2025年AWS认证EKS多租户网络隔离方案专题试卷及解析.pdfVIP

2025年AWS认证EKS多租户网络隔离方案专题试卷及解析1

2025年AWS认证EKS多租户网络隔离方案专题试卷及

解析

2025年AWS认证EKS多租户网络隔离方案专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AmazonEKS中，实现多租户网络隔离的最原生且推荐的方式是什么？

A、使用不同的VPC

B、使用KubernetesNetworkPolicy

C、使用安全组

D、使用命名空间

【答案】B

【解析】正确答案是B。KubernetesNetworkPolicy是Kubernetes原生的网络策略

机制，可以在Pod级别实现精细的网络流量控制，是EKS中实现多租户网络隔离的标

准方式。A选项虽然可以实现隔离但成本高且管理复杂；C选项安全组虽然可以控制流

量但粒度不够细；D选项命名空间本身不提供网络隔离功能。知识点：Kubernetes网络

策略。易错点：容易误认为命名空间自带网络隔离功能。

2、在EKS集群中使用VPCCNI时，每个Pod会获得什么？

A、集群内部IP地址

B、与EC2实例相同的子网中的IP地址

C、NAT转换后的IP地址

D、负载均衡器的IP地址

【答案】B

【解析】正确答案是B。VPCCNI插件允许Pod直接获得VPC子网中的IP地址，

这使得Pod可以像EC2实例一样直接与VPC内的资源通信。A选项是其他CNI的行

为；C选项描述的是SNAT场景；D选项是服务类型为LoadBalancer时的行为。知识

点：VPCCNI工作原理。易错点：容易混淆不同CNI插件的IP分配方式。

3、在EKS多租户场景中，如何防止租户Pod访问其他租户的Pod？

A、使用ResourceQuota

B、使用NetworkPolicy

C、使用PodSecurityPolicy

D、使用RBAC

【答案】B

【解析】正确答案是B。NetworkPolicy可以定义Pod间的网络访问规则，是防止

跨租户Pod访问的主要手段。A选项限制资源配额但不控制网络；C选项已废弃且主

2025年AWS认证EKS多租户网络隔离方案专题试卷及解析2

要关注安全上下文；D选项控制API访问而非网络流量。知识点：NetworkPolicy应用

场景。易错点：容易混淆不同策略的作用范围。

4、在EKS中使用安全组策略(SGPolicy)时，可以为什么对象分配安全组？

A、命名空间

B、节点

C、Pod

D、服务

【答案】C

【解析】正确答案是C。EKS的安全组策略允许为Pod分配安全组，实现更精细的

网络控制。A、B、D选项都不能直接分配安全组。知识点：安全组策略功能。易错点：

容易误认为安全组只能分配给EC2实例。

5、在多租户EKS集群中，实现租户间网络隔离的最佳实践组合是什么？

A、命名空间+NetworkPolicy

B、VPC+子网

C、安全组+RBAC

D、Ingress+Service

【答案】A

【解析】正确答案是A。命名空间提供逻辑隔离，NetworkPolicy提供网络隔离，两

者结合是标准的多租户隔离方案。B选项过于重量级；C选项安全组和RBAC功能不

重叠；D选项主要关注流量入口。知识点：多租户隔离架构。易错点：容易忽略命名空

间的基础隔离作用。

6、在EKS中使用CalicoCNI时，相比VPCCNI的主要优势是什么？

A、IP地址利用率更高

B、网络性能更好

C、配置更简单

D、与AWS服务集成更好

【答案】A

【解析】正确答案是A。Calico使用IP池管理，可以跨节点复用IP地址，解决

VPCCNI的IP地址耗尽问题。B、C、D选项都是VPCCNI