易错点：容易忽略预防性和检测性的

根本区别。

3、在ControlTower多账户环境中，以下哪个服务最适合用于跨账户的集中式告

警管理？

A、AmazonSNS

B、AWSLambda

C、AmazonEventBridge

D、AWSSystemsManager

【答案】C

【解析】正确答案是C。AmazonEventBridge支持跨账户事件路由和规则匹配，是

ControlTower推荐的集中式告警解决方案。A选项SNS仅负责通知，B选项Lambda

2025年AWS认证AWSCONTROLTOWER运维监控与告警体系构建专题试卷及解析2

需要额外开发，D选项SSM主要用于配置管理。知识点：ControlTower事件驱动架

构。易错点：容易误选SNS而忽略EventBridge的路由能力。

4、ControlTower的LandingZone部署后，默认创建的OU（组织单元）数量是？

A、1个

B、2个

C、3个

D、4个

【答案】B

【解析】正确答案是B。ControlTower默认创建CoreOU（用于共享服务）和Custom

OU（用于业务账户）两个OU。知识点：ControlTower基础架构。易错点：容易忽略

CoreOU的存在。

5、以下哪个Guardrail会阻止在S3存储桶中禁用版本控制？

A、s3bucketversioningenabled

B、s3bucketencryptionenabled

C、s3bucketpublicreadprohibited

D、s3bucketserverencryptionenabled

【答案】A

【解析】正确答案是B。s3bucketversioningenabled是预防性Guardrail，强制要求

S3存储桶启用版本控制。其他选项分别关注加密和公开访问。知识点：ControlTower

内置Guardrail。易错点：容易混淆版本控制和加密相关的Guardrail名称。

6、在ControlTower中，以下哪个服务用于自动修复检测到的配置偏差？

A、AWSAutoRemediation

B、AWSConfigRule