2025年AWS认证CloudFormation部署AWSKMS密钥与加密策略专题试卷及解析.pdfVIP

2025年AWS认证CLOUDFORMATION部署AWSKMS密钥与加密策略专题试卷及解析1

2025年AWS认证CloudFormation部署AWSKMS

密钥与加密策略专题试卷及解析

2025年AWS认证CloudFormation部署AWSKMS密钥与加密策略专题试卷及解

析

第一部分：单项选择题（共10题，每题2分）

1、在CloudFormation模板中，哪个资源类型用于创建AWSKMS客户主密钥

（CMK）？

A、AWS::KMS::Key

B、AWS::KMS::CustomerKey

C、AWS::KMS::MasterKey

D、AWS::KMS::EncryptionKey

【答案】A

【解析】正确答案是A。AWS::KMS::Key是CloudFormation中用于创建KMSCMK

的标准资源类型。B、C、D选项都是不存在的资源类型。知识点：CloudFormation资

源类型命名规则通常遵循AWS::Service::Resource的格式。易错点：容易混淆CMK

（CustomerMasterKey）和数据密钥（DataKey）的概念，CMK是用于加密数据密钥

的根密钥。

2、在CloudFormation模板中，如何为KMS密钥设置密钥策略？

A、使用KeyPolicy属性

B、使用Policy属性

C、使用Description属性

D、使用EnableKeyRotation属性

【答案】A

【解析】正确答案是A。KeyPolicy是AWS::KMS::Key资源中用于定义密钥策略的

必需属性。B选项Policy通常用于IAM角色和策略，C选项Description只是描述信

息，D选项EnableKeyRotation用于启用密钥轮换。知识点：KMS密钥策略是控制密

钥访问权限的主要方式。易错点：容易混淆密钥策略和IAM策略的使用场景，密钥策

略是必须的，IAM策略是可选的补充。

3、在CloudFormation中，如何引用已存在的KMS密钥？

A、使用Ref函数

B、使用GetAtt函数

C、使用ImportValue函数

D、使用Fn::Join函数

【答案】C

2025年AWS认证CLOUDFORMATION部署AWSKMS密钥与加密策略专题试卷及解析2

【解析】正确答案是C。ImportValue用于跨栈引用已存在的资源，包括KMS密钥。

A选项Ref用于引用同一模板中的资源，B选项GetAtt用于获取资源属性，D选项

Fn::Join用于字符串拼接。知识点：CloudFormation跨栈引用机制。易错点：容易混淆

Ref和ImportValue的使用场景，前者用于栈内引用，后者用于栈间引用。

4、KMS密钥的默认密钥轮换周期是多少？

A、每天

B、每周

C、每月

D、每年

【答案】D

【解析】正确答案是D。AWSKMS默认每年自动轮换CMK的密钥材料。A、B、C

选项都不是AWSKMS的默认轮换周期。知识点：KMS密钥轮换机制。易错点：容易

混淆密钥轮换和密钥删除的概念，轮换是更新密钥材料而不是删除密钥。

5、在CloudFormation模板中，如何为KMS密钥添加别名？

A、使用AWS::KMS::Alias资源

B、使用AliasName属性

C、使用KeyAlias属性

D、使用DisplayName属性

【答案】A

【解析】正确答案是A。AWS::KMS::Alias是专门用于创建KMS密钥别名的资源

类型。B、C、D选项都不是有效的属性或资源类型。知识点：KMS别名机制。易错点：

容易混淆别名和密钥ARN的概念，别名是用户友好的名称，ARN是唯一标识符。

6、KMS密钥策略中，哪个语句允许AWS服务代表您使用密钥？

A、AllowRootUse

B、AllowServiceUse

C、AllowAWSUse

D、AllowDelegateUse