Uma empresa armazena um modelo do AWS CloudFormation em um bucket do Amazon S3 que bloqueia o acesso público. A empresa deseja conceder ao CloudFormation acesso ao modelo com base em solicitações de usuários específicos para criar um ambiente de teste, seguindo as melhores práticas de segurança. Qual solução atende a esses requisitos?

A criação de um URL pré-assinado para o objeto do modelo S3 é a solução mais segura e prática. Ele concede acesso temporário e limitado ao objeto específico no bucket privado, sem expor o bucket publicamente. O CloudFormation pode então usar este URL para acessar o modelo. As outras opções são incorretas porque: Um endpoint de VPC de gateway para S3 permite que instâncias dentro da VPC acessem S3 sem passar pela internet, mas não resolve o problema de acesso do CloudFormation a um bucket privado de fora da VPC (a menos que o CloudFormation esteja na mesma VPC, o que geralmente não é o caso para acesso a modelos). Usar o Amazon API Gateway adicionaria complexidade desnecessária e não é a maneira padrão de fornecer acesso seguro a objetos S3 para o CloudFormation. Permitir acesso público ao objeto S3 e depois bloqueá-lo é uma prática de segurança ruim, pois expõe o modelo a riscos durante o período em que está público.