CLF-C02 · LESSON 2
安全性与合规性30% · 4 个主题
学习 AWS 的责任共担模式、安全、治理与合规的思路、访问管理以及安全服务。
2.1理解 AWS 的责任共担模式
2.1 Understand the AWS shared responsibility model.
概念
在责任共担模式中，AWS 负责“云本身的安全”（数据中心、硬件、网络、虚拟化平台），客户负责“云中的安全”（数据、IAM、操作系统更新、安全组、加密设置）。服务越抽象（EC2 → RDS → Lambda 和 S3），客户的责任越小。
原理、步骤
- 确认所用服务的类型（IaaS 型、托管型还是无服务器）
- 确认操作系统和中间件补丁的责任在哪一方
- 数据加密和访问权限始终作为客户的责任进行设置
- 从 AWS Artifact 获取 AWS 一方的审计报告
工作中的示例
在 EC2 上由客户为来宾操作系统打补丁；在 RDS 上数据库引擎的补丁由 AWS 应用，客户设置维护时段。
易混淆点、考试注意事项
- 物理安全始终是 AWS 的责任
- 数据加密和 IAM 设置始终是客户的责任
- “共享的控制措施”：补丁管理、配置管理和培训由双方在各自范围内承担
小测验
Q1. 在责任共担模式中，无论使用哪种服务都始终是客户责任的是哪一项？
- 更新 EC2 物理主机上运行的虚拟机管理程序（虚拟化软件）
- 连接各区域的通信线路的冗余化
- 维护数据中心内的网络设备
- 对保存的数据进行分类，并管理谁可以访问
查看答案和解析
正确答案：D 对保存的数据进行分类，并管理谁可以访问
无论是 IaaS 还是托管服务，数据及其访问权限都是客户的责任。虚拟化平台和物理网络是 AWS 的责任。
Q2. 对“云本身的安全”和“云中的安全”最合适的说明是哪一项？
- 前者指本地部署，后者指云的安全，责任的分担相同
- 前者指免费的安全服务，后者指付费的安全服务
- 前者是由 AWS 负责的基础设施保护，后者是由客户负责的数据和设置保护
- 前者是由客户负责的操作系统保护，后者是由 AWS 负责的物理设施保护
查看答案和解析
正确答案：C 前者是由 AWS 负责的基础设施保护，后者是由客户负责的数据和设置保护
AWS 负责云本身的安全（基础设施），客户负责云中的安全（数据、设置、访问权限）。
参考链接
2.2理解安全、治理与合规的概念
2.2 Understand AWS Cloud security, governance, and compliance concepts.
概念
证明合规用 AWS Artifact（SOC、ISO 等报告和协议），记录和评估配置用 AWS Config，记录 API 操作用 AWS CloudTrail，管控多个账户用 AWS Organizations 的 SCP 或 AWS Control Tower。加密用 AWS KMS（密钥管理），设置静态加密和传输中加密。
原理、步骤
- 确认所需的法规和标准（个人信息、行业标准）
- 从 AWS Artifact 获取相应的报告
- 用 CloudTrail 记录所有区域的操作，用 Config 检测违反规则的情况
- 用 Organizations 和 SCP 设置整个账户的禁止事项
工作中的示例
审计中被问到“谁在何时更改了安全组”，用 CloudTrail 日志说明操作者和时间，并用 Config 说明当前设置符合规则。
易混淆点、考试注意事项
- CloudTrail 是“谁做了什么（API 操作）”，Config 是“资源设置如何变化”
