2025年AWS认证SecretsManager在金融行业应用的安全合规专题试卷及解析.pdfVIP

2025年AWS认证SECRETSMANAGER在金融行业应用的安全合规专题试卷及解析1

2025年AWS认证SecretsManager在金融行业应用的

安全合规专题试卷及解析

2025年AWS认证SecretsManager在金融行业应用的安全合规专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在金融行业中，使用AWSSecretsManager存储数据库凭证时，以下哪项是确

保凭证轮换符合PCIDSS要求的关键配置？

A、仅启用自动轮换

B、配置Lambda轮换函数并启用自动轮换

C、手动轮换凭证

D、禁用凭证轮换

【答案】B

【解析】正确答案是B。PCIDSS要求定期轮换敏感数据，AWSSecretsManager通

过Lambda函数实现自动轮换是最佳实践。A选项未说明轮换方式，C选项手动轮换

易遗漏，D选项直接违反合规要求。知识点：SecretsManager轮换机制。易错点：忽略

Lambda函数在轮换中的作用。

2、金融行业使用SecretsManager时，以下哪种加密方式最符合FIPS1402合规

要求？

A、默认AWS托管CMK

B、客户管理的CMKwithFIPS验证硬件

C、明文存储

D、自定义加密算法

【答案】B

【解析】正确答案是B。FIPS1402要求使用经过验证的加密模块，客户管理的CMK

可启用FIPS验证硬件。A选项默认CMK不满足所有金融场景，C、D选项明显不合

规。知识点：AWSKMS合规性。易错点：混淆默认CMK与FIPS验证CMK的区别。

3、当金融应用需要跨AWS账户访问SecretsManager中的密钥时，最安全的做法

是？

A、在SecretsManager中设置公开访问策略

B、使用基于资源的策略和IAM角色

C、硬编码凭证在应用中

D、禁用访问控制

【答案】B

【解析】正确答案是B。基于资源的策略和IAM角色可实现最小权限原则的跨账户

访问。A选项违反安全原则，C、D选项完全错误。知识点：SecretsManager访问控制。

2025年AWS认证SECRETSMANAGER在金融行业应用的安全合规专题试卷及解析2

易错点：忽略基于资源策略的跨账户场景。

4、金融行业使用SecretsManager时，以下哪种审计日志记录方式最符合SOX合

规要求？

A、仅记录API调用

B、启用CloudTrail并记录管理事件和数据事件

C、禁用日志记录

D、仅记录错误事件

【答案】B

【解析】正确答案是B。SOX要求完整的审计追踪，CloudTrail需同时记录管理事

件和数据事件。A选项不完整，C、D选项明显不合规。知识点：CloudTrail日志配置。

易错点：忽略数据事件记录的重要性。

5、在金融交易系统中，SecretsManager的哪个特性最适合实现密钥的零停机轮换？

A、立即轮换

B、多区域复制

C、Lambda轮换函数

D、手动轮换

【答案】C

【解析】正确答案是C。Lambda轮换函数可实现无缝轮换，避免交易中断。A选项

可能导致服务中断，B选项与轮换无关，D选项效率低。知识点：轮换策略选择。易错

点：混淆轮换方式与高可用特性。

6、金融行业使用SecretsManager时，以下哪种成本优化策略最合理？

A、禁用自动轮换

B、使用版本控制删除旧版本

C、存储所有历史版本

D、使用默认配置

【答案】B

【解析】正确答案是B。删除旧版本可降低存储成本，同时保留必要版本。A选项

影响安全，C选项增加成本，D选项未优化。知识点：SecretsManager成本管理。易

错点：忽略版本控制对成本的影响。

7、当金融应用需要临时访问SecretsManager中的密钥时，以下哪种方式最安全？

A、长期有效的IAM用户凭证

B、STS临时凭证

C、硬编码密钥

D、禁用认证

【答案】B