SAP-C03 · LESSON 2
安全、合规与治理25% · 5 个主题
SCP 限制权限上限而不授予权限。结合角色、资源策略、加密与审计落实最小权限。除内容控制外，还要设置工具授权与重要操作审批，并验证推理、日志及复制的数据驻留。
2.1结合组织治理与负责任 AI
概念
SCP 限制权限上限而不授予权限。结合角色、资源策略、加密与审计落实最小权限。除内容控制外，还要设置工具授权与重要操作审批，并验证推理、日志及复制的数据驻留。
原理、步骤
- 先写出需求和成功标准。
- 在测试环境操作，保留成功与失败证据。
- 检查结果后，使用下方领域练习验证判断。
工作中的示例
验证禁止区域和工具操作被拒绝，并检查审计证据。
易混淆点、考试注意事项
- 模拟考试正确率不能换算为官方分数，请以官方文档确认实际服务行为。
小测验
Q1. 正在审查 AWS Organizations 的 OU（组织单位）结构。最符合 AWS 建议的思路是哪一项？
- 把安全、基础设施、工作负载（生产/开发）等治理要求相似的账户放在同一个 OU
- 按公司组织架构图的层级创建 OU，每次部门调整都移动 OU 结构和账户
- 把所有账户放在一个 OU 中，为每个账户单独创建并直接附加 SCP
- 把生产和开发工作负载放在同一个账户中，为了不增加账户数量而不创建 OU
查看答案和解析
正确答案：A 把安全、基础设施、工作负载（生产/开发）等治理要求相似的账户放在同一个 OU
OU 是应用策略的单位，因此应按治理要求（生产、开发、安全等）而不是组织架构来划分，这样组织调整时无需移动 OU。
Q2. 关于服务控制策略（SCP），错误的说法是哪一项？
- 被 SCP 明确拒绝的操作，即使成员账户的 IAM 策略允许也无法执行
- SCP 不适用于管理账户中的用户和角色
- 被 SCP 允许的操作，即使 IAM 策略未允许，账户用户也能执行
- SCP 也适用于成员账户的根用户
查看答案和解析
正确答案：C 被 SCP 允许的操作，即使 IAM 策略未允许，账户用户也能执行
SCP 只设定权限上限，不授予权限。实际执行还需要 IAM 策略等的允许。
参考链接
2.2规定安全控制
概念
组织的安全控制由预防（SCP、RCP、IAM、权限边界）、检测（GuardDuty、Security Hub、Config、组织 CloudTrail 跟踪）和响应（EventBridge 和自动修复）组合而成。SCP 在整个组织范围设定主体（IAM 用户和角色）权限的上限，RCP（资源控制策略）设定对资源访问的上限。安全服务通过委派管理员账户集中管理。
原理、步骤
- 准备安全专用和日志专用的账户
- 为 GuardDuty、Security Hub、Config 设置委派管理员，并在所有账户中自动启用
- 用 SCP 禁止危险操作，用 RCP 限制来自组织外部对资源的访问
- 用权限边界设定开发人员所建角色的权限上限
- 用 EventBridge 把检测结果对接到自动修复处理
工作中的示例
设置 RCP 使组织外的主体无法访问 S3 存储桶，并用 SCP 禁止在任何账户中禁用 GuardDuty。
易混淆点、考试注意事项
- SCP 不适用于管理账户
- RCP 限制对资源的访问，SCP 限制来自主体的访问
- 权限边界按 IAM 实体设置，SCP 按账户或 OU 设置
小测验
Q1. 关于 AWS Control Tower，错误的说法是哪一项？
- 可以用 Account Factory 创建具有既定设置的新账户
- 可以应用基于 SCP 等的预防性控制和基于 Config 规则的检测性控制
- 设置着陆区时会创建日志存档账户和审计账户
- 启用后，现有组织的成员账户会被自动删除并重新创建
查看答案和解析
正确答案：D 启用后，现有组织的成员账户会被自动删除并重新创建
Control Tower 也可以引入现有组织，把现有账户注册（enroll）纳入管理。账户不会被删除。
Q2. 正在设计整个组织的防护机制。希望成员账户中的任何人，包括拥有管理员权限的用户，都无法停止或删除 CloudTrail 跟踪。最合适的机制是哪一项？
- 资源控制策略（RCP）
- 服务控制策略（SCP）
- Organizations 标签策略
- IAM 权限边界
查看答案和解析
正确答案：B 服务控制策略（SCP）
