Ein Unternehmen hostet eine Webanwendung aus einem Amazon S3-Bucket. Die Anwendung verwendet Amazon Cognito zur Authentifizierung von Benutzern und gibt ein JSON Web Token (JWT) zurück, das den Zugriff auf geschützte Ressourcen gewährt, die in einem anderen S3-Bucket gespeichert sind. Nach der Bereitstellung melden Benutzer Fehler und können nicht auf die geschützten Inhalte zugreifen. Ein Lösungsarchitekt muss die richtigen Berechtigungen bereitstellen, damit Benutzer auf die geschützten Inhalte zugreifen können. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung besteht darin, den Amazon Cognito Identity Pool zu aktualisieren, damit er eine IAM-Rolle annimmt, die die erforderlichen Berechtigungen für den Zugriff auf den S3-Bucket mit den geschützten Inhalten besitzt. Amazon Cognito Identity Pools ermöglichen es Benutzern, temporäre AWS-Anmeldeinformationen zu erhalten, indem sie sich über einen Identitätsanbieter authentifizieren. Diese Anmeldeinformationen sind mit einer IAM-Rolle verknüpft, die die Zugriffsrechte auf AWS-Ressourcen definiert. Wenn Benutzer nach der Authentifizierung über Cognito auf geschützte S3-Inhalte zugreifen müssen, muss die dem Identity Pool zugewiesene IAM-Rolle die entsprechenden S3-Berechtigungen (z.B. s3:GetObject) enthalten. Die Aktualisierung der S3-ACL ist nicht die empfohlene Methode für die Zugriffsverwaltung in diesem Szenario, da IAM-Rollen eine feinere und sicherere Kontrolle bieten. Eine erneute Bereitstellung der Anwendung aufgrund von Eventual Consistency ist irrelevant, da das Problem bei den Berechtigungen liegt. Die Verwendung benutzerdefinierter Attributzuordnungen in Cognito Pools dient der Verwaltung von Benutzerattributen, nicht der direkten Zuweisung von Zugriffsrechten auf AWS-Ressourcen.