2025年AWS认证IAM策略与权限管理责任专题试卷及解析.docxVIP

2025年AWS认证IAM策略与权限管理责任专题试卷及解析

2025年AWS认证IAM策略与权限管理责任专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSIAM中，哪种策略类型直接附加到用户、组或角色，用于定义其权限？

A、基于资源的策略

B、基于身份的策略

C、权限边界

D、服务控制策略（SCP）

【答案】B

【解析】正确答案是B。基于身份的策略直接附加到IAM身份（用户、组、角色），定义这些身份可以执行的操作。A选项基于资源的策略附加到资源（如S3存储桶），控制谁可以访问该资源。C选项权限边界用于限制基于身份策略和基于资源策略授予的最大权限。D选项服务控制策略是AWSOrganizations中的功能，用于管理组织内账户的权限。知识点：IAM策略类型及其应用场景。易错点：混淆基于身份的策略和基于资源的策略的附加对象。

2、以下哪个IAM策略元素用于指定策略适用的条件？

A、Effect

B、Action

C、Resource

D、Condition

【答案】D

【解析】正确答案是D。Condition元素用于指定策略生效的条件，如时间限制、IP地址等。A选项Effect指定允许（Allow）或拒绝（Deny）。B选项Action指定允许或拒绝的操作。C选项Resource指定策略适用的资源。知识点：IAM策略语法结构。易错点：混淆Condition与其他策略元素的功能。

3、在IAM中，哪种角色类型适用于AWS服务（如EC2实例）以代表您执行操作？

A、AWS服务角色

B、跨账户角色

C、身份提供商角色

D、自定义角色

【答案】A

【解析】正确答案是A。AWS服务角色允许AWS服务代表您执行操作，如EC2实例访问S3存储桶。B选项跨账户角色用于不同AWS账户之间的权限委托。C选项身份提供商角色用于联合身份用户访问AWS资源。D选项自定义角色是用户创建的角色，不属于特定类型。知识点：IAM角色类型及其用途。易错点：混淆不同角色类型的应用场景。

4、以下哪种IAM策略评估逻辑是正确的？

A、默认拒绝，显式允许优先于显式拒绝

B、默认允许，显式拒绝优先于显式允许

C、默认拒绝，显式拒绝优先于显式允许

D、默认允许，显式允许优先于显式拒绝

【答案】C

【解析】正确答案是C。IAM策略评估逻辑是默认拒绝所有请求，显式允许（Allow）可以覆盖默认拒绝，但显式拒绝（Deny）始终优先于显式允许。知识点：IAM策略评估逻辑。易错点：混淆默认行为和优先级顺序。

5、在IAM中，哪种策略类型用于限制IAM实体（用户或角色）可以拥有的最大权限？

A、基于身份的策略

B、基于资源的策略

C、权限边界

D、服务控制策略（SCP）

【答案】C

【解析】正确答案是C。权限边界用于限制IAM实体可以拥有的最大权限，即使基于身份的策略授予更高权限。A选项基于身份的策略直接定义权限。B选项基于资源的策略控制资源访问。D选项服务控制策略是组织级别的权限管理。知识点：权限边界的作用。易错点：混淆权限边界与基于身份的策略的功能。

6、以下哪个IAM全局条件键用于限制请求的来源IP地址？

A、aws:SourceIp

B、aws:RequestedRegion

C、aws:CurrentTime

D、aws:MultiFactorAuthPresent

【答案】A

【解析】正确答案是A。aws:SourceIp用于限制请求的来源IP地址。B选项aws:RequestedRegion限制请求的区域。C选项aws:CurrentTime限制请求的时间。D选项aws:MultiFactorAuthPresent检查是否进行了多因素认证。知识点：IAM全局条件键。易错点：混淆不同条件键的用途。

7、在IAM中，哪种策略类型允许跨账户访问资源？

A、基于身份的策略

B、基于资源的策略

C、权限边界

D、服务控制策略（SCP）

【答案】B

【解析】正确答案是B。基于资源的策略（如S3存储桶策略）可以指定其他AWS账户的IAM实体访问资源。A选项基于身份的策略仅适用于同一账户内的实体。C选项权限边界不涉及跨账户访问。D选项服务控制策略是组织级别的功能。知识点：基于资源的策略的跨账户访问能力。易错点：混淆基于资源的策略和基于身份的策略的适用范围。

8、以下哪种IAM角色类型适用于联合身份用户（如通过SAML或OpenIDConnect）？

A、AWS服务角色

B、跨账户角色

C、身份提供商角色

D、自定义角色

【答案】C

【解析】正确答案是C。身份提供商角色用于联合身份用户（如通过SAML或OpenIDConnect）访问AWS资源。A选项AWS服务角色用于AWS服务。B选项跨账户角色用于不同AWS账户之间的权限委托。D选项自定义角色是用户创建的角色