FinchRide va a lanzar una aplicación móvil que debe permitir a los usuarios no autenticados explorar contenido público en Amazon S3 y a los usuarios autenticados guardar preferencias personales en una tabla de DynamoDB directamente desde el cliente. El equipo de seguridad requiere el privilegio mínimo por usuario sin enviar credenciales de larga duración en la aplicación. ¿Qué enfoque debe recomendar el arquitecto de soluciones?

La opción correcta utiliza Amazon Cognito User Pools para la autenticación y Cognito Identity Pools para obtener credenciales temporales de AWS, lo que permite a los usuarios acceder directamente a S3 y DynamoDB con el privilegio mínimo. Los Identity Pools pueden diferenciar entre usuarios autenticados y no autenticados, asignando roles de IAM específicos con políticas que usan condiciones como ${cognito-identity.amazonaws.com:sub} para un control de acceso granular y seguro. La opción de usar solo un User Pool y pasar el token de ID no es suficiente, ya que S3 y DynamoDB no confían directamente en JWTs para la autorización de acceso. La opción de API Gateway y Lambda añade una capa de complejidad y latencia innecesaria para un acceso directo a S3/DynamoDB. Llamar a STS AssumeRoleWithWebIdentity directamente desde la aplicación es menos seguro y más complejo de gestionar que usar Identity Pools, que abstraen esta complejidad.