- CloudWatch 用于性能监视和日志，审计记录用 CloudTrail
- Artifact 用于获取报告，不用于安全监视
小测验
Q1. 保存在 Amazon S3 中的客户名单由于设置错误而可以从外部查看。对照责任共担模式，最合适的说明是哪一项？
- S3 是托管服务，因此存储桶公开设置的错误是 AWS 的责任
- S3 的数据会自动加密，因此即使公开也不构成信息泄露
- 公开设置会由 AWS 定期自动修正，客户无需应对
- 存储桶的访问设置是客户的责任，客户需要重新审视设置
查看答案和解析
正确答案：D 存储桶的访问设置是客户的责任，客户需要重新审视设置
即使是托管服务，对数据的访问权限设置也是客户的责任。客户应使用 S3 阻止公共访问等功能加以防止。
Q2. 金融行业的客户要求提供“AWS 已取得的第三方认证的证明”。最合适的获取方法是哪一项？
- 把 AWS CloudTrail 的日志共享给客户
- 向 AWS 支持申请参观数据中心，拍摄设施照片后提交
- 从 AWS Artifact 下载相应的合规报告
- 启用 AWS Config 规则，提交评估结果
查看答案和解析
正确答案：C 从 AWS Artifact 下载相应的合规报告
AWS 自身的审计报告和认证从 AWS Artifact 获取。Config 和 CloudTrail 是客户环境的记录，不是 AWS 认证的证明。
参考链接
2.3理解 AWS 的访问管理功能
2.3 Identify AWS access management capabilities.
概念
通过 AWS Identity and Access Management（IAM），使用用户、组、角色和策略管理访问。根用户不用于日常作业，并设置 MFA 加以保护。跨多个账户的人员访问用 IAM Identity Center 集中管理，应用和服务不用长期密钥，而用 IAM 角色（临时凭据）。
原理、步骤
- 为根用户设置 MFA，不创建访问密钥
- 人员访问用 IAM Identity Center 管理，把权限授予组
- 按最小权限原则设计策略
- 为 EC2 和 Lambda 附加 IAM 角色，不把访问密钥嵌入代码
工作中的示例
为了让 EC2 上的应用读取 S3，不把访问密钥写入配置文件，而是为实例附加只允许读取 S3 的 IAM 角色。
易混淆点、考试注意事项
- 有些作业只能用根用户进行（关闭账户、更改支持计划等）
- IAM 角色是临时凭据，比长期访问密钥更安全
- 组没有像角色那样的“代入”机制（只是汇总权限）
小测验
Q1. 哪项服务会对照最佳实践检查账户，例如指出根用户未设置 MFA 或公开的 S3 存储桶，并给出建议？
- AWS Config
- AWS CloudTrail
- AWS Trusted Advisor
- Amazon Inspector
查看答案和解析
正确答案：C AWS Trusted Advisor
Trusted Advisor 检查账户，给出成本优化、安全、容错、性能、服务配额等方面的建议。例如指出未设置 MFA 的根用户或公开的 S3 存储桶。【其他选项】Config 记录资源配置变更并按规则评估。Inspector 扫描 EC2 和容器的漏洞。CloudTrail 记录 API 调用。
Q2. 创建 AWS 账户后，应立即对根用户采取的最合适措施是哪一项？
- 设置 MFA，不用于日常作业，另行准备用于管理的标识
- 在部门内共享根用户的密码，以便任何人都能进行紧急应对
- 删除根用户，防止账户被盗用
- 创建根用户的访问密钥，并配置到自动化脚本中
查看答案和解析
正确答案：A 设置 MFA，不用于日常作业，另行准备用于管理的标识
根用户拥有所有权限，因此要用 MFA 保护，不用于日常作业。避免创建或共享访问密钥。根用户无法删除。
参考链接
2.4理解安全的组件和资源
2.4 Identify components and resources for security.
概念
主要的安全服务：AWS WAF（防御针对 Web 应用的攻击）、AWS Shield（防御 DDoS，Standard 免费且自动）、Amazon GuardDuty（分析日志检测威胁）、Amazon Inspector（自动扫描漏洞）、AWS Security Hub（汇总安全状况）、Amazon Macie（检测 S3 中的敏感数据）、AWS Secrets Manager（管理和轮换凭据）。网络方面使用安全组（有状态）和网络 ACL（无状态）。
原理、步骤
- 在公开的 Web 应用前放置 WAF 和 Shield
- 启用 GuardDuty，检测可疑的通信和操作
- 用 Inspector 扫描 EC2 和容器的漏洞
- 用 Security Hub 汇总结果，从优先级高的开始处理
工作中的示例
GuardDuty 检测到 EC2 向已知的加密货币挖矿服务器通信，负责人根据汇总到 Security Hub 的警报隔离了实例。
易混淆点、考试注意事项
- GuardDuty 检测威胁，Inspector 检查漏洞，Macie 检测敏感数据
- 安全组只能允许且有状态，网络 ACL 也可以拒绝且无状态
- Shield Advanced 收费，附带 DDoS 应对团队的支持等
小测验
Q1. 使用 Amazon EC2 时，以下哪一项不是客户的责任？
- 更新安装在实例上的应用程序
- 报废实例所运行的物理主机并清除数据
- 设置安全组中允许的端口
- 管理操作系统的用户账户和密码
查看答案和解析
正确答案：B 报废实例所运行的物理主机并清除数据
物理主机和存储设备的报废和数据清除是 AWS 的责任。安全组、应用程序和操作系统账户由客户管理。
Q2. 你希望加强 Amazon VPC 内的安全。按实例指定允许的通信的功能是哪一项？
- AWS WAF
- 安全组
- 网络 ACL
- 路由表
查看答案和解析
正确答案：B 安全组
安全组是按实例（ENI）的虚拟防火墙，是有状态的。网络 ACL 按子网设置，是无状态的。【其他选项】网络 ACL 以子网为单位且无状态。路由表控制路由。WAF 防御 HTTP 攻击，并非按实例允许通信。
参考链接
课程由本站根据公开信息独立编写，不保证与考试内容一致。产品规格可能变化，请在参考链接中确认最新信息。
使用须知（非官方、原创题目、不保证合格）
- 本站题目是根据官方公开的技能大纲和考试指南独立编写的原创练习题，并非真实考试题目。
- Amazon Web Services、AWS 及相关标志是 Amazon.com, Inc. 或其关联公司的商标。本站与 AWS 无合作关系，也未获得 AWS 的认可或推荐。
- 本内容仅为学习辅助，不保证考试合格。考试内容、形式和前提条件可能随时变更，参加考试前请务必在官方页面确认最新信息。
- 模拟考试的正确率无法换算为官方（换算）分数，也不能预测是否合格。
- 进度仅保存在本浏览器（localStorage）中；使用 Google 登录后才会同步到账号。可在“Cookie 与存储设置”页面（日语）中删除。