Eine Anwendung läuft in einem privaten Subnetz und verwendet bereits Amazon Cognito mit einem Benutzerpool zur Authentifizierung. Die Anwendung muss Benutzerdokumente sicher in einem Amazon S3-Bucket speichern. Welche Kombination von Schritten integriert Amazon S3 sicher in die Anwendung? (Wählen Sie zwei.)

Um Benutzerdokumente sicher in S3 zu speichern, sind zwei Schritte entscheidend. Erstens: Ein Amazon Cognito Identity Pool ist notwendig, um temporäre, eingeschränkt berechtigte AWS-Anmeldeinformationen (Zugriffstoken) für authentifizierte Benutzer aus dem Cognito User Pool zu generieren. Diese Anmeldeinformationen ermöglichen den direkten Zugriff auf S3, ohne dass die Anwendung dauerhafte AWS-Zugriffsschlüssel speichern muss. Der bestehende User Pool allein kann keine S3-Zugriffstoken generieren. Zweitens: Ein Amazon S3 VPC Endpoint in derselben VPC, in der die Anwendung läuft, ermöglicht den privaten und sicheren Zugriff auf S3, ohne dass der Datenverkehr das öffentliche Internet durchqueren muss. Dies erhöht die Sicherheit und reduziert die Latenz. Ein NAT Gateway würde den Datenverkehr über das Internet leiten, was weniger sicher ist. Eine IP-basierte Richtlinie für S3 ist unpraktisch und unsicher, da Benutzer-IPs variieren können. Eine Richtlinie, die nur Anfragen von Cognito zulässt, ist nicht umsetzbar, da die Anfragen von der Anwendung des Benutzers kommen.