2025年AWS认证KMS与AWSSecretsManager对比与选择专题试卷及解析.docxVIP

2025年AWS认证KMS与AWSSecretsManager对比与选择专题试卷及解析

2025年AWS认证KMS与AWSSecretsManager对比与选择专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、某企业需要加密存储在S3中的敏感数据，且要求完全控制加密密钥的生命周期（包括创建、轮换和删除），应选择哪种AWS服务？

A、AWSSecretsManager

B、AWSKMS

C、AWSIAM

D、AWSCloudHSM

【答案】B

【解析】正确答案是B。AWSKMS提供完全的密钥管理控制权，包括密钥轮换策略和生命周期管理。A选项SecretsManager主要用于管理凭证而非纯密钥；C选项IAM是身份管理服务；D选项CloudHSM虽然提供更高控制权但成本更高且适用于合规性要求极高的场景。知识点：KMS的核心功能是密钥管理。易错点：混淆SecretsManager的凭证管理与KMS的密钥管理功能。

2、开发团队需要自动轮换数据库密码，并希望服务能内置轮换逻辑，应优先选择哪个服务？

A、AWSKMS

B、AWSSecretsManager

C、AWSParameterStore

D、AWSCertificateManager

【答案】B

【解析】正确答案是B。SecretsManager提供自动轮换功能，可直接集成Lambda函数实现密码更新。A选项KMS无法存储密码；C选项ParameterStore不支持自动轮换；D选项ACM用于证书管理。知识点：SecretsManager的自动轮换特性。易错点：误认为KMS可以处理密码轮换。

3、某金融应用需要FIPS1402Level3合规的硬件安全模块，应选择哪种方案？

A、AWSKMS默认密钥

B、AWSSecretsManager

C、AWSCloudHSM

D、AWSKMS自定义密钥存储

【答案】C

【解析】正确答案是C。CloudHSM提供专用硬件安全模块满足FIPS1402Level3要求。A/D选项KMS最高只支持Level2；B选项不涉及硬件模块。知识点：CloudHSM的合规性优势。易错点：混淆KMS和CloudHSM的合规等级。

4、需要加密EC2实例的系统盘，且希望密钥由AWS完全管理，应使用哪种密钥类型？

A、AWSSecretsManager密钥

B、AWSKMS客户托管密钥(CMK)

C、AWSKMSAWS托管密钥

D、AWSCloudHSM密钥

【答案】C

【解析】正确答案是C。AWS托管密钥（如aws/ebs）由AWS自动管理，适合基础加密需求。B选项CMK需要用户自行管理；A/D选项不适用EBS加密。知识点：KMS密钥类型差异。易错点：误认为所有场景都需要CMK。

5、某应用需要存储API密钥，且要求审计所有密钥访问行为，应选择哪个服务？

A、AWSKMS

B、AWSSecretsManager

C、AWSS3

D、AWSDynamoDB

【答案】B

【解析】正确答案是B。SecretsManager提供详细的CloudTrail日志记录密钥访问。A选项KMS不存储密钥值；C/D选项缺乏专门的安全审计功能。知识点：SecretsManager的审计能力。易错点：忽略审计需求对服务选择的影响。

6、需要跨AWS区域复制加密密钥，应使用哪种服务功能？

A、SecretsManager跨区域复制

B、KMS多区域密钥

C、CloudHSM集群复制

D、IAM角色复制

【答案】B

【解析】正确答案是B。KMS多区域密钥支持密钥同步。A选项SecretsManager不支持密钥复制；C选项CloudHSM需要手动管理；D选项IAM与密钥无关。知识点：KMS多区域功能。易错点：混淆密钥复制与密钥值复制。

7、某微服务架构需要集中管理数百个服务的配置参数，应优先选择哪个服务？

A、AWSKMS

B、AWSSecretsManager

C、AWSParameterStore

D、AWSCloudFormation

【答案】C

【解析】正确答案是C。ParameterStore专为配置管理设计，支持层次化参数。A/B选项不适合大规模配置；D选项是基础设施即代码工具。知识点：ParameterStore的定位。易错点：将配置管理与密钥管理混淆。

8、需要实现密钥的自动轮换且轮换间隔可自定义，应选择哪个服务？

A、AWSKMS

B、AWSSecretsManager

C、AWSCloudHSM

D、AWSIAM

【答案】B

【解析】正确答案是B。SecretsManager支持自定义轮换间隔。A选项KMS轮换间隔固定为1年；C/D选项