2025年AWS认证IAM与ActiveDirectory联合身份验证专题试卷及解析.pdfVIP

2025年AWS认证IAM与ACTIVEDIRECTORY联合身份验证专题试卷及解析1

2025年AWS认证IAM与ActiveDirectory联合身份

验证专题试卷及解析

2025年AWS认证IAM与ActiveDirectory联合身份验证专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSIAM与ActiveDirectory联合身份验证中，以下哪种服务是AWS推荐

的用于实现与本地AD集成的托管服务？

A、AWSDirectoryService

B、AWSIAMIdentityCenter

C、AWSCognito

D、AWSSTS

【答案】B

【解析】正确答案是B。AWSIAMIdentityCenter（前身为AWSSingleSignOn）是

AWS推荐的用于实现与本地AD集成的托管服务，它提供了简化的SAML2.0集成和

SCIM用户同步功能。A选项AWSDirectoryService虽然提供AD连接器，但主要用于

托管MicrosoftAD；C选项AWSCognito更适合面向消费者的身份验证；D选项AWS

STS是用于临时凭证的基础服务。知识点：IAMIdentityCenter的核心功能。易错点：

容易混淆DirectoryService和IdentityCenter的用途。

2、当配置SAML2.0联合身份验证时，哪个SAML组件包含用户的身份属性？

A、Assertion

B、Request

C、Response

D、Metadata

【答案】A

【解析】正确答案是A。SAMLAssertion是包含用户身份属性（如用户名、邮箱、

组信息）的核心组件。B选项Request是身份提供者发起的认证请求；C选项Response

是整个SAML响应包；D选项Metadata包含服务配置信息而非用户属性。知识点：

SAML协议结构。易错点：容易混淆Response和Assertion的关系。

3、在AD联合身份验证场景中，以下哪种方法可以实现跨AWS账户的权限管理？

A、IAM角色链

B、STSAssumeRole

C、实例配置文件

D、访问密钥轮换

【答案】B

2025年AWS认证IAM与ACTIVEDIRECTORY联合身份验证专题试卷及解析2

【解析】正确答案是B。STSAssumeRole是实现跨账户权限管理的标准方法，通过

临时凭证机制实现安全访问。A选项角色链虽然可行但不是最佳实践；C选项实例配置

文件仅限EC2实例使用；D选项访问密钥轮换与跨账户管理无关。知识点：STS服务

应用场景。易错点：容易忽略临时凭证在跨账户场景的重要性。

4、配置AD联合身份验证时，以下哪个属性映射对于实现基于组的权限控制最关

键？

A、NameID

B、eduPersonAffiliation

C、memberOf

D、mail

【答案】C

【解析】正确答案是C。memberOf属性包含用户所属的AD组信息，是实现基于

组权限控制的关键。A选项NameID是唯一标识符；B选项eduPersonAffiliation是教

育领域专用属性；D选项mail仅包含邮箱信息。知识点：AD属性映射策略。易错点：

容易忽视组属性在权限管理中的作用。

5、在SAML联合身份验证中，哪个组件负责验证SAML响应的签名？

A、身份提供者(IdP)

B、服务提供者(SP)

C、用户代理

D、证书颁发机构

【答案】B

【解析】正确答案是B。服务提供者(SP)负责验证SAML响应的签名以确保消息

完整性。A选项IdP负责签名而非验证；C选项用户代理仅负责转发消息；D选项CA

负责证书管理。知识点：SAML安全机制。易错点：容易混淆签名生成和验证的责任方。

6、以下哪种AD联合身份验证场景最适合使用AWSManagedMicrosoftAD？

A、需要与本地AD建立信任关系