2025年AWS认证AmazonGlacier数据加密机制专题试卷及解析.docxVIP

2025年AWS认证AmazonGlacier数据加密机制专题试卷及解析

2025年AWS认证AmazonGlacier数据加密机制专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、AmazonGlacier默认采用哪种加密方式保护存储的数据？

A、客户提供的密钥（SSEC）

B、AWSKMS管理的密钥（SSEKMS）

C、AmazonGlacier管理的密钥（SSEGlacier）

D、不加密

【答案】C

【解析】正确答案是C。AmazonGlacier默认使用服务器端加密（SSEGlacier），由AWS管理加密密钥。A选项SSEC需要客户自行管理密钥；B选项SSEKMS适用于需要更细粒度控制的场景；D选项错误，Glacier始终加密数据。知识点：Glacier默认加密机制。易错点：混淆SSEKMS和SSEGlacier的区别。

2、使用SSEKMS加密Glacier档案时，以下哪项是正确的？

A、无法使用客户自主管理密钥（CMK）

B、支持密钥轮换策略

C、不产生额外费用

D、加密密钥由客户完全控制

【答案】B

【解析】正确答案是B。SSEKMS支持AWSKMS的密钥轮换功能。A选项错误，可以使用CMK；C选项错误，KMS调用会产生费用；D选项错误，密钥由KMS管理而非客户完全控制。知识点：SSEKMS特性。易错点：忽视KMS调用成本。

3、以下哪种情况适合使用SSEC加密Glacier数据？

A、需要AWS管理所有密钥

B、必须使用HSM硬件加密

C、客户已有密钥管理系统

D、数据无需长期归档

【答案】C

【解析】正确答案是C。SSEC适用于客户已有密钥管理系统的场景。A选项应选择SSEGlacier；B选项需要CloudHSM；D选项与加密方式无关。知识点：SSEC适用场景。易错点：混淆SSEC与SSEKMS的适用条件。

4、Glacier的加密操作发生在哪个阶段？

A、数据上传前

B、数据写入磁盘时

C、数据检索时

D、数据传输过程中

【答案】B

【解析】正确答案是B。Glacier在数据写入存储层时执行加密。A选项错误，客户端无需预先加密；C选项检索时解密；D选项传输使用TLS加密。知识点：Glacier加密时机。易错点：混淆存储加密与传输加密。

5、使用SSEKMS时，以下哪项权限是必需的？

A、kms:Encrypt权限

B、s3:PutObject权限

C、glacier:UploadArchive权限

D、ec2:DescribeInstances权限

【答案】A

【解析】正确答案是A。SSEKMS需要kms:Encrypt权限。B选项是S3权限；C选项是Glacier基础权限但非加密专用；D选项无关。知识点：KMS权限要求。易错点：忽视加密操作需要单独的KMS权限。

6、Glacier深度归档层的加密与其他存储层有何不同？

A、使用更强加密算法

B、加密方式完全相同

C、不支持客户自定义密钥

D、仅支持AWS托管密钥

【答案】B

【解析】正确答案是B。所有Glacier存储层使用相同的加密机制。A选项错误，算法一致；C、D选项错误，都支持SSEC/SSEKMS。知识点：Glacier各存储层加密一致性。易错点：误认为不同存储层加密机制不同。

7、以下哪项是Glacier加密密钥的存储位置？

A、客户本地

B、AWSKMS

C、Glacier服务内部

D、CloudHSM

【答案】C

【解析】正确答案是C。SSEGlacier的密钥存储在Glacier服务内部。A选项对应SSEC；B选项对应SSEKMS；D选项需要单独配置。知识点：默认加密密钥存储位置。易错点：混淆不同加密方式的密钥存储位置。

8、启用SSEKMS后，Glacier档案的元数据中会包含什么？

A、完整加密密钥

B、KMS密钥ID

C、客户主密钥

D、加密算法版本

【答案】B

【解析】正确答案是B。元数据包含KMS密钥ID而非密钥本身。A选项错误，不会存储完整密钥；C选项错误，CMK不存储在元数据；D选项错误，算法信息不公开。知识点：SSEKMS元数据特征。易错点：误以为元数据包含敏感信息。

9、以下哪种操作会触发Glacier数据重新加密？

A、修改档案描述

B、执行数据检索

C、更改存储类别

D、设置生命周期策略

【答案】C

【解析】正确答案是C。更改存储类别会触发数据重新加密。A、B、D选项不涉及数据重写。知识点：Glacier重新加密触发条件。易错点：忽视存储类别变更的影响。

10、Glacier加密数据的解密发生在哪里？

A、客户端

B、CloudFront边缘节点

C、Glacier服务端

D、S3存储桶

【答案】C

【解析】正确答案是C。解密在Glacier服务端完成。A选项错误，客户端无需解密；B选