Eine Anwendung auf EC2 stellt Benutzern Objekte zur Verfügung, die in einem S3-Bucket gespeichert sind. Nachdem S3 Block Public Access für den Bucket aktiviert wurde, können Benutzer keine Objekte mehr herunterladen. Die Anforderung ist, dass nur Benutzer, die über die Anwendung authentifiziert sind, auf die Objekte zugreifen können. Welche Kombination von Schritten erfüllt diese Anforderung sicher? (Wählen Sie zwei.)

Die Kombination aus einer IAM-Rolle für die EC2-Instanzen und der Verwendung von vorab signierten URLs ist die sicherste und empfohlene Methode. Eine IAM-Rolle mit einem Instance Profile bietet den EC2-Instanzen temporäre Anmeldeinformationen, um auf S3 zuzugreifen, ohne dass dauerhafte Zugriffsschlüssel auf den Instanzen gespeichert werden müssen. Dies ist eine Best Practice für die Sicherheit. Die Anwendung kann dann die S3-API GeneratePresignedUrl verwenden, um zeitlich begrenzte URLs für authentifizierte Benutzer zu erstellen. Diese URLs ermöglichen den direkten Zugriff auf die S3-Objekte, ohne dass die Anwendung als Proxy fungieren muss, und stellen sicher, dass nur authentifizierte Benutzer für eine begrenzte Zeit Zugriff erhalten. Das Speichern von IAM-Benutzer-Zugriffsschlüsseln auf EC2-Instanzen ist unsicher, da diese bei einem Kompromittierung der Instanz offengelegt werden könnten. Das Zurückgeben des Objekthandles oder das Delegieren direkter Anfragen an den S3-Bucket würde die S3 Block Public Access-Einstellung umgehen oder erfordert, dass der Bucket öffentlich zugänglich ist, was der Anforderung widerspricht.