SCP 决定成员账户中 IAM 用户和角色（包括根用户）可执行操作的上限。拒绝优先于 IAM 策略的允许。
参考链接
2.3设计多账户 AWS 环境
概念
多账户环境用 AWS Organizations 的 OU（组织单位）对账户分类（安全、基础设施、工作负载、沙盒等），用 AWS Control Tower 自动构建着陆区（日志存档和审计账户、控制（防护机制）、Account Factory）。人员访问用 IAM Identity Center，共享资源用 RAM 分发。
原理、步骤
- 按用途和适用的策略设计 OU 结构
- 用 Control Tower 创建着陆区，分出日志账户和审计账户
- 按 OU 启用预防性和检测性控制
- 用 Account Factory（或 AFT）以标准设置发放新账户
- 用 IAM Identity Center 权限集管理每个账户的访问
工作中的示例
用 Account Factory 发放新项目账户时，会自动设置 CloudTrail、Config 和网络，并应用开发 OU 的防护机制。
易混淆点、考试注意事项
- 把所有内容放在一个账户中，很难隔离权限、成本和故障
- Control Tower 控制的实质是 SCP 和 Config 规则
- 不要在管理账户中放置工作负载
小测验
Q1. 希望把组织所有账户的 API 操作记录以防篡改的形式集中长期保存在一处。最合适的配置是哪一项？
- 保存在生产账户的 S3 存储桶中，通过存储桶策略让全体员工都能读取日志以提高透明度
- 让各账户管理员每月以 CSV 下载 CloudTrail 事件历史，按日期放到总部的共享文件夹
- 在各账户中分别创建 CloudTrail 跟踪，保存在各自账户的 S3 存储桶中
- 创建组织 CloudTrail 跟踪，保存到日志存档账户中启用了对象锁定的 S3 存储桶
查看答案和解析
正确答案：D 创建组织 CloudTrail 跟踪，保存到日志存档账户中启用了对象锁定的 S3 存储桶
使用组织跟踪可以把所有账户的事件汇总到一个 S3 存储桶。将其隔离到日志专用账户，并用对象锁定防止删除和覆盖。
Q2. 员工使用 Microsoft Entra ID 进行身份验证。希望用员工身份管理对所有账户的访问，并自动反映入职和离职。最合适的方法是哪一项？
- 在入职时请员工给 IAM 用户设置与 Entra ID 相同的密码
- 每个部门创建一个共享 IAM 用户，在部门内共享密码并定期更改
- 把 Entra ID 设为 IAM Identity Center 的身份源，用 SCIM 自动同步用户和组
- 在各账户中为每位员工创建 IAM 用户，收到人事部的离职通知后手动删除
查看答案和解析
正确答案：C 把 Entra ID 设为 IAM Identity Center 的身份源，用 SCIM 自动同步用户和组
把外部 IdP 设为身份源后，员工可以用公司内部身份登录，通过 SCIM 自动预置，入职和离职能立即反映。
参考链接
2.4根据要求确定安全控制
概念
新系统的安全要根据要求（法规、数据敏感度、公开范围）选择控制。边界防御使用 WAF、Shield Advanced（DDoS 响应团队和成本保护）、AWS Network Firewall（对 VPC 流量的有状态检查和域名过滤）；数据使用 KMS 或 CloudHSM（需要专用 HSM 时）；补丁使用 Systems Manager Patch Manager；身份验证使用 Cognito（终端用户）或 IAM Identity Center（员工）。
原理、步骤
- 根据法规和数据分类找出所需的控制
- 在公开边界放置 WAF 和 Shield，在 VPC 进出流量上放置 Network Firewall
- 需要 FIPS 140 第 3 级专用密钥时用 CloudHSM，其他情况用 KMS
- 用 Patch Manager 确定补丁基准和打补丁的时段
- 用 Cognito 进行用户身份验证并强制 MFA
工作中的示例
为了让内部服务器的对外通信只能访问允许的域名，用 Network Firewall 的域名列表进行限制，拒绝其他所有流量。
易混淆点、考试注意事项
- 安全组不能按域名过滤（应使用 Network Firewall）
