Um aplicativo usa grupos de usuários do Amazon Cognito (user pools) e grupos de identidade (identity pools) e deve permitir que os usuários façam upload e download de seus próprios arquivos para o Amazon S3 (tamanhos de arquivo de 3 KB a 300 MB). Os arquivos devem ser tratados com segurança para que os usuários possam acessar apenas seus próprios dados. Qual opção oferece o MAIOR nível de segurança?

A opção correta é usar uma política do IAM com escopo definido para o prefixo de cada identidade do Cognito. Isso garante o maior nível de segurança porque o IAM é o serviço de gerenciamento de acesso da AWS, e políticas baseadas em prefixo permitem que cada usuário acesse apenas sua própria "pasta" no S3, implementando o princípio do menor privilégio diretamente no nível do S3. As outras opções são menos seguras ou mais complexas: Notificações de Eventos do S3 não controlam o acesso, apenas reagem a eventos. Armazenar metadados no DynamoDB e filtrar na interface do usuário não impede que um usuário mal-intencionado tente acessar arquivos de outros usuários diretamente no S3. A segurança deve ser aplicada no backend. Usar API Gateway e Lambda para validar cada solicitação adiciona complexidade e custo, e a validação ainda precisaria de políticas de IAM para ser eficaz. A abordagem direta com políticas de IAM no S3 é mais eficiente e segura para este caso.