AIAI Agent Dev Labaiagentdev-lab.com
登录以保存学习记录登录
菜单

SAA-C03 · LESSON 1

设计安全的架构30% · 3 个主题

学习如何设计对 AWS 资源的安全访问、安全的工作负载和应用，以及数据安全控制。

1.1设计对 AWS 资源的安全访问

1.1 Design secure access to AWS resources.

概念

访问设计的核心是 IAM 策略评估。显式拒绝（Deny）始终优先，没有允许时就是隐式拒绝。在多账户环境中，AWS Organizations 的 SCP（服务控制策略）决定账户可用权限的上限，IAM Identity Center 集中管理人员访问。访问其他账户使用 IAM 角色代入（AssumeRole）和基于资源的策略。

原理、步骤

  1. 人员访问通过 IAM Identity Center 与外部 IdP（SAML、OIDC）联合
  2. 工作负载使用 IAM 角色，避免长期访问密钥
  3. 用 SCP 在整个组织设置禁止事项（限制区域、禁止停止日志等）
  4. 跨账户访问使用带信任策略的角色
  5. 用 Access Analyzer 检测对外公开的资源

工作中的示例

审计账户的人员通过 AssumeRole 代入生产账户的只读角色进行调查，并用 SCP 禁止所有账户停止 CloudTrail。

易混淆点、考试注意事项

小测验

Q1. 关于 IAM 策略评估，正确的说法是哪一项？

  1. 即使身份策略允许，只要任一策略中有显式拒绝，访问就会被拒绝
  2. 身份策略与资源策略冲突时，始终以后创建的策略为准
  3. SCP 允许的操作，即使 IAM 策略没有允许也可以执行
  4. 任何策略中都没有提到的操作，在同一账户内默认允许
查看答案和解析

正确答案：A 即使身份策略允许，只要任一策略中有显式拒绝，访问就会被拒绝

IAM 中显式拒绝优先级最高，任何地方都没有允许时会被隐式拒绝。SCP 只设定权限上限，本身不授予权限。

Q2. SCP 的正确特性是哪一项？

  1. 附加 SCP 后，目标账户的 IAM 用户会自动获得相同权限
  2. SCP 设定操作上限，实际执行操作还需要 IAM 策略的允许
  3. SCP 只能附加到单个 IAM 用户，不能附加到 OU
  4. SCP 也适用于管理账户，可以同样限制管理账户的操作
查看答案和解析

正确答案：B SCP 设定操作上限，实际执行操作还需要 IAM 策略的允许

SCP 是成员账户可用操作的上限（防护机制），并不授予权限。它不影响管理账户，按 OU 或账户应用。

参考链接

1.2设计安全的工作负载和应用

1.2 Design secure workloads and applications.

概念

这是在网络层进行防护的设计。对外公开的层（ALB）放在公有子网，应用和数据库放在私有子网，用安全组相互引用，实现“只允许来自 ALB”“只允许来自应用”的访问。通过网关 VPC 终端节点连接 S3 和 DynamoDB，通过接口 VPC 终端节点（PrivateLink）连接其他服务，不经过互联网。攻击防护用 AWS WAF 和 Shield，威胁检测用 GuardDuty。

原理、步骤

  1. 用子网分隔三层（Web、应用、数据库）
  2. 安全组把其他安全组指定为来源，只允许最小范围
  3. 从私有子网访问 AWS 服务使用 VPC 终端节点
  4. 为 ALB 或 CloudFront 附加 WAF
  5. 把密钥放在 Secrets Manager 中并自动轮换

工作中的示例

数据库安全组只允许应用安全组作为来源，应用不经 NAT，而是通过网关终端节点访问 S3。

易混淆点、考试注意事项

小测验

Q1. 要在 VPC 中部署三层 Web 应用（ALB、应用服务器、RDS）。从安全角度看最合适的部署是哪一项？

  1. 全部放私有子网，通过 NAT 网关接收流量
  2. ALB 和应用放公有子网，RDS 放私有子网
  3. ALB 放公有子网，应用和 RDS 放私有子网
  4. 应用和 RDS 放公有子网，用安全组只允许 ALB
查看答案和解析

正确答案：C ALB 放公有子网，应用和 RDS 放私有子网

互联网入口只保留 ALB，应用和数据库放在私有子网。用安全组按层只允许必要的通信。【其他选项】应用无需公开。NAT 网关用于出站，不是入站入口。放在公有子网可能因配置错误而暴露。

Q2. 安全组与网络 ACL 的正确区别是哪一项？

  1. 安全组可以写拒绝规则，而网络 ACL 只能写允许规则
  2. 两者都是无状态的，并且都按规则编号顺序评估
  3. 安全组按子网应用，网络 ACL 按实例应用
  4. 安全组自动允许返回流量，网络 ACL 对返回流量也需要允许规则
查看答案和解析

正确答案：D 安全组自动允许返回流量，网络 ACL 对返回流量也需要允许规则

安全组是有状态的（只有允许），按实例（ENI）应用；网络 ACL 是无状态的（允许和拒绝，按编号顺序），按子网应用。

参考链接

1.3确定合适的数据安全控制

1.3 Determine appropriate data security controls.

概念

数据保护通过静态加密（AWS KMS：AWS 托管密钥、客户托管密钥）、传输加密（TLS、ACM 证书）、访问控制（存储桶策略、S3 阻止公有访问）、备份和保留（AWS Backup、S3 版本控制、S3 对象锁定）实现。把密钥使用者与密钥管理员分开，用密钥策略控制。

原理、步骤

  1. 确定数据分类（机密、内部、公开）
  2. 启用 S3 阻止公有访问并设置默认加密
  3. 需要审计或密钥管理时，使用客户托管密钥（自动轮换）
  4. 需要防篡改的记录使用 S3 对象锁定（合规模式）
  5. 用 Macie 确认敏感数据所在位置

工作中的示例

用 S3 对象锁定把金融交易记录保存 7 年且不可修改，用客户托管密钥加密，并通过 CloudTrail 审计密钥使用。

易混淆点、考试注意事项

小测验

Q1. 移动应用用户把照片直接上传到 S3 中自己专用的文件夹。不在应用中嵌入 AWS 凭证的最合适方法是哪一项？

  1. 用 Cognito 身份池签发权限受限的临时凭证
  2. 加密根用户凭证并保存在应用中
  3. 在应用中嵌入一个公共 IAM 用户的访问密钥，所有用户共用
  4. 公开 S3 存储桶，让任何人都能写入
查看答案和解析

正确答案：A 用 Cognito 身份池签发权限受限的临时凭证

Cognito 身份池为已认证用户签发基于 IAM 角色的临时凭证。可以用策略变量把写入限制在用户自己的前缀下。

Q2. 关于权限边界（Permissions boundary），正确的说明是哪一项？

  1. 限制用户可加入的组数量，不影响权限范围
  2. 设定 IAM 用户或角色可拥有的权限上限，边界之外的操作即使被允许也无法执行
  3. 应用于 Organizations 的 OU，限制整个组织的操作
  4. 代替基于资源的策略，直接允许访问 S3 存储桶或 KMS 密钥
查看答案和解析

正确答案：B 设定 IAM 用户或角色可拥有的权限上限，边界之外的操作即使被允许也无法执行

权限边界是一种托管策略，设定基于身份的策略可授予的权限上限。应用于 OU 的是 SCP。

参考链接

课程由本站根据公开信息独立编写，不保证与考试内容一致。产品规格可能变化，请在参考链接中确认最新信息。

使用须知（非官方、原创题目、不保证合格）