2025年AWS认证EKS镜像构建与安全扫描（ECR、CodeBuild）专题试卷及解析.pdfVIP

2025年AWS认证EKS镜像构建与安全扫描（ECR、CODEBUILD）专题试卷及解析1

2025年AWS认证EKS镜像构建与安全扫描（ECR、

CodeBuild）专题试卷及解析

2025年AWS认证EKS镜像构建与安全扫描（ECR、CodeBuild）专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSCodeBuild中，哪个服务用于存储构建环境中的Docker镜像？

A、S3

B、ECR

C、Lambda

D、CloudFormation

【答案】B

【解析】正确答案是B。ECR（AmazonElasticContainerRegistry）是AWS提供

的Docker镜像存储服务，专门用于存储和管理容器镜像。CodeBuild在构建过程中

需要从ECR拉取基础镜像或将构建好的镜像推送到ECR。A选项S3是对象存储服

务，不适合存储Docker镜像；C选项Lambda是计算服务，与镜像存储无关；D选项

CloudFormation是基础设施即代码服务，也不涉及镜像存储。知识点：ECR的核心功

能。易错点：容易混淆S3和ECR的用途，误以为S3可以存储任何类型的数据。

2、在EKS集群中，如何确保部署的Pod使用的镜像经过了安全扫描？

A、在PodYAML中指定imagePullPolicy

B、使用ECR的镜像扫描功能并设置生命周期策略

C、使用IAM角色限制镜像拉取权限

D、在CodeBuild中启用日志记录

【答案】B

【解析】正确答案是B。ECR提供了镜像扫描功能，可以检测镜像中的漏洞，并通

过生命周期策略自动阻止未通过扫描的镜像被使用。A选项imagePullPolicy只是控制

镜像拉取策略，与安全扫描无关；C选项IAM角色用于权限管理，不能直接确保镜像

安全性；D选项日志记录只是记录构建过程，不涉及安全扫描。知识点：ECR镜像扫

描与生命周期策略。易错点：容易忽略生命周期策略的作用，误以为仅扫描就足够。

3、在CodeBuild中，哪个环境变量用于指定ECR镜像的URI？

A、AWS_DEFAULT_REGION

B、IMAGE_REPO_NAME

C、ECR_REPO_URI

D、DOCKER_REGISTRY

【答案】C

2025年AWS认证EKS镜像构建与安全扫描（ECR、CODEBUILD）专题试卷及解析2

【解析】正确答案是C。ECR_REPO_URI是CodeBuild中常用的环境变量，用

于指定ECR镜像的完整URI。A选项AWS_DEFAULT_REGION用于指定AWS区

域；B选项IMAGE_REPO_NAME通常只包含镜像名称，不包含完整的URI；D选

项DOCKER_REGISTRY不是AWS标准环境变量。知识点：CodeBuild环境变量配

置。易错点：容易混淆镜像名称和完整URI的区别。

4、在EKS中，如何限制Pod只能从特定的ECR仓库拉取镜像？

A、使用PodSecurityPolicy

B、使用NetworkPolicy

C、使用IAM角色和ServiceAccount关联

D、使用ResourceQuota

【答案】C

【解析】正确答案是C。通过IAM角色和ServiceAccount关联，可以为Pod分配

特定的权限，限制其只能访问特定的ECR仓库。A选项PodSecurityPolicy已被废弃；

B选项NetworkPolicy用于网络流量控制，与镜像拉取无关；D选项ResourceQuota用

于资源配额管理。知识点：EKS的IAM角色与ServiceAccount集成。易错点：容易混

淆PodSecurityPolicy和IAM角色的功能。

5、在CodeBuild中，如何启用Docker层的缓存以提高构建速度？

A、使用cache_type参数设置为S3

B、在buildspec.yml中启用Docker缓存

C、使用ECR的镜像缓存功能

D