2025年AWS认证KMS自定义密钥存储的架构与优势专题试卷及解析.docxVIP

2025年AWS认证KMS自定义密钥存储的架构与优势专题试卷及解析

2025年AWS认证KMS自定义密钥存储的架构与优势专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSKMS自定义密钥存储（CustomKeyStore）中，密钥材料主要存储在哪里？

A、AWSKMS管理的默认密钥存储

B、客户自己管理的AWSCloudHSM集群

C、AmazonS3加密存储桶

D、AWSSecretsManager

【答案】B

【解析】正确答案是B。AWSKMS自定义密钥存储允许客户将密钥材料存储在自己管理的AWSCloudHSM集群中，提供更高的控制权和合规性。选项A是默认KMS密钥存储，不符合自定义存储的定义；选项C和D是其他AWS服务，与KMS自定义密钥存储无关。知识点：自定义密钥存储的核心架构。易错点：混淆默认KMS存储与自定义存储的区别。

2、创建AWSKMS自定义密钥存储时，必须满足以下哪个前提条件？

A、拥有活跃的AWSOrganizations配置

B、已创建并配置AWSCloudHSM集群

C、启用AWSIAMIdentityCenter

D、配置AmazonVPC端点

【答案】B

【解析】正确答案是B。自定义密钥存储需要预先配置CloudHSM集群作为密钥材料的存储后端。选项A、C、D虽然可能相关，但不是创建自定义密钥存储的必要条件。知识点：自定义密钥存储的部署前提。易错点：忽略CloudHSM集群的先决条件。

3、自定义密钥存储中的密钥轮换（KeyRotation）由谁负责执行？

A、客户手动执行

B、AWSKMS自动执行

C、CloudHSM集群自动执行

D、第三方审计机构执行

【答案】B

【解析】正确答案是B。即使密钥存储在CloudHSM中，密钥轮换仍由AWSKMS服务自动管理。选项A错误，因为轮换是自动化的；选项C和D与实际机制不符。知识点：KMS服务与CloudHSM的职责分工。易错点：误认为CloudHSM会接管所有密钥管理操作。

4、当使用自定义密钥存储时，加密操作的请求会经过哪个组件？

A、直接发送到CloudHSM

B、通过AWSKMS代理转发

C、由AWSLambda处理

D、AmazonAPIGateway路由

【答案】B

【解析】正确答案是B。AWSKMS代理负责将加密请求转发到CloudHSM集群。选项A错误，因为请求不会直接发送到CloudHSM；选项C和D是无关服务。知识点：自定义密钥存储的请求流程。易错点：混淆KMS代理与直接访问CloudHSM的区别。

5、自定义密钥存储的密钥策略（KeyPolicy）由谁定义？

A、AWSKMS服务自动生成

B、客户在创建时指定

C、CloudHSM集群默认策略

D、AWSIAM角色继承

【答案】B

【解析】正确答案是B。密钥策略由客户在创建自定义密钥存储时明确指定。选项A错误，因为策略不是自动生成的；选项C和D与密钥策略的定义机制无关。知识点：密钥策略的配置方式。易错点：忽略客户对密钥策略的控制权。

6、如果CloudHSM集群不可用，自定义密钥存储会发生什么？

A、密钥材料自动备份到S3

B、加密操作会失败

C、密钥切换到默认KMS存储

D、AWS会自动恢复集群

【答案】B

【解析】正确答案是B。CloudHSM集群不可用会导致加密操作失败，因为密钥材料无法访问。选项A、C、D均不符合实际行为。知识点：自定义密钥存储的可用性依赖。易错点：低估CloudHSM集群可用性的重要性。

7、自定义密钥存储的审计日志主要记录在哪里？

A、AWSCloudTrail

B、CloudHSM本地日志

C、AmazonCloudWatch

D、AWSConfig

【答案】A

【解析】正确答案是A。审计日志通过AWSCloudTrail记录，与其他KMS操作一致。选项B是CloudHSM的本地日志，不用于KMS审计；选项C和D是其他监控服务。知识点：审计日志的统一管理。易错点：混淆CloudHSM日志与KMS审计日志。

8、自定义密钥存储的密钥材料可以导出吗？

A、可以，通过CloudHSM客户端

B、可以，通过KMSAPI

C、不可以，密钥材料始终不可导出

D、仅限AWS支持团队导出

【答案】C

【解析】正确答案是C。无论存储在哪里，KMS密钥材料始终不可导出。选项A、B、D均违反KMS的安全原则。知识点：密钥材料的不可导出性。易错点：误认为CloudHSM允许导出密钥材料。

9、自定义密钥存储的计费模式是什么？

A、仅按KMS操作计费

B、仅CloudHSM集群费用

C、KMS操作费+CloudHSM集群费

D、固定月费

【答案】C

【解析】正确答案是C。计费包括KMS操作费