2025年AWS认证KMS与AmazonCloudWatch告警监控专题试卷及解析.pdfVIP

2025年AWS认证KMS与AMAZONCLOUDWATCH告警监控专题试卷及解析1

2025年AWS认证KMS与AmazonCloudWatch告警

监控专题试卷及解析

2025年AWS认证KMS与AmazonCloudWatch告警监控专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、AWSKMS中的客户主密钥（CMK）有哪几种来源？

A、仅AWS托管

B、仅客户托管

C、AWS托管、客户托管和AWSCloudHSM

D、仅AWSCloudHSM

【答案】C

【解析】正确答案是C。AWSKMS支持三种CMK来源：AWS托管（如aws/s3）、

客户托管（在KMS中创建）和AWSCloudHSM（使用专用硬件模块）。A和B选项不

完整，D选项遗漏了前两种来源。知识点：CMK类型是KMS基础概念。易错点：混

淆客户托管与CloudHSM的区别。

2、CloudWatch告警的状态不包括以下哪项？

A、OK

B、ALARM

C、INSUFFICIENT_DATA

D、DISABLED

【答案】D

【解析】正确答案是D。CloudWatch告警只有三种状态：OK（正常）、ALARM（触

发）和INSUFFICIENT_DATA（数据不足）。DISABLED是KMS密钥的状态而非告

警状态。知识点：告警状态是监控核心概念。易错点：将KMS密钥状态与CloudWatch

告警状态混淆。

3、以下哪项不是KMS密钥轮换的特性？

A、自动轮换仅支持AWS托管CMK

B、客户托管CMK支持手动轮换

C、轮换不会影响现有数据加密

D、轮换会立即使旧密钥失效

【答案】D

【解析】正确答案是D。KMS密钥轮换是渐进式的，旧密钥仍可用于解密现有数据，

不会立即失效。A、B、C均符合KMS轮换机制。知识点：密钥轮换机制是安全关键

点。易错点：误以为轮换会强制切换所有加密操作。

4、CloudWatch日志组默认保留期是多久？

2025年AWS认证KMS与AMAZONCLOUDWATCH告警监控专题试卷及解析2

A、1天

B、7天

C、30天

D、永久

【答案】D

【解析】正确答案是D。CloudWatch日志组默认永久保留，但可手动设置1天到

10年的保留期。A、B、C都是可配置选项但非默认值。知识点：日志保留策略影响成

本与合规。易错点：忽略”默认”关键词。

5、KMS中”EnvelopeEncryption”的主要目的是？

A、提高加密速度

B、减少密钥管理复杂度

C、同时实现性能与安全

D、仅用于静态数据加密

【答案】C

【解析】正确答案是C。EnvelopeEncryption使用数据密钥加密数据，用CMK加

密数据密钥，平衡了性能（数据加密用对称密钥）与安全（CMK保护数据密钥）。A和

B片面，D错误（可用于动态数据）。知识点：EnvelopeEncryption是KMS核心设计。

易错点：不理解数据密钥与CMK的协作机制。

6、CloudWatch指标过滤器（MetricFilter）的作用是？

A、过滤日志事件

B、从日志提取数值指标

C、删除不需要的日志

D、压缩日志数据

【答案】B

【解析】正确答案是B。指标过滤器用于从日志中提取结构化数据并转换为Cloud-

Watch指标，而非简单过滤或删除日志。A、C、D描述的是其他日志处理功能。知识

点：指标过滤器是日志监控的关键工具。易错点：混淆过滤与提取的概念。

7、KMS密钥策略与IAM策略的关系是？

A、密钥策略优先级更高

B、IAM策略优先级更高

C、两者必须同时存在

D、互为替代关系

【答案】A

【解析】正确答案是A。KMS采用”显式允许”模型，密钥策略是基础权限控制，IAM

策略作为补充，两者必须都允许才能访问。B、C、D均错误描述了关系。知识点：KMS