AIAI Agent Dev Labaiagentdev-lab.com
登录以保存学习记录登录
菜单

DVA-C03 · LESSON 2

安全26% · 3 个主题

通过角色取得凭据，从托管存储读取密钥。模型输出不是授权依据，应在服务端控制工具访问。按用户隔离会话与缓存，并按需对输入和日志脱敏。

2.1保护应用及 AI 的权限边界

概念

通过角色取得凭据，从托管存储读取密钥。模型输出不是授权依据，应在服务端控制工具访问。按用户隔离会话与缓存，并按需对输入和日志脱敏。

原理、步骤

  1. 先写出需求和成功标准。
  2. 在测试环境操作，保留成功与失败证据。
  3. 检查结果后，使用下方领域练习验证判断。

工作中的示例

测试其他用户会话 ID 及越权工具请求是否被拒绝。

易混淆点、考试注意事项

小测验

Q1. 用 API Gateway 发布内部 API，只允许拥有公司内部 IAM 角色的应用调用。最合适的授权方法是哪一项？

  1. 保持 API 公开，把 API 的 URL 作为机密告知用户
  2. 在 API Gateway 前放置 NAT 网关以限制来源
  3. 在方法上启用 IAM 授权，并允许调用方的角色执行
  4. 签发 API 密钥嵌入各应用，仅通过 API 密钥是否匹配来确认调用方身份
查看答案和解析

正确答案：C 在方法上启用 IAM 授权，并允许调用方的角色执行

IAM 授权用 IAM 策略评估经 SigV4 签名的请求。API 密钥用于管理使用计划，作为认证机制并不充分。

Q2. 希望限定加密密钥的使用者。在 KMS 密钥策略中最合适的设置是哪一项？

  1. 把密钥的管理和使用权限一起授予包括账户外在内的所有主体
  2. 允许所有 IAM 用户 kms:*，由应用控制谁使用
  3. 密钥策略留空，只允许根用户使用密钥
  4. 把密钥管理员与执行加密、解密的角色分开，只允许各自所需的操作
查看答案和解析

正确答案：D 把密钥管理员与执行加密、解密的角色分开，只允许各自所需的操作

在密钥策略中把密钥管理（修改策略、计划删除）与使用（Encrypt/Decrypt）分开，可以实现职责分离和最小权限。

参考链接

2.2设计对 AWS 资源的安全访问

概念

访问设计的核心是 IAM 策略评估。显式拒绝（Deny）始终优先，没有允许时就是隐式拒绝。在多账户环境中，AWS Organizations 的 SCP（服务控制策略）决定账户可用权限的上限，IAM Identity Center 集中管理人员访问。访问其他账户使用 IAM 角色代入（AssumeRole）和基于资源的策略。

原理、步骤

  1. 人员访问通过 IAM Identity Center 与外部 IdP（SAML、OIDC）联合
  2. 工作负载使用 IAM 角色，避免长期访问密钥
  3. 用 SCP 在整个组织设置禁止事项（限制区域、禁止停止日志等）
  4. 跨账户访问使用带信任策略的角色
  5. 用 Access Analyzer 检测对外公开的资源

工作中的示例

审计账户的人员通过 AssumeRole 代入生产账户的只读角色进行调查，并用 SCP 禁止所有账户停止 CloudTrail。

易混淆点、考试注意事项

小测验

Q1. 关于 IAM 策略评估，正确的说法是哪一项？

  1. 即使身份策略允许，只要任一策略中有显式拒绝，访问就会被拒绝
  2. 身份策略与资源策略冲突时，始终以后创建的策略为准
  3. SCP 允许的操作，即使 IAM 策略没有允许也可以执行
  4. 任何策略中都没有提到的操作，在同一账户内默认允许
查看答案和解析

正确答案：A 即使身份策略允许，只要任一策略中有显式拒绝，访问就会被拒绝

IAM 中显式拒绝优先级最高，任何地方都没有允许时会被隐式拒绝。SCP 只设定权限上限，本身不授予权限。

Q2. 移动应用用户把照片直接上传到 S3 中自己专用的文件夹。不在应用中嵌入 AWS 凭证的最合适方法是哪一项？

  1. 用 Cognito 身份池签发权限受限的临时凭证
  2. 加密根用户凭证并保存在应用中
  3. 在应用中嵌入一个公共 IAM 用户的访问密钥，所有用户共用
  4. 公开 S3 存储桶，让任何人都能写入
查看答案和解析

正确答案：A 用 Cognito 身份池签发权限受限的临时凭证

Cognito 身份池为已认证用户签发基于 IAM 角色的临时凭证。可以用策略变量把写入限制在用户自己的前缀下。

参考链接

2.3确定合适的数据安全控制

概念

数据保护通过静态加密（AWS KMS：AWS 托管密钥、客户托管密钥）、传输加密（TLS、ACM 证书）、访问控制（存储桶策略、S3 阻止公有访问）、备份和保留（AWS Backup、S3 版本控制、S3 对象锁定）实现。把密钥使用者与密钥管理员分开，用密钥策略控制。

原理、步骤

  1. 确定数据分类（机密、内部、公开）
  2. 启用 S3 阻止公有访问并设置默认加密
  3. 需要审计或密钥管理时，使用客户托管密钥（自动轮换）
  4. 需要防篡改的记录使用 S3 对象锁定（合规模式）
  5. 用 Macie 确认敏感数据所在位置

工作中的示例

用 S3 对象锁定把金融交易记录保存 7 年且不可修改，用客户托管密钥加密，并通过 CloudTrail 审计密钥使用。

易混淆点、考试注意事项

小测验

Q1. 关于 S3 存储桶策略等基于资源的策略，正确的特点是哪一项？

  1. 使用基于资源的策略后，同一账户中的所有 IAM 身份策略都会被忽略
  2. 附加到 IAM 用户，指定该用户可使用的所有服务
  3. 与 SCP 一样设定整个组织的上限，不能授予权限
  4. 附加到资源上，指定哪些主体（包括其他账户）可以做什么
查看答案和解析

正确答案：D 附加到资源上，指定哪些主体（包括其他账户）可以做什么

基于资源的策略附加在资源上，用 Principal 元素指定允许的对象，可用于跨账户访问。

Q2. 你正在设计来自其他 AWS 账户的访问。审计账户的人员需要临时查看生产账户的 CloudTrail、Config、EC2 等。最合适的方法是哪一项？

  1. 用 SCP 允许对方账户执行目标操作
  2. 在自己的账户中为对方人员创建 IAM 用户并分发
  3. 在 S3 存储桶策略中允许对方账户的主体读取
  4. 在目标账户中创建 IAM 角色，并允许对方 AssumeRole
查看答案和解析

正确答案：D 在目标账户中创建 IAM 角色，并允许对方 AssumeRole

代入目标账户中的角色后，可以用 STS 临时凭证使用该角色的权限，无需分发长期凭证。

参考链接

课程由本站根据公开信息独立编写，不保证与考试内容一致。产品规格可能变化，请在参考链接中确认最新信息。

使用须知（非官方、原创题目、不保证合格）