2025年AWS认证AWSOrganizations日志审计与合规性检查专题试卷及解析.pdfVIP

2025年AWS认证AWSORGANIZATIONS日志审计与合规性检查专题试卷及解析1

2025年AWS认证AWSOrganizations日志审计与合规

性检查专题试卷及解析

2025年AWS认证AWSOrganizations日志审计与合规性检查专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSOrganizations中，以下哪种服务可以集中记录所有成员账户的API调

用活动？

A、AWSCloudTrail

B、AWSConfig

C、AWSGuardDuty

D、AWSSecurityHub

【答案】A

【解析】正确答案是A。AWSCloudTrail是专门用于记录AWSAPI调用的服务，

通过组织级跟踪可以集中记录所有成员账户的活动。B选项AWSConfig主要用于资源

配置历史记录，C选项GuardDuty是威胁检测服务，D选项SecurityHub是安全状态

聚合服务。知识点：CloudTrail的核心功能是API活动审计。易错点：容易混淆Config

和CloudTrail的功能区别。

2、当需要在AWSOrganizations中实施SCP（服务控制策略）时，以下哪个说法

是正确的？

A、SCP会直接影响IAM用户和角色的权限

B、SCP仅影响成员账户的根用户

C、SCP为权限边界，但需要IAM权限配合

D、SCP可以完全替代IAM策略

【答案】C

【解析】正确答案是C。SCP是权限边界机制，需要与IAM权限共同作用。A错

误，SCP不直接影响IAM用户/角色；B错误，SCP影响整个账户；D错误，SCP不

能替代IAM策略。知识点：SCP的”白名单”机制特性。易错点：误以为SCP可以直接

控制具体资源操作。

3、在多账户环境中，以下哪种方法最适合实现统一的合规性检查？

A、在每个账户单独配置AWSConfig规则

B、使用AWSControlTower创建合规性护栏

C、仅依赖AWSTrustedAdvisor检查

D、手动定期检查各账户配置

【答案】B

2025年AWS认证AWSORGANIZATIONS日志审计与合规性检查专题试卷及解析2

【解析】正确答案是B。AWSControlTower提供预置的合规性护栏和集中管理能

力。A选项效率低下且难以统一；C选项TrustedAdvisor检查范围有限；D选项不现

实。知识点：ControlTower的治理功能。易错点：低估集中治理的复杂性。

4、AWSOrganizations中的OU（组织单位）主要作用是什么？

A、直接管理EC2实例

B、逻辑分组账户以应用策略

C、替代IAM角色

D、存储日志数据

【答案】B

【解析】正确答案是B。OU的核心功能是账户分组和策略应用。A、C、D均与OU

功能无关。知识点：OU的层级管理特性。易错点：混淆OU与资源管理概念。

5、以下哪种CloudTrail日志类型记录控制平面操作？

A、数据事件

B、管理事件

C、Insight事件

D、S3访问日志

【答案】B

【解析】正确答案是B。管理事件记录控制平面操作。A数据事件记录数据平面操

作；CInsight事件记录异常行为；D是S3服务日志。知识点：CloudTrail事件类型区

别。易错点：混淆管理事件和数据事件范围。

6、在AWSOrganizations中启用所有功能（AllFeatures）模式后，可以立即使用

哪种高级功能？

A、仅SCP

B、仅账单整合

C、SCP和consolidatedbilling

D、无变化

【答案】C

【解析】正确答案是C。AllFeatures模式同时启用SCP和账单整合。A、B不完整；

D错误。知识点：Organizations功能模式区别。易错点：不清楚功能模式的影