Você precisa compartilhar com segurança um único objeto de um bucket S3 privado com vários usuários que não possuem contas AWS. Qual abordagem é a mais operacionalmente eficiente?

Gerar um URL pré-assinado para o objeto é a abordagem mais eficiente. Um URL pré-assinado concede acesso temporário e limitado a um objeto específico, sem exigir credenciais AWS ou contas. Os usuários podem acessar o objeto diretamente através do URL, que pode ser configurado para expirar após um tempo determinado, garantindo segurança. Aplicar uma política de bucket S3 com restrição de IP é inviável para múltiplos usuários sem contas AWS, pois seus IPs podem mudar e a gestão seria complexa. Criar uma função IAM e instruir usuários a assumi-la não é prático para usuários externos sem contas AWS. Criar usuários IAM e distribuir credenciais é uma má prática de segurança e operacionalmente ineficiente para usuários externos, além de exigir que eles configurem o acesso programático.