Eine Anwendung verwendet Amazon Cognito-Benutzerpools und Identitätspools und muss Benutzern ermöglichen, ihre eigenen Dateien (Dateigrößen von 3 KB bis 300 MB) in Amazon S3 hoch- und herunterzuladen. Dateien müssen sicher gehandhabt werden, sodass Benutzer nur auf ihre eigenen Daten zugreifen können. Welche Option bietet das HÖCHSTE Maß an Sicherheit?

Die Verwendung einer IAM-Richtlinie, die auf das Präfix jeder Cognito-Identität zugeschnitten ist, bietet das höchste Maß an Sicherheit, da sie eine feingranulare Zugriffskontrolle direkt auf S3-Ebene ermöglicht. Jeder Benutzer erhält eine eindeutige Identität von Cognito Identity Pools, die dann verwendet wird, um ein spezifisches S3-Pfadpräfix (z.B. s3://your-bucket/cognito-identity-id/) in einer IAM-Richtlinie zu definieren. Dadurch kann S3 selbst den Zugriff basierend auf der Identität des Benutzers autorisieren, ohne dass zusätzliche Anwendungslogik für die Autorisierung erforderlich ist. Die anderen Optionen sind weniger sicher: S3 Event Notifications validieren nicht den Zugriff, sondern reagieren auf Ereignisse. Das Speichern von Metadaten in DynamoDB und das Filtern der UI ist eine Anwendungsschicht-Sicherheit, die umgangen werden könnte, wenn der direkte S3-Zugriff nicht ebenfalls eingeschränkt ist. API Gateway und Lambda können den Zugriff validieren, aber die IAM-Richtlinie auf S3-Ebene ist eine robustere und direktere Methode zur Durchsetzung der Sicherheit.