2025年AWS认证IAMIdentityCenter与APIGateway集成实现OIDC授权专题试卷及解析.pdfVIP

2025年AWS认证IAMIDENTITYCENTER与APIGATEWAY集成实现OIDC授权专题试卷及解析

2025年AWS认证IAMIdentityCenter与

APIGateway集成实现OIDC授权专题试卷及解析

2025年AWS认证IAMIdentityCenter与APIGateway集成实现OIDC授权专题

试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSIAMIdentityCenter与APIGateway集成实现OIDC授权的场景中，

以下哪个组件负责验证从身份提供商(IdP)收到的JWT令牌？

A、APIGateway的Lambda授权器

B、APIGateway的Cognito用户池授权器

C、APIGateway的JWT授权器

D、APIGateway的IAM授权器

【答案】C

【解析】正确答案是C。APIGateway的JWT授权器专门用于验证JWT令牌，包

括验证签名、过期时间和声明。A选项Lambda授权器需要自定义逻辑，B选项Cognito

用户池授权器仅适用于Cognito用户池，D选项IAM授权器用于验证IAM签名而非

JWT。知识点：APIGateway授权类型。易错点：混淆JWT授权器与Cognito用户池

授权器的适用范围。

2、当使用IAMIdentityCenter作为OIDC身份提供商时，APIGateway需要配

置哪个参数来验证令牌的颁发者？

A、Audience

B、Issuer

C、Subject

D、Scope

【答案】B

【解析】正确答案是B。Issuer参数用于标识令牌的颁发者，APIGateway通过验

证该参数确保令牌来自可信的IdP。A选项Audience指定令牌的目标受众，C选项

Subject标识令牌的主体，D选项Scope定义令牌的权限范围。知识点：OIDC令牌验

证。易错点：混淆Issuer与Audience的作用。

3、在IAMIdentityCenter与APIGateway集成中，以下哪种方法最适合获取访

问令牌？

A、使用AWSSDK直接调用AssumeRoleWithWebIdentity

B、通过OAuth2.0授权码流程获取令牌

C、使用AWSCLI生成临时凭证

D、通过APIGateway的自定义授权器生成令牌

2025年AWS认证IAMIDENTITYCENTER与APIGATEWAY集成实现OIDC授权专题试卷及解析

【答案】B

【解析】正确答案是B。OAuth2.0授权码流程是OIDC标准中获取访问令牌的推

荐方法，适用于Web和移动应用。A选项AssumeRoleWithWebIdentity用于AWSSTS

而非OIDC，C选项AWSCLI不适用于应用场景，D选项自定义授权器不负责生成令

牌。知识点：OAuth2.0流程。易错点：混淆STS与OIDC的令牌获取方式。

4、APIGateway的JWT授权器在验证令牌时，以下哪个声明是必须验证的？

A、exp（过期时间）

B、iat（签发时间）

C、jti（JWTID）

D、nbf（生效时间）

【答案】A

【解析】正确答案是A。exp声明是必须验证的，以确保令牌未过期。B选项iat是

可选的，C选项jti用于防重放攻击但非必须，D选项nbf也是可选的。知识点：JWT

声明验证。易错点：忽略exp声明的重要性。

5、在IAMIdentityCenter中配置应用程序时，以下哪个参数用于指定APIGateway

的受众？

A、ClientID

B、ClientSecret

C、Scope

D、Audience

【答案】A

【解析】正确答案是A。ClientID在OIDC中通常用作受众(Audience)，APIGateway

通过验证该参数确保令牌是为其颁发的。B选项ClientSecret用于认证