Um aplicativo web serve documentos seguros armazenados em um bucket S3 privado e deve permitir que apenas usuários autenticados baixem um documento específico por 15 minutos após a solicitação. Qual abordagem atende a esses requisitos?

Gerar uma URL S3 pré-assinada é a abordagem correta porque permite acesso temporário e controlado a objetos em buckets privados. A URL contém credenciais de segurança e uma data de expiração definida (neste caso, 15 minutos), garantindo que o acesso seja limitado no tempo. Copiar documentos para outro bucket com regra de ciclo de vida é ineficiente e adiciona latência e custos desnecessários, além de não garantir que o acesso seja restrito apenas ao usuário solicitante. Usar SSE-KMS e HTTPS protege os dados em repouso e em trânsito, mas não controla o acesso temporário a usuários específicos. Atualizar a política do bucket temporariamente é complexo, propenso a erros e não escalável, podendo causar problemas de segurança se a reversão falhar.