2025年AWS认证AmazonCognito教育行业学生身份管理专题试卷及解析.pdf

2025年AWS认证AMAZONCOGNITO教育行业学生身份管理专题试卷及解析1

2025年AWS认证AmazonCognito教育行业学生身份

管理专题试卷及解析

2025年AWS认证AmazonCognito教育行业学生身份管理专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、某大学希望使用AmazonCognito为全校学生提供统一身份认证，同时要求支

持通过学校现有的ActiveDirectory（AD）进行登录。以下哪种Cognito用户池配置最

适合该需求？

A、仅使用Cognito内置用户目录

B、配置SAML身份提供商并连接到ADFS

C、启用第三方社交登录（如Google、Facebook）

D、使用无认证模式

【答案】B

【解析】正确答案是B。教育机构通常已有ActiveDirectory基础设施，通过SAML

协议连接ADFS可实现与现有身份系统的集成。A选项无法利用现有AD账户；C选

项社交登录不符合教育场景；D选项无认证完全违背身份管理需求。知识点：Cognito

用户池联合身份验证。易错点：容易混淆SAML和OAuth2.0的使用场景。

2、在在线考试系统中，需要限制学生只能在考试时间段内访问资源。以下哪种

Cognito功能最适合实现该需求？

A、用户组权限控制

B、基于时间的访问令牌

C、多因素认证（MFA）

D、自适应认证

【答案】B

【解析】正确答案是B。通过设置访问令牌（AccessToken）的过期时间，可以精确

控制会话有效期。A选项控制的是功能权限而非时间；C选项增强安全性但不控制时

间；D选项是风险检测机制。知识点：Cognito令牌管理。易错点：容易混淆令牌过期

时间和会话超时设置。

3、某K12学校需要为不同年级学生分配不同的云资源访问权限。最合理的Cognito

实现方式是？

A、为每个学生创建独立IAM角色

B、使用用户组（Groups）关联IAM角色

C、在应用程序中硬编码权限逻辑

D、使用Cognito身份池的临时凭证

【答案】B

2025年AWS认证AMAZONCOGNITO教育行业学生身份管理专题试卷及解析2

【解析】正确答案是B。用户组可以批量管理相同权限的学生，通过关联IAM角

色实现权限继承。A选项管理成本过高；C选项缺乏灵活性；D选项身份池主要用于

AWS资源访问而非应用权限控制。知识点：Cognito用户组与IAM集成。易错点：容

易混淆用户池和身份池的使用场景。

4、学生忘记密码时，学校要求必须通过辅导员人工重置。以下哪种Cognito配置

可以实现？

A、禁用自助密码重置功能

B、设置强制MFA验证

C、启用账户锁定策略

D、使用Lambda触发器自定义流程

【答案】D

【解析】正确答案是D。通过Lambda触发器可以自定义密码重置流程，加入人工

审批环节。A选项完全禁用功能过于极端；B选项增强安全但不解决流程问题；C选项

是安全防护机制。知识点：CognitoLambda触发器。易错点：容易忽略Lambda在流

程定制中的关键作用。

5、在MOOC平台中，需要区分付费学员和免费学员的访问权限。最佳实践是？

A、使用用户属性标记学员类型

B、创建两个独立的用户池

C、在应用层维护权限表

D、使用不同的身份池

【答案】A

【解析】正确答案是A。通过自定义属性（如membershipType）可以灵活标记用户

类型，配合IAM策略实现权限控制。B选项增加管理复杂度；C选项脱离Cognito体

系；D选项身份池主要用于AWS资源访问。知识点：Cognito自定义属性。易错点：容

易低估自定义属性的扩展能力。

6、某高校要求学生密码必须包含大小写字母、数字和特殊字符。该需求应在Cognito

哪里配置？

A、IAM密码策略

B、用户池密码策略