2025年AWS认证使用AWSKMS管理Kinesis客户主密钥专题试卷及解析.pdfVIP

2025年AWS认证使用AWSKMS管理KINESIS客户主密钥专题试卷及解析1

2025年AWS认证使用AWSKMS管理Kinesis客户主

密钥专题试卷及解析

2025年AWS认证使用AWSKMS管理Kinesis客户主密钥专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSKinesisDataStreams中，使用客户主密钥（CMK）加密数据时，以下

哪项是正确的密钥管理方式？

A、使用AWS托管式CMK（AWS/Kinesis）

B、使用客户自主管理型CMK

C、使用默认的AWS服务密钥

D、使用第三方密钥管理系统

【答案】B

【解析】正确答案是B。客户自主管理型CMK允许用户完全控制密钥的生命周期，

包括轮换、禁用和删除策略。A选项虽然可用但控制权有限；C选项不符合客户主密钥

要求；D选项需要额外集成。知识点：KMS密钥类型。易错点：混淆AWS托管密钥和

客户自主管理密钥的权限差异。

2、当KinesisDataStreams使用CMK加密时，数据生产者如何获取加密权限？

A、通过IAM角色自动继承

B、必须显式调用GenerateDataKeyAPI

C、需要kms:Encrypt权限

D、无需额外配置

【答案】C

【解析】正确答案是C。生产者必须拥有对CMK的kms:Encrypt权限才能加密数

据。A选项需要显式配置；B选项由服务自动处理；D选项不符合安全原则。知识点：

Kinesis加密权限模型。易错点：忽略服务与KMS的权限分离。

3、以下哪种操作会导致Kinesis数据无法解密？

A、禁用CMK

B、轮换CMK

C、更新IAM策略

D、修改流名称

【答案】A

【解析】正确答案是A。禁用CMK会使所有依赖该密钥的数据无法解密。B选项

是标准操作；C选项不影响已加密数据；D选项与加密无关。知识点：CMK状态影响。

易错点：混淆密钥轮换和禁用的后果。

4、Kinesis使用CMK加密时，数据密钥（DEK）的存储位置是？

2025年AWS认证使用AWSKMS管理KINESIS客户主密钥专题试卷及解析2

A、Kinesis服务内部

B、CMK元数据中

C、加密后的数据记录中

D、DynamoDB表

【答案】C

【解析】正确答案是C。DEK会加密后与数据一同存储，确保解密时可用。A选项

不符合零信任原则；B选项暴露密钥；D选项增加延迟。知识点：信封加密机制。易错

点：误解DEK的存储位置。

5、如何验证Kinesis流是否正确启用CMK加密？

A、检查CloudWatch日志

B、查看流的Description属性

C、调用ListStreamsAPI

D、使用AWSConfig规则

【答案】B

【解析】正确答案是B。流的Description包含EncryptionType字段。A选项需要

额外配置；C选项不返回加密信息；D选项需自定义规则。知识点：Kinesis加密状态

检查。易错点：依赖间接验证方法。

6、CMK轮换对现有Kinesis数据的影响是？

A、立即重新加密所有数据

B、仅影响新数据

C、触发数据丢失

D、需要手动迁移

【答案】B

【解析】正确答案是B。轮换仅影响新数据，旧数据仍用原密钥解密。A选项不必

要；C选项错误；D选项无需操作。知识点：密钥轮换机制。易错点：误解轮换的全局

影响。

7、以下哪种CMK策略变更会导致Kinesis写入失败？

A、移除kms:Decrypt权限

B、添加IP限制条件

C、禁用自动轮换

D、修改密钥描述

【答案】A

【解析】正确答案是A。生产者需要kms:Encrypt而非Decrypt权限，但消费者需

要D