Uma aplicação no EC2 serve objetos armazenados em um bucket S3 para usuários. Após habilitar o S3 Block Public Access no bucket, os usuários não conseguem mais baixar os objetos. O requisito é que apenas usuários autenticados através da aplicação possam acessar os objetos. Qual combinação de passos atenderá a esse requisito de forma segura? (Escolha duas.)

A opção "Crie uma função (role) e um perfil de instância (instance profile) do IAM com uma política apropriada e atribua-o às instâncias EC2" é correta porque permite que a aplicação em execução no EC2 acesse o S3 de forma segura, sem armazenar credenciais estáticas. A função IAM concede as permissões necessárias para a instância. A opção "Altere a aplicação para chamar a API GeneratePresignedUrl do S3 e retornar URLs pré-assinadas para usuários autenticados" é correta porque, ao gerar URLs pré-assinadas, a aplicação pode conceder acesso temporário e controlado aos objetos do S3 para usuários autenticados, mesmo com o S3 Block Public Access habilitado. A opção "Crie um usuário IAM com uma política apropriada e armazene suas chaves de acesso nas instâncias EC2" é incorreta por ser uma prática de segurança ruim, pois expõe credenciais estáticas. A opção "Modifique a aplicação para chamar S3 GetObject e retornar o identificador do objeto ao usuário" é incorreta porque retornar apenas o identificador do objeto não concede acesso ao conteúdo, e a aplicação precisa servir o objeto. A opção "Modifique a aplicação para delegar solicitações diretas ao bucket S3" é incorreta porque isso exporia o bucket S3 diretamente, o que vai contra o requisito de acesso apenas para usuários autenticados e o S3 Block Public Access.