2025年AWS认证EKSPod安全策略与Pod安全准入控制器专题试卷及解析.docxVIP

2025年AWS认证EKSPod安全策略与Pod安全准入控制器专题试卷及解析

2025年AWS认证EKSPod安全策略与Pod安全准入控制器专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在EKS集群中，Pod安全标准（PodSecurityStandards）的restricted策略模式主要针对哪种安全需求？

A、允许所有特权操作

B、提供宽松的安全基线

C、实施最严格的安全限制

D、仅审计不限制

【答案】C

【解析】正确答案是C。restricted是Pod安全标准中最严格的策略模式，禁止特权容器、要求只读根文件系统等。A是privileged模式特征，B是baseline模式特征，D是audit模式特征。知识点：Pod安全标准的三种模式（restricted/baseline/privileged）。易错点：混淆baseline和restricted的严格程度。

2、EKS中Pod安全准入（PodSecurityAdmission）控制器默认在哪个Kubernetes版本后启用？

A、1.21

B、1.22

C、1.23

D、1.25

【答案】D

【解析】正确答案是D。Pod安全准入控制器在Kubernetes1.25+中默认启用，替代了已废弃的PodSecurityPolicy。EKS遵循上游K8s版本发布节奏。知识点：K8s安全策略演进历史。易错点：误认为1.23版本已默认启用（实际是beta特性）。

3、当Pod违反restricted策略时，Pod安全准入控制器的enforce模式会采取什么行动？

A、仅记录审计日志

B、拒绝Pod创建

C、自动修正配置

D、发送告警邮件

【答案】B

【解析】正确答案是B。enforce模式会直接拒绝违反策略的Pod创建请求。A是audit模式行为，C不存在自动修正功能，D需要额外配置。知识点：Pod安全准入的三种执行模式（enforce/audit/warn）。易错点：混淆audit和enforce的行为差异。

4、在EKS中配置Pod安全策略时，以下哪个字段不属于Pod安全标准的核心检查项？

A、securityContext.privileged

B、hostNetwork

C、resources.limits

D、readOnlyRootFilesystem

【答案】C

【解析】正确答案是C。资源限制（resources.limits）属于资源管理范畴，不是Pod安全标准检查项。A/B/D都是Pod安全标准的核心安全检查项。知识点：Pod安全标准的检查范围。易错点：误将资源管理纳入安全策略范畴。

5、EKS集群管理员想要为特定命名空间应用baseline策略，应该通过哪种Kubernetes对象实现？

A、NetworkPolicy

B、PodSecurityPolicy

C、Namespace标签

D、RoleBinding

【答案】C

【解析】正确答案是C。通过给Namespace添加podsecurity.kubernetes.io/enforce标签来应用策略。A是网络策略，B已废弃，D是权限绑定。知识点：Pod安全准入的策略应用方式。易错点：误以为需要创建专门的安全策略对象。

6、Pod安全标准中，以下哪种操作在restricted模式下被禁止？

A、使用非root用户运行容器

B、挂载宿主机目录

C、设置CPU限制

D、使用健康检查探针

【答案】B

【解析】正确答案是B。restricted模式禁止hostPath卷挂载。A/C/D都是推荐的安全实践。知识点：restricted模式的具体限制项。易错点：混淆安全限制和资源管理限制。

7、在EKS中启用Pod安全准入后，以下哪种方式可以临时绕过策略检查？

A、使用特权ServiceAccount

B、设置Pod的securityContext

C、修改命名空间标签

D、使用kubectl的dryrun参数

【答案】C

【解析】正确答案是C。通过修改命名空间的podsecurity.kubernetes.io/enforce标签为空可以临时绕过。A/B无法绕过，D只是测试。知识点：Pod安全准入的绕过方法。易错点：误以为特权SA可以绕过策略。

8、Pod安全准入控制器检查Pod安全策略的时机是？

A、Pod运行时

B、Pod调度前

C、Pod创建时

D、Pod删除时

【答案】C

【解析】正确答案是C。准入控制器在APIServer处理Pod创建请求时进行检查。A是运行时检查，B是调度器行为，D是删除流程。知识点：Kubernetes准入控制链的工作时机。易错点：混淆准入控制和运行时监控。

9、EKS集群中，以下哪个Pod安全标准版本是当前推荐的稳定版本？

A、v1.0

B、v1.1