2025 年 AWS 认证：AWS License Manager 与 AWS Config 集成实现合规性审计专题试卷及解析

2025年AWS认证：AWSLicenseManager与AWSConfig集成实现合规性审计专题试卷及解析适用：AWSSysOpsAdministrator/AWSSecuritySpecialty/AWSCloudPractitioner进阶，聚焦LicenseManager+Config组合、资源合规审计、规则、自动修复、许可证追踪、合规报告。题型：单选15题、多选8题、判断10题、简答5题，满分100分。一、单选题（每题3分，共45分）1.AWSLicenseManager的核心作用是（）A.仅管理AWS账号登录权限B.跨AWS账号、本地、混合云统一追踪软件许可证使用、防止超许可、管控许可合规C.只对AWSEC2实例做补丁管理D.用于存储软件安装包✅答案：B解析：LicenseManager是AWS许可管理服务，支持AWS、本地、混合环境，管理第三方商业软件许可（SQLServer、Windows、Oracle等），管控许可数量、自动发现、防止超额使用；它不是权限、补丁或存储服务。2.AWSConfig的核心定位是（）A.负载均衡调度B.资源配置记录、配置变更历史、配置规则审计、持续合规评估C.数据库备份D.日志集中存储✅答案：B解析：Config持续记录AWS资源配置快照，检测配置变更，通过ConfigRule做合规检查；CloudWatchLogs才是日志集中存储服务。3.将LicenseManager和AWSConfig集成，主要目的是（）A.自动扩容EC2实例B.基于许可证使用情况，通过Config规则持续审计资源是否满足许可合规要求C.自动更新软件版本D.降低网络延迟✅答案：B解析：集成后LicenseManager导出许可使用数据，Config规则持续校验：资源是否有合法许可、是否超许可部署、许可关联是否合规，实现持续合规审计。4.LicenseManager中，许可配置（LicenseConfiguration）不包含以下哪一项（）A.许可计数规则（vCPU/实例/核数）B.许可总数量上限C.允许的资源类型D.EC2实例安全组规则✅答案：D解析：安全组是EC2网络配置，不属于LicenseConfiguration；许可配置定义许可数量、计数方式、适用资源与许可类型。5.下面哪一项是AWSConfig规则的两种类型（）A.托管规则、自定义规则B.流量规则、路由规则C.IAM规则、S3策略规则D.计费规则、预算规则✅答案：A解析：Config规则分为AWS托管规则（官方预置）和自定义规则（Lambda开发）；LicenseManager集成场景大多需要自定义规则。6.当LicenseManager检测到资源超额使用许可证，通过Config可以实现（）A.直接删除该AWS账号B.触发不合规标记、通知SNS、执行自动修复动作C.自动关闭AWS账单D.自动更换实例操作系统✅答案：B解析：Config识别不合规资源后标记non_compliant，可联动SNS告警，并通过SSMAutomation执行自动修复（如关停超许可实例）。7.LicenseManager支持的许可计数模式，不包括（）A.vCPU计数B.实例计数C.内核（Core）计数D.带宽流量计数✅答案：D解析：常见许可计数维度为实例、vCPU、核、插槽；带宽不属于软件许可计数维度。8.在混合云场景，LicenseManager发现本地服务器许可信息，依赖哪个组件（）A.AWSSystemsManagerAgent（SSMAgent）B.AWSKinesisDataStreamsC.AWSAmplifyD.AWSCloudFront✅答案：A解析：SSMAgent安装在本地/EC2实例上，上报服务器信息给LicenseManager，用于发现软件使用、采集许可使用数据。9.AWSConfig记录资源配置变更，生成的记录称为（）A.CloudTrail事件B.ConfigurationItem（配置项CI）C.CloudWatch指标D.X-Ray追踪片段✅答案：B解析：ConfigurationItem（CI）是Config对单个资源的配置快照；CloudTrail记录API审计日志。10.关于LicenseManager和Config集成的数据流向，正确顺序是（）A.资源上报SSM→LicenseManager统计许可使用→Config规则读取许可数据→标记合规/不合规B.Config直接删除实例→LicenseManager生成报告C.S3推送日志→LicenseManager计费→Config出账单D.CloudTrail→LicenseManager→IAM✅答案：A解析：SSMAgent采集资源软件信息，LicenseManager统计许可占用；Config规则读取LicenseManager指标做合规校验。11.AWSConfig聚合合规报告，跨多账号多区域查看合规状态，需要启用（）A.ConfigAggregator（配置聚合器）B.ConfigDeliveryChannelC.ConfigRecorderD.ConfigRule✅答案：A解析：Aggregator聚合多个账号、区域的Config合规结果，适合企业多账号许可合规审计。12.Config自动修复（Remediation）不能实现的是（）A.调用SSMAutomation文档关停超许可EC2B.修改资源配置使其合规C.自动购买新增软件许可证D.标记不合规资源并发送告警✅答案：C解析：自动修复无法自动采购商业许可证，采购需要人工流程。13.LicenseManager中的自助许可分配（Self-managedlicenses）适用于（）A.企业自带的商业软件许可（自带许可BYOL）B.AWS自带免费服务C.S3存储许可D.Route53域名许可✅答案：A解析：BYOL指企业自有微软、Oracle等软件许可，导入LicenseManager统一管控。14.