2025年AWS认证ECS数据加密与静态_传输中保护专题试卷及解析.docxVIP

2025年AWS认证ECS数据加密与静态_传输中保护专题试卷及解析

2025年AWS认证ECS数据加密与静态_传输中保护专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSElasticContainerService(ECS)中，如何确保存储在EBS卷上的容器数据在静态时被加密？

A、使用IAM策略限制访问

B、启用EBS卷加密

C、配置SecurityGroup规则

D、使用ApplicationLoadBalancer

【答案】B

【解析】正确答案是B。EBS卷加密是AWS提供的静态数据加密功能，通过KMS管理密钥，确保数据在存储时加密。A选项IAM策略控制访问权限但不加密数据；C选项SecurityGroup用于网络流量控制；D选项ALB用于流量分发。知识点：EBS加密机制。易错点：混淆访问控制与数据加密的区别。

2、以下哪项是AWSECS传输中加密的最佳实践？

A、使用HTTP协议

B、启用TLS1.2或更高版本

C、禁用SSL证书验证

D、使用默认VPC配置

【答案】B

【解析】正确答案是B。TLS1.2+是当前行业标准，提供端到端加密。A选项HTTP明文传输不安全；C选项禁用验证会降低安全性；D选项默认VPC不涉及加密配置。知识点：传输层安全协议。易错点：忽略TLS版本兼容性要求。

3、AWSECS任务角色（TaskRole）主要用于什么安全目的？

A、加密容器镜像

B、授予AWS服务访问权限

C、管理EC2实例密钥

D、控制容器间网络通信

【答案】B

【解析】正确答案是B。任务角色为容器提供临时AWS凭证，实现最小权限原则。A选项镜像加密使用ECR加密功能；C选项实例密钥由EC2密钥对管理；D选项网络通信由SecurityGroup控制。知识点：IAM角色应用场景。易错点：混淆任务角色与任务执行角色（TaskExecutionRole）。

4、当使用AWSFargate启动类型时，如何确保环境变量加密？

A、使用AWSSecretsManager

B、直接写入Dockerfile

C、存储在ECS任务定义中

D、通过EC2用户数据传递

【答案】A

【解析】正确答案是B。SecretsManager提供密钥轮换和加密存储，适合敏感数据。B选项明文存储不安全；C选项任务定义默认不加密；D选项用户数据仅适用于EC2实例。知识点：敏感数据管理最佳实践。易错点：低估环境变量泄露风险。

5、AWSECS如何实现容器镜像的静态加密？

A、使用ECR加密功能

B、在DockerHub设置私有仓库

C、通过S3存储镜像

D、启用ECS服务加密

【答案】A

【解析】正确答案是A。ECR默认使用KMS加密镜像层。B选项DockerHub不提供AWS级加密；C选项S3不适合镜像存储；D选项ECS服务加密不涉及镜像。知识点：ECR安全特性。易错点：混淆镜像存储与运行时加密。

6、以下哪项是启用ECS任务IAM角色的必要条件？

A、配置CloudWatch日志

B、指定任务执行角色ARN

C、使用EC2启动类型

D、启用VPC终端节点

【答案】B

【解析】正确答案是B。任务执行角色必须显式指定才能授权ECS服务调用AWSAPI。A选项日志配置非必需；C选项Fargate也支持；D选项终端节点可选。知识点：ECS角色配置要求。易错点：忽略任务执行角色的桥梁作用。

7、当需要加密跨可用区的ECS流量时，应使用什么？

A、NAT网关

B、VPC对等连接

C、TransitGateway

D、启用加密的负载均衡器

【答案】D

【解析】正确答案是D。加密的ALB/NLB提供跨AZ流量加密。A选项NAT用于出站流量；B选项对等连接默认不加密；C选项TGW需额外配置加密。知识点：跨AZ加密方案。易错点：忽视负载均衡器的加密能力。

8、AWSKMS在ECS加密中的主要作用是什么？

A、管理网络ACL规则

B、生成和存储加密密钥

C、监控容器性能

D、自动扩展容器实例

【答案】B

【解析】正确答案是B。KMS集中管理密钥生命周期。A选项ACL由网络组件管理；C选项监控由CloudWatch负责；D选项扩展由AutoScaling处理。知识点：KMS核心功能。易错点：混淆密钥管理与密钥使用。

9、如何验证ECS服务是否使用了加密的EBS卷？

A、检查EC2实例元数据

B、查看CloudTrail日志

C、通过AWSCLI描述卷属性

D、监控ECS服务指标

【答案】C

【解析】正确答案是C。CLI可查询EBS卷的Encrypted状态。A选项元数据不包含加密信息；B选项CloudTrail记录API调用；D选项监控指标不反映加密状态。知识点：加密状态验证方法。易错点：依赖间接验证手段。