2025年AWS认证加密EBS快照的跨区域复制与密钥管理专题试卷及解析.pdfVIP

2025年AWS认证加密EBS快照的跨区域复制与密钥管理专题试卷及解析1

2025年AWS认证加密EBS快照的跨区域复制与密钥管

理专题试卷及解析

2025年AWS认证加密EBS快照的跨区域复制与密钥管理专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、当您需要将一个使用客户托管CMK加密的EBS快照从useast1区域复制到

euwest1区域时，必须执行哪项操作？

A、直接使用AWS管理控制台复制快照

B、在目标区域创建具有相同密钥材料的CMK

C、使用AWSKMS的跨区域密钥复制功能

D、禁用快照加密后再复制

【答案】B

【解析】正确答案是B。当复制使用客户托管CMK加密的EBS快照时，必须在目

标区域预先创建一个CMK，因为AWS不会自动复制客户托管密钥。选项A错误是因

为直接复制会失败；选项C错误是因为KMS本身不支持密钥跨区域复制；选项D错

误是因为无法禁用已加密快照的加密状态。知识点：EBS快照跨区域复制需要目标区

域存在对应密钥。易错点：误以为AWS会自动处理密钥复制。

2、以下哪种AWSKMS密钥类型最适合用于EBS快照的跨区域复制场景？

A、AWS托管密钥（aws/ebs）

B、客户托管密钥（CMK）

C、AWS拥有密钥

D、数据密钥

【答案】B

【解析】正确答案是B。客户托管密钥（CMK）允许完全控制密钥策略和权限，适

合跨区域复制场景。选项A虽然可用但控制粒度较粗；选项C无法自定义策略；选项

D是临时加密密钥不适用。知识点：CMK提供最灵活的密钥管理能力。易错点：混淆

AWS托管密钥和客户托管密钥的使用场景。

3、在复制加密EBS快照时，如果目标区域使用不同的CMK，AWS会执行什么操

作？

A、直接使用源密钥解密数据

B、在源区域解密后传输明文数据

C、使用信封加密技术重新加密

D、要求用户手动解密再加密

【答案】C

2025年AWS认证加密EBS快照的跨区域复制与密钥管理专题试卷及解析2

【解析】正确答案是C。AWS使用信封加密技术，在源区域用源CMK解密数据密

钥，在目标区域用目标CMK重新加密数据密钥。选项A错误因为密钥不能跨区域使

用；选项B错误因为不会传输明文；选项D错误因为过程是自动的。知识点：信封加

密原理。易错点：不理解密钥轮换过程。

4、当EBS快照复制失败时，最可能的原因是什么？

A、快照大小超过限制

B、目标区域不存在对应的CMK

C、源区域和目标区域时区不同

D、快照未被标记为可复制

【答案】B

【解析】正确答案是B。缺少目标区域CMK是最常见的复制失败原因。选项A错

误因为快照大小限制通常很高；选项C错误因为时区不影响；选项D错误因为默认所

有快照都可复制。知识点：EBS快照复制的前提条件。易错点：忽略密钥存在性检查。

5、AWSKMS的默认密钥轮换周期是多长时间？

A、1年

B、2年

C、3年

D、4年

【答案】A

【解析】正确答案是A。AWSKMS默认每年自动轮换客户托管CMK的密钥材料。

选项B、C、D都是错误的周期。知识点：KMS密钥轮换策略。易错点：混淆不同AWS

服务的轮换周期。

6、在跨区域复制加密EBS快照时，哪个AWS服务负责处理数据传输？

A、AWSDirectConnect

B、AWSSnowball

C、AWS内部网络

D、AWSVPN

【答案】C

【解析】正确答案是C。EBS快照复制使用AWS内部网络基础设施。选项A、B、

D都是可选的外部连接方式，不是默认机制。知识点：AWS服务间通信方式。易错点：

误以为需要配置额外网络。

7、当使用客户托管CMK时，谁拥有密钥的完全控制权？

A、AWS

B、根用户

C、IAM管