2025年AWS认证不同类型KMS密钥（CMK）成本与性能对比专题试卷及解析.pdfVIP

2025年AWS认证不同类型KMS密钥（CMK）成本与性能对比专题试卷及解析1

2025年AWS认证不同类型KMS密钥（CMK）成本与

性能对比专题试卷及解析

2025年AWS认证不同类型KMS密钥（CMK）成本与性能对比专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSKMS中，哪种类型的CMK（客户主密钥）具有最低的月度费用，但

每次API调用会产生额外费用？

A、AWS托管密钥（AWSManagedCMK）

B、客户托管密钥（CustomerManagedCMK）

C、自定义密钥存储（CustomKeyStore）

D、AWS拥有的密钥（AWSOwnedCMK）

【答案】A

【解析】正确答案是A。AWS托管密钥（如aws/s3）的月度费用最低（免费），但

每次API调用会产生费用。客户托管密钥有固定月费+API调用费，自定义密钥存储

费用最高。AWS拥有的密钥完全免费但不可管理。知识点：KMS密钥类型定价模型。

易错点：混淆”免费”与”最低成本”的区别。

2、当需要最高级别的密钥隔离和控制时，应选择哪种KMS密钥类型？

A、AWS托管密钥

B、客户托管密钥

C、AWSCloudHSM中的自定义密钥存储

D、AWS拥有的密钥

【答案】C

【解析】正确答案是C。自定义密钥存储使用CloudHSM提供硬件安全模块级别的

隔离，是AWS中密钥控制级别最高的选项。客户托管密钥虽可管理但仍在AWSKMS

基础设施内。知识点：密钥隔离级别。易错点：误认为客户托管密钥提供最高控制。

3、哪种KMS密钥类型支持自动轮换且无需额外配置？

A、客户托管密钥

B、AWS托管密钥

C、自定义密钥存储

D、AWS拥有的密钥

【答案】B

【解析】正确答案是B。AWS托管密钥（如aws/ebs）默认启用自动轮换，每年一

次。客户托管密钥需手动启用轮换，自定义密钥存储不支持自动轮换。知识点：密钥轮

换机制。易错点：混淆”支持轮换”与”自动轮换”的区别。

4、在性能方面，哪种KMS密钥类型通常具有最低的API调用延迟？

2025年AWS认证不同类型KMS密钥（CMK）成本与性能对比专题试卷及解析2

A、AWS托管密钥

B、客户托管密钥

C、自定义密钥存储

D、所有类型性能相同

【答案】C

【解析】正确答案是C。自定义密钥存储（CloudHSM）通常具有最低延迟，因为密

钥操作在专用硬件上执行。其他类型共享AWSKMS基础设施。知识点：密钥性能特

征。易错点：误认为所有类型性能相同。

5、当需要跨AWS区域复制密钥时，应使用哪种功能？

A、客户托管密钥

B、AWS托管密钥

C、自定义密钥存储

D、多区域密钥

【答案】D

【解析】正确答案是D。多区域密钥是专门为跨区域复制设计的功能，其他密钥类

型不支持原生跨区域复制。知识点：密钥复制机制。易错点：误认为客户托管密钥支持

跨区域复制。

6、哪种KMS密钥类型会产生数据密钥缓存费用？

A、AWS托管密钥

B、客户托管密钥

C、自定义密钥存储

D、所有类型

【答案】B

【解析】正确答案是B。只有客户托管密钥支持数据密钥缓存，会产生额外费用。其

他类型不支持此功能。知识点：数据密钥缓存。易错点：忽略缓存功能的专属费用。

7、当需要审计密钥使用情况时，哪种密钥类型提供最详细的CloudTrail日志？

A、AWS托管密钥

B、客户托管密钥

C、自定义密钥存储

D、所有类型相同

【答案】B

【解析】正确答案是B。客户托管密钥提供最详细的CloudTrail日志，包括密钥策

略变更等。AWS托管密钥日志较简化。知识点：审计能力差异。易错点：误认为所有

类型日志相同。

8、哪种KMS密钥类型支持导入外部密钥材料？

2025年AWS认证不同类型KMS密钥（CMK）成本与性能对比专题试卷及解析3

A、AWS托管密钥