2025年AWS认证KMS审计与监控基础专题试卷及解析.docxVIP

2025年AWS认证KMS审计与监控基础专题试卷及解析

2025年AWS认证KMS审计与监控基础专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSKMS中，以下哪项服务最适合用于监控KMS密钥的使用情况并生成详细的审计日志？

A、AWSCloudTrail

B、AmazonCloudWatch

C、AWSConfig

D、AWSIAM

【答案】A

【解析】正确答案是A。AWSCloudTrail专门用于记录API调用，包括KMS密钥的创建、使用和删除等操作，提供详细的审计日志。B选项CloudWatch主要用于监控指标和告警，不能提供详细的API调用日志；C选项Config用于资源配置跟踪，不记录API调用详情；D选项IAM用于身份和访问管理，不直接提供审计日志功能。知识点：CloudTrail的审计功能。易错点：混淆CloudTrail和CloudWatch的用途。

2、当需要限制KMS密钥只能由特定的IAM角色使用时，应该使用哪种策略？

A、密钥策略

B、IAM策略

C、VPC端点策略

D、S3存储桶策略

【答案】A

【解析】正确答案是A。密钥策略是KMS特有的资源策略，直接控制谁可以使用密钥。B选项IAM策略虽然也能控制访问，但密钥策略是主要控制机制；C选项VPC端点策略控制网络访问，不直接控制密钥使用；D选项S3策略与KMS无关。知识点：KMS密钥策略的优先级。易错点：误认为IAM策略可以完全替代密钥策略。

3、以下哪项是KMS密钥轮换的主要目的？

A、提高加密性能

B、减少密钥泄露风险

C、降低存储成本

D、简化密钥管理

【答案】B

【解析】正确答案是B。密钥轮换通过定期更换加密密钥来降低长期使用同一密钥带来的泄露风险。A选项性能与轮换无关；C选项存储成本不受影响；D选项轮换实际增加了管理复杂度。知识点：密钥轮换的安全意义。易错点：混淆轮换与自动化的关系。

4、在KMS中，以下哪种密钥类型由AWS完全管理？

A、客户管理的密钥（CMK）

B、AWS管理的密钥

C、自定义密钥存储

D、导入的密钥材料

【答案】B

【解析】正确答案是B。AWS管理的密钥由AWS自动创建和管理，用户无法控制其生命周期。A选项CMK由用户管理；C选项自定义密钥存储需要用户配置；D选项导入的密钥材料由用户提供。知识点：KMS密钥类型的区别。易错点：混淆AWS管理密钥和CMK的管理责任。

5、以下哪项操作会触发KMS生成CloudTrail日志？

A、查看密钥ARN

B、修改密钥描述

C、列出密钥别名

D、获取密钥策略

【答案】B

【解析】正确答案是B。修改密钥描述属于管理操作，会被CloudTrail记录。A、C、D选项属于只读操作，通常不会生成管理类日志。知识点：CloudTrail记录的操作类型。易错点：误认为所有KMS操作都会被记录。

6、当需要检测KMS密钥的异常使用模式时，应该使用哪种服务？

A、AWSGuardDuty

B、AmazonMacie

C、AWSCloudWatchLogsInsights

D、AWSSecurityHub

【答案】C

【解析】正确答案是C。CloudWatchLogsInsights可以分析CloudTrail日志，检测异常使用模式。A选项GuardDuty主要检测网络威胁；B选项Macie专注于数据发现；D选项SecurityHub聚合安全状态但不直接分析日志。知识点：日志分析工具的选择。易错点：混淆安全服务的功能范围。

7、以下哪项是KMS密钥策略的必需元素？

A、Sid

B、Effect

C、Principal

D、Condition

【答案】C

【解析】正确答案是C。Principal是密钥策略的必需元素，指定谁可以访问密钥。A、B、D选项是可选元素。知识点：密钥策略的语法结构。易错点：误认为所有元素都是必需的。

8、当需要跨账户使用KMS密钥时，必须配置哪种策略？

A、密钥策略中的跨账户Principal

B、IAM角色中的sts:AssumeRole

C、VPC端点策略

D、S3存储桶策略

【答案】A

【解析】正确答案是A。跨账户使用需要在密钥策略中明确指定外部账户的Principal。B选项用于角色假设，不直接控制密钥访问；C、D选项与跨账户密钥使用无关。知识点：KMS跨账户访问机制。易错点：混淆跨账户访问和角色假设。

9、以下哪项操作会立即禁用KMS密钥？

A、删除密钥材料

B、设置密钥状态为Disabled

C、删除密钥别名

D、修改密钥策略

【答案】B

【解析】正确答案是B。显式设置密钥状态为Disabled会立即禁用密钥。A选项删除密钥材料会使密钥不可用，但不是标准禁用方式；C、D选项不影响密钥可用性。知识点：密钥状态管理。易错