A FinchRide está lançando um aplicativo móvel que deve permitir que usuários não autenticados naveguem por conteúdo público no Amazon S3 e que usuários autenticados salvem preferências pessoais em uma tabela DynamoDB diretamente do cliente. A equipe de segurança exige o menor privilégio por usuário sem enviar credenciais de longa duração no aplicativo. Qual abordagem o Solutions Architect deve recomendar?

A abordagem correta utiliza o Amazon Cognito User Pool para gerenciar o registro e login de usuários e o Cognito Identity Pool para fornecer credenciais temporárias da AWS. Isso permite que usuários autenticados e não autenticados (convidados) acessem recursos da AWS com o menor privilégio, sem expor credenciais de longa duração no aplicativo. As funções do IAM associadas ao Identity Pool definem as permissões, e as condições de política do IAM, como ${cognito-identity.amazonaws.com:sub}, garantem que os usuários só possam acessar seus próprios dados no S3 e DynamoDB, atendendo ao requisito de segurança. As outras opções são menos adequadas: Usar apenas um grupo de usuários e passar o token de ID diretamente para S3/DynamoDB não é uma prática padrão, pois esses serviços não consomem JWTs diretamente para autorização. Criar uma API Gateway com Lambda adiciona complexidade e latência desnecessárias para um caso de uso que o Cognito Identity Pool resolve de forma nativa e mais eficiente. Chamar STS AssumeRoleWithWebIdentity diretamente do aplicativo é possível, mas o Cognito Identity Pool abstrai essa complexidade e gerencia a troca de tokens de forma mais segura e integrada.