Você está desenvolvendo um aplicativo móvel que não exige que o usuário faça login. Qual é a maneira mais eficiente de conceder a esses usuários anônimos do aplicativo acesso limitado aos recursos da AWS?

A opção correta é usar o Amazon Cognito para mapear usuários não autenticados (convidados) para uma função IAM com permissões restritas. O Amazon Cognito Identity Pools (anteriormente Federated Identities) permite que você conceda acesso temporário e limitado a usuários anônimos (convidados) ou autenticados aos recursos da AWS, sem exigir que eles façam login. Isso é feito associando esses usuários a uma função IAM específica com as permissões necessárias. Usar um provedor de identidade externo não é eficiente, pois o aplicativo não exige login. Criar um usuário IAM para cada acesso é impraticável e não escalável. Gerar credenciais com o AWS KMS e distribuí-las não é a finalidade principal do KMS e seria um método inseguro e complexo para gerenciar acesso anônimo.