下面哪一项可以用来存储Config的配置快照与变更历史（）A.S3BucketB.EBS卷C.DynamoDBD.EFS✅答案：A解析：ConfigDeliveryChannel将配置项、历史、合规报告投递到指定S3桶，也可通过SNS发送通知。15.当ConfigRecorder关闭，会发生什么（）A.继续记录资源配置B.停止采集和记录资源配置项，无法持续审计C.自动删除所有资源D.LicenseManager自动停止工作✅答案：B解析：ConfigRecorder是采集开关，关闭后不再采集资源配置快照，合规审计中断；LicenseManager本身仍可独立采集许可信息。二、多选题（每题4分，共32分，少选得2分，错选不得分）1.LicenseManager支持的环境包含（）A.AWSEC2B.本地数据中心服务器（SSM托管）C.其他云（混合云，SSM托管）D.无SSMAgent的裸机（无代理采集）✅答案：ABC解析：LicenseManager依赖SSMAgent采集，无代理裸机无法自动发现。2.LicenseManager与AWSConfig集成，可实现的合规能力有（）A.持续检测是否存在未关联许可的软件部署B.检测许可超量使用C.记录许可相关资源配置变更历史D.生成合规审计报告用于内审、外部审计✅答案：ABCD3.一个完整AWSConfig部署，必须包含的基础组件（）A.ConfigRecorderB.DeliveryChannel（S3+SNS）C.ConfigRuleD.CloudFront分发✅答案：ABC解析：CloudFront是CDN服务，与Config基础采集无关。4.自定义Config规则可以使用哪些服务实现（）A.AWSLambdaB.AWSStepFunctionsC.AWSSSMD.AWSRedshift✅答案：AB解析：自定义Config规则底层是Lambda，也可以用StepFunctions编排复杂校验逻辑。5.关于BYOL（自带许可），LicenseManager可以做哪些管控（）A.导入企业自有许可数量B.跟踪哪些EC2/本地服务器在使用该许可C.设置许可超额告警D.自动修改软件授权密钥✅答案：ABC解析：LicenseManager不能自动修改软件密钥，密钥由软件本身管理。6.当Config评估资源为NON_COMPLIANT，可以联动的通知与修复手段（）A.SNS主题推送告警给邮件/短信B.SSMAutomation自动修复C.EventBridge捕获事件，流转工单系统D.自动删除AWS账户✅答案：ABC7.下面哪些属于LicenseManager的告警方式（）A.CloudWatch告警（许可接近上限）B.EventBridge事件C.集成Config合规评估D.直接拨打电话✅答案：ABC8.使用LicenseManager+Config做合规审计的优势（）A.统一视图：许可占用+资源配置变更关联审计B.持续自动审计，不用人工定期盘点C.留存变更历史，满足审计追溯要求D.完全消除软件许可成本✅答案：ABC解析：不能消除许可采购成本，只是管控违规风险、避免厂商罚款。三、判断题（每题1.5分，共15分）1.LicenseManager只能管理AWS官方提供的免费软件许可。（×）解析：核心场景是BYOL第三方商业软件许可（Windows、SQLServer、Oracle等）。2.AWSConfig可以记录资源什么时候被修改、修改前后配置。（√）3.托管Config规则原生内置LicenseManager许可超额校验，开箱即用，不需要自定义Lambda。（×）解析：AWS官方托管规则没有直接的LicenseManager许可校验规则，该场景一般需要开发自定义Config规则调用LicenseManagerAPI。4.LicenseManager可以阻止在没有足够许可额度的情况下部署实例（许可强制管控）。（√）解析：可设置许可强制执行，SSM部署时校验许可余量，不足则阻止部署。5.Config聚合器可以跨多个AWS组织账号统一查看合规状态。（√）6.关闭S3桶，Config依然可以正常保存配置历史。（×）解析：DeliveryChannel依赖S3存储配置快照与报告。7.LicenseManager采集的许可使用数据，只能在AWS单区域内使用，不能跨区域。（×）解析：支持跨区域、跨账号，配合ConfigAggregator可做全局审计。8.自动修复动作必须人工确认后才能执行，Config无法自动执行修复。（×）解析：Remediation可以设置自动执行，也可以手动执行。9.CloudTrail记录API操作，Config记录资源配置状态，两者互补，审计时通常一起使用。（√）10.LicenseManager和Config集成之后，就不再需要人工定期审计。（×）解析：自动化是辅助，审计规范一般仍要求定期复核、证据留存，不能完全替代人工审计。四、简答题（共8分）1.（简答，2分）简述LicenseManager与AWSConfig集成实现合规审计的完整流程SSMAgent部署在EC2/本地服务器，上报软件信息、实例信息；LicenseManager配置许可配置（BYOL许可、计数规则、许可上限），持续统计许可占用；部署AWSConfigRecorder采集资源配置，配置自定义Config规则（Lambda调用LicenseManagerAPI）；Config定期评估资源：校验资源是否绑定许可、是否超许可配额；不合规资源标记NON_COMPLIANT，触发SNS告警、SSM自动修复；所有配置变更、合规评估结果存入S3，支持审计追溯、聚合报告。2.（简答，1.5分）说明ConfigRecorder、DeliveryChannel、ConfigRule三者分工Recorder：采集资源配置，生成ConfigurationItem；DeliveryChannel：把配置快照、评估结果投递到S3、SNS；ConfigRule：校验配置是否符合合规策略，输出合规状态。3.（简答，1.5分）BYOL场景下，Li