Una aplicación se ejecuta en una subred privada y ya utiliza Amazon Cognito con un grupo de usuarios para la autenticación. La aplicación necesita almacenar de forma segura documentos de usuario en un bucket de Amazon S3. ¿Qué combinación de pasos integrará de forma segura Amazon S3 con la aplicación? (Elija dos)

La creación de un grupo de identidades de Amazon Cognito es esencial porque permite a la aplicación obtener credenciales temporales y con privilegios limitados de AWS para acceder a S3, después de que el usuario se autentique con el grupo de usuarios. Esto evita almacenar credenciales de AWS directamente en la aplicación. Un VPC endpoint de Amazon S3 en la misma VPC permite que la aplicación en la subred privada acceda a S3 de forma segura y directa, sin pasar por Internet, mejorando la seguridad y reduciendo la latencia. Usar solo el grupo de usuarios de Cognito no es suficiente, ya que este solo maneja la autenticación y no proporciona credenciales de AWS para S3. Un NAT Gateway permitiría la salida a Internet, pero no es la forma más segura o eficiente para acceder a S3 desde una subred privada, y la política de S3 mencionada es incorrecta. Las direcciones IP de los usuarios son dinámicas y no son una forma fiable de controlar el acceso a S3.