AWS Certified Security - Specialty (SCS-C02)

**Resource-based policy 和 identity-based policy 的叠加关系搞不清** — S3 bucket policy 是 resource-based，IAM user policy 是 identity-based。两者是"OR"关系：任一允许即生效（同账户内），但跨账户必须**两边都允许**。考试高频场景：A 账号用户访问 B 账号 bucket，B 账号 bucket policy 允许了但 A 账号 IAM policy 没写 → 拒绝；反之亦然。

**KMS key policy 和 IAM policy 的优先级假设错误** — KMS 有个独特机制：默认情况下 key policy 必须显式授权 IAM principal，IAM policy 才能生效。也就是说，即使 user 有 `kms:Decrypt` 的 IAM 权限，如果 key policy 里没有 `"Principal": {"AWS": "root"}` 或显式列出该 user，依然拒绝。这是 AWS 全家桶里唯一一个"资源策略必须主动授权"的服务，考试必考。

**GuardDuty、Macie、Inspector 用途混为一谈** — GuardDuty 看**网络流量和 API 调用异常**（比如 EC2 连接已知恶意 IP、IAM 凭证被滥用）；Macie 扫描 **S3 里的敏感数据内容**（PII、PHI、信用卡号）；Inspector 扫描 **EC2/ECR/Lambda 的漏洞和 CVE**。题目出"S3 里可能有泄露的客户身份证号"选 Macie；"EC2 镜像有没过期的 OpenSSL"选 Inspector；"有人用偷来的 access key 在凌晨从俄罗斯 IP 调用 API"选 GuardDuty。

**跨账户 assume role 的信任链搞反** — 跨账户假设角色有两边：A 账号 user 要假设 B 账号 role，则 B 账号的 role **trust policy** 必须列 A 账号为 Principal，且 A 账号 user 的 IAM policy 必须有 `sts:AssumeRole` 到 B 账号 role 的权限。这两边缺一不可。题目经常给你三个账号的嵌套场景（A → B → C 的 role chaining），每一跳都要两边都配。

**SCP 的作用域和生效对象理解错** — SCP 只能**限制**最大权限，不能**授予**权限。一个账号即使 SCP 允许了 `s3:*`，如果 IAM policy 没有对应权限，用户依然没权限。SCP 对 root 账号也生效，但不影响 service-linked role 和 AWS 内部 trust。题目常问"SCP 加了之后为什么用户还是没权限" — 答案是 SCP 不授权。

**把 Shield Advanced 当成"自动开启就能防 DDoS"** — Shield Standard 是所有账号自动启用且免费的，只防 L3/L4 常见攻击。Shield Advanced 是 **3000 USD/月**（按 organization 计费），必须显式订阅，才能拿到 24/7 SRT 响应团队、成本保护（DDoS 导致的 Route53/CloudFront/EC2 额外费用可申请退还）、以及和 WAF 的联动。题目里提到"DDoS 攻击期间产生的费用想被 AWS 报销"就必须是 Shield Advanced。

**忘记 KMS key 有 7-30 天的 pending deletion 窗口** — KMS key 不能立即删除，最短 7 天、最长 30 天的等待期。等待期内可以取消删除。考试场景："误删 KMS key 后怎么办" → 答案是在等待期内 cancel key deletion；"想立刻无法使用某个 key 但保留可恢复性" → disable key 而不是 schedule deletion。