Um desenvolvedor está criando um aplicativo móvel que exibe imagens armazenadas em um bucket S3. Os usuários devem ser capazes de fazer login com sua conta Amazon e com contas de mídias sociais compatíveis. Qual solução oferece essa capacidade de autenticação?

O Amazon Cognito com federação de identidade web é a solução correta porque permite que os usuários façam login usando provedores de identidade públicos como Amazon, Google, Facebook, etc., que é o requisito para contas Amazon e mídias sociais. Ele gerencia o processo de autenticação e autorização, fornecendo credenciais temporárias para acessar os recursos da AWS, como o S3. Usar o Amazon Cognito com federação de identidade baseada em SAML não é o ideal, pois SAML é tipicamente usado para provedores de identidade corporativos, não para provedores de identidade públicos. Incorporar chaves de acesso e chaves secretas do IAM no código do aplicativo é uma prática de segurança muito ruim, pois expõe as credenciais e as torna difíceis de gerenciar ou revogar. Chamar AWS STS AssumeRole diretamente do código do aplicativo exigiria que o aplicativo gerenciasse a autenticação inicial do usuário e a obtenção de credenciais para chamar o STS, o que é complexo e menos seguro do que usar um serviço gerenciado como o Cognito para essa finalidade.