2025年AWS认证DedicatedHosts基于标签的访问控制专题试卷及解析.pdfVIP

2025年AWS认证DEDICATEDHOSTS基于标签的访问控制专题试卷及解析1

2025年AWS认证DedicatedHosts基于标签的访问控

制专题试卷及解析

2025年AWS认证DedicatedHosts基于标签的访问控制专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWS中，使用基于标签的访问控制（ABAC）管理DedicatedHosts时，以

下哪个IAM策略条件键用于限制用户只能操作带有特定标签的DedicatedHosts？

A、aws:ResourceTag

B、aws:RequestTag

C、aws:TagKeys

D、aws:SourceArn

【答案】A

【解析】正确答案是A。aws:ResourceTag用于检查资源上的标签，是ABAC的核

心条件键。B选项aws:RequestTag用于请求中创建或修改标签；C选项aws:TagKeys

用于限制标签键；D选项aws:SourceArn与标签无关。知识点：ABAC条件键的应用场

景。易错点：混淆aws:ResourceTag和aws:RequestTag的用途。

2、某公司要求所有DedicatedHosts必须带有”Environment=Production”标签才能

被终止，以下哪种IAM策略配置最符合要求？

A、使用Deny语句配合aws:RequestTag条件

B、使用Allow语句配合aws:ResourceTag条件

C、使用Deny语句配合aws:ResourceTag条件

D、使用Allow语句配合aws:TagKeys条件

【答案】C

【解析】正确答案是C。Deny语句配合aws:ResourceTag条件可以强制执行标签要

求。A选项RequestTag用于创建时；B选项Allow语句可能被其他策略覆盖；D选项

TagKeys不检查标签值。知识点：显式Deny优先原则。易错点：忽略显式Deny的优

先级。

3、在DedicatedHosts的ABAC实现中，以下哪个操作会触发aws:RequestTag条

件检查？

A、查看DedicatedHost详情

B、修改DedicatedHost标签

C、终止DedicatedHost

D、在DedicatedHost上启动实例

【答案】B

2025年AWS认证DEDICATEDHOSTS基于标签的访问控制专题试卷及解析2

【解析】正确答案是B。aws:RequestTag仅在创建或修改标签时触发。A、C、D操

作不涉及标签变更。知识点：条件键的触发时机。易错点：混淆资源操作和标签操作的

条件检查。

4、某IAM用户只能管理带有”Department=Finance”标签的DedicatedHosts，但

无法创建新主机，可能的原因是？

A、缺少ec2:CreateHosts权限

B、ABAC策略配置错误

C、标签键不匹配

D、IAM角色过期

【答案】A

【解析】正确答案是A。创建主机需要ec2:CreateHosts权限，ABAC只控制现有资

源访问。B、C、D选项与问题描述不符。知识点：权限分离原则。易错点：将资源访问

权限与创建权限混淆。

5、以下哪种标签策略可以确保所有DedicatedHosts都带有成本中心标签？

A、使用IAM策略强制标签

B、使用AWSOrganizations标签策略

C、使用ResourceGroups标记

D、使用CloudTrail日志检查

【答案】B

【解析】正确答案是B。Organizations标签策略可以强制要求资源标签。A选项

IAM策略无法强制；C选项ResourceGroups仅用于组织；D选项CloudTrail仅记录

操作。知识点：标签策略服务差异。易错点：混淆IAM策略和Organiza