2025年AWS认证KMS密钥轮换的合规性与安全性专题试卷及解析.pdfVIP

2025年AWS认证KMS密钥轮换的合规性与安全性专题试卷及解析1

2025年AWS认证KMS密钥轮换的合规性与安全性专题

试卷及解析

2025年AWS认证KMS密钥轮换的合规性与安全性专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSKMS中，自动密钥轮换适用于哪种类型的密钥？

A、对称加密密钥

B、非对称加密密钥

C、HMAC密钥

D、数据密钥

【答案】A

【解析】正确答案是A。AWSKMS的自动密钥轮换功能仅适用于对称加密密钥（如

AES256），因为这是最常见的加密场景。非对称密钥（RSA/ECC）需要手动轮换，HMAC

密钥和数据密钥不支持自动轮换。知识点：KMS密钥类型与轮换机制。易错点：误以

为所有密钥类型都支持自动轮换。

2、以下哪项是启用KMS密钥轮换的主要合规性驱动力？

A、降低存储成本

B、满足PCIDSS要求

C、提高加密性能

D、简化密钥管理

【答案】B

【解析】正确答案是B。PCIDSS等合规标准明确要求定期轮换加密密钥以降低密

钥泄露风险。A选项错误，轮换不会降低成本；C选项错误，轮换可能短暂影响性能；

D选项错误，轮换实际增加管理复杂度。知识点：合规标准与密钥轮换关系。易错点：

混淆技术优势与合规要求。

3、KMS密钥轮换后，旧密钥材料的状态是什么？

A、立即删除

B、进入待删除状态

C、保留但禁用新加密操作

D、自动导出备份

【答案】C

【解析】正确答案是C。轮换后旧密钥材料仍保留用于解密历史数据，但禁用新加

密操作。A选项错误，AWS不会立即删除；B选项错误，需手动删除；D选项错误，

KMS密钥材料不可导出。知识点：密钥轮换生命周期管理。易错点：误以为旧密钥会

立即失效。

2025年AWS认证KMS密钥轮换的合规性与安全性专题试卷及解析2

4、客户托管密钥（CMK）的默认轮换周期是多久？

A、30天

B、90天

C、365天

D、可自定义

【答案】C

【解析】正确答案是C。AWSKMS默认每年（365天）轮换一次CMK。A、B选

项周期过短，D选项错误，周期不可自定义但可手动触发轮换。知识点：KMS默认轮

换策略。易错点：混淆AWS服务不同轮换周期。

5、以下哪项是密钥轮换的安全风险？

A、增加密钥暴露面

B、可能导致数据不可解密

C、降低加密强度

D、增加网络延迟

【答案】B

【解析】正确答案是B。如果轮换后未正确管理旧密钥，可能导致历史数据无法解

密。A选项错误，轮换实际减少暴露面；C选项错误，轮换不改变算法强度；D选项错

误，轮换是后台操作。知识点：密钥轮换风险管控。易错点：忽视向后兼容性问题。

6、AWSKMS如何确保轮换期间的服务可用性？

A、使用双密钥机制

B、停机维护

C、渐进式切换

D、依赖缓存

【答案】A

【解析】正确答案是A。KMS同时维护新旧密钥材料，确保无缝切换。B选项错

误，KMS不会停机；C选项错误，切换是原子操作；D选项错误，不依赖缓存。知识

点：KMS高可用设计。易错点：低估AWS的冗余机制。

7、以下哪项操作会触发KMS密钥轮换？

A、修改密钥策略

B、添加标签

C、到达轮换周期

D、创建别名

【答案】C

【解析】正确答案是C。自动轮换仅由周期触发。A、B、D选项都是元数据操作，

不影响密钥材料。知识点：轮换触发条件。易错点：混淆密钥管理操作与轮换机制。

2025年AWS认证KMS密钥轮换的合规性与安全性专题试卷及解析3

8、密钥轮换对IAM权限的影响是什么？

A、自动更新所有权限

B、需要手动更新权限

C、权限