- Shield Advanced 包含对 DDoS 导致费用增加的保护
- CloudHSM 用于需要完全控制密钥的情况，运维负担大
小测验
Q1. 正在选择加密密钥和证书的管理方法。希望用密钥策略细致地规定谁能使用密钥，设置自动轮换，并用 CloudTrail 审计密钥使用。最合适的是哪一项？
- AWS CloudHSM
- AWS Private CA
- KMS 多区域密钥
- KMS 客户托管密钥
查看答案和解析
正确答案：D KMS 客户托管密钥
客户托管密钥由用户管理密钥策略和轮换，使用情况记录在 CloudTrail 中。
Q2. 正在设计大型网站的攻击防护。特定 IP 地址在 5 分钟内反复进行数千次登录尝试。最合适的是哪一项？
- AWS WAF 托管规则组
- AWS WAF 基于速率的规则
- AWS Shield Advanced
- CloudFront 地理限制
查看答案和解析
正确答案：B AWS WAF 基于速率的规则
基于速率的规则按来源 IP 等统计请求数，在一段时间内阻止超过阈值的来源。
参考链接
2.5确定提高安全性的策略
概念
现有环境的安全改进使用 Security Hub（标准检查和检测结果汇总）、IAM Access Analyzer（检测外部访问和未使用的访问、生成策略）、Config 规则与自动修复以及 Inspector 漏洞扫描。密钥轮换和废除长期访问密钥也是改进对象。
原理、步骤
- 按 Security Hub 的标准（如 AWS 基础安全最佳实践）确认得分
- 用 Access Analyzer 找出对外公开的资源和未使用的权限
- 自动修复违反 Config 规则的资源
- 把长期访问密钥替换为 IAM 角色或 Identity Center
- 根据 Inspector 的结果优先修复严重漏洞
工作中的示例
Config 检测到“未加密的 EBS”时，通过自动修复借助快照进行加密，并在每月的会议上确认 Security Hub 的得分。
易混淆点、考试注意事项
- 借助 Access Analyzer 的未使用访问检测，可以接近最小权限
- 确认对生产的影响后再启用自动修复
- 只检测不处理，风险不会降低
小测验
Q1. 希望集中管理整个组织的安全状况。希望把 GuardDuty、Inspector、Macie 等的检测结果集中到一处，并在所有账户中确认对 CIS 等安全标准的合规情况。最合适的服务是哪一项？
- IAM Access Analyzer
- AWS Config 聚合器
- AWS Security Hub
- Amazon GuardDuty
查看答案和解析
正确答案：C AWS Security Hub
Security Hub 汇总多项服务的检测结果，可以在委派管理员账户中统一查看整个组织基于安全标准的自动检查结果。
Q2. 正在选择凭证和配置值的管理方法。希望每 30 天自动轮换 RDS 密码，应用始终获取最新的值。最合适的是哪一项？
- Systems Manager Parameter Store
- AWS Secrets Manager
- Amazon Cognito
- IAM 角色（实例配置文件）
查看答案和解析
正确答案：B AWS Secrets Manager
Secrets Manager 提供与 RDS 等集成的密钥自动轮换，应用通过 API 获取最新值。
参考链接
课程由本站根据公开信息独立编写，不保证与考试内容一致。产品规格可能变化，请在参考链接中确认最新信息。
使用须知（非官方、原创题目、不保证合格）
- 本站题目是根据官方公开的技能大纲和考试指南独立编写的原创练习题，并非真实考试题目。
- Amazon Web Services、AWS 及相关标志是 Amazon.com, Inc. 或其关联公司的商标。本站与 AWS 无合作关系，也未获得 AWS 的认可或推荐。
- 本内容仅为学习辅助，不保证考试合格。考试内容、形式和前提条件可能随时变更，参加考试前请务必在官方页面确认最新信息。
- 模拟考试的正确率无法换算为官方（换算）分数，也不能预测是否合格。
- 进度仅保存在本浏览器（localStorage）中；使用 Google 登录后才会同步到账号。可在“Cookie 与存储设置”页面（日语）中删除。