2025年AWS认证Lambda函数加密与密钥管理专题试卷及解析.docxVIP

2025年AWS认证Lambda函数加密与密钥管理专题试卷及解析

2025年AWS认证Lambda函数加密与密钥管理专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSLambda中，当需要使用客户主密钥（CMK）对环境变量进行加密时，应使用哪种服务？

A、AWSSecretsManager

B、AWSKMS

C、AWSCloudHSM

D、AWSCertificateManager

【答案】B

【解析】正确答案是B。AWSKMS（KeyManagementService）是专门用于管理加密密钥的服务，Lambda使用KMS来加密环境变量。A选项SecretsManager用于管理敏感信息而非环境变量加密；C选项CloudHSM提供硬件安全模块但过于复杂；D选项ACM用于SSL/TLS证书管理。知识点：Lambda环境变量加密机制。易错点：混淆SecretsManager和KMS的适用场景。

2、Lambda函数在执行过程中需要访问加密的S3对象，最安全的密钥传递方式是？

A、将密钥硬编码在函数代码中

B、通过IAM角色授权访问KMS密钥

C、将密钥存储在Lambda环境变量中

D、通过APIGateway传递密钥

【答案】B

【解析】正确答案是B。通过IAM角色授权是最安全的方式，避免了密钥的静态存储。A选项硬编码存在严重安全风险；C选项环境变量虽然可以加密但不如IAM角色灵活；D选项通过API传递会增加暴露风险。知识点：Lambda权限管理最佳实践。易错点：忽视IAM角色在密钥管理中的核心作用。

3、当Lambda函数需要自动轮换数据库凭证时，应该使用哪个AWS服务？

A、AWSKMS

B、AWSIAM

C、AWSSecretsManager

D、AWSCloudTrail

【答案】C

【解析】正确答案是C。SecretsManager提供自动轮换凭证功能，特别适合数据库等动态凭证管理。A选项KMS只管理密钥不管理凭证；B选项IAM不适用于数据库凭证；D选项CloudTrail用于审计日志。知识点：动态凭证管理服务选择。易错点：混淆密钥管理和凭证管理的区别。

4、Lambda函数的代码加密存储在哪个位置？

A、S3存储桶

B、EBS卷

C、DynamoDB表

D、EFS文件系统

【答案】A

【解析】正确答案是A。Lambda函数代码默认存储在加密的S3存储桶中。B选项EBS用于EC2实例；C选项DynamoDB是NoSQL数据库；D选项EFS是文件系统服务。知识点：Lambda存储架构。易错点：不清楚Lambda代码的实际存储位置。

5、在KMS中，当需要跨区域使用加密密钥时，应该采用哪种方式？

A、直接复制密钥

B、创建多区域密钥

C、导出密钥材料

D、使用共享密钥

【答案】B

【解析】正确答案是B。多区域密钥是KMS提供的跨区域密钥同步解决方案。A选项直接复制密钥违反安全原则；C选项导出密钥材料会降低安全性；D选项共享密钥概念不适用。知识点：KMS多区域密钥管理。易错点：不了解多区域密钥的特殊机制。

6、Lambda函数访问加密的DynamoDB表时，需要配置的最小权限是？

A、dynamodb:*

B、kms:Decrypt

C、dynamodb:GetItem和kms:Decrypt

D、iam:PassRole

【答案】C

【解析】正确答案是C。需要同时具备DynamoDB数据访问权限和KMS解密权限。A选项权限过大；B选项缺少DynamoDB权限；D选项PassRole用于角色传递不相关。知识点：最小权限原则应用。易错点：忘记加密数据需要额外的KMS权限。

7、当Lambda函数需要使用客户提供的密钥材料时，应该使用哪种KMS密钥类型？

A、AWS托管密钥

B、客户托管密钥

C、自定义密钥存储

D、默认密钥

【答案】B

【解析】正确答案是B。客户托管密钥（CMK）允许导入自己的密钥材料。A选项AWS托管密钥不支持导入；C选项自定义密钥存储使用CloudHSM；D选项默认密钥由AWS完全管理。知识点：KMS密钥类型选择。易错点：混淆不同密钥类型的特性。

8、Lambda函数的执行日志默认加密方式是？

A、不加密

B、使用AWS托管KMS密钥

C、使用客户托管KMS密钥

D、使用SSEKMS

【答案】B

【解析】正确答案是B。CloudWatchLogs默认使用AWS托管KMS密钥加密。A选项错误，日志默认加密；C选项需要额外配置；D选项SSEKMS是S3加密方式。知识点：Lambda日志加密机制。易错点：不清楚默认加密配置。

9、当需要审计Lambda函数的密钥使用情况时，应该使用哪个服务？

A、AWSConfig

B、AWSCloudTrail

C