Una aplicación utiliza grupos de usuarios de Amazon Cognito y grupos de identidades, y debe permitir a los usuarios cargar y descargar sus propios archivos a Amazon S3 (tamaños de archivo de 3 KB a 300 MB). Los archivos deben manejarse de forma segura para que los usuarios solo puedan acceder a sus propios datos. ¿Qué opción proporciona el MAYOR nivel de seguridad?

La opción correcta es usar una política de IAM con ámbito para el prefijo de cada identidad de Cognito. Esto garantiza que cada usuario solo pueda acceder a los objetos dentro de su carpeta específica en S3, lo que proporciona el mayor nivel de seguridad al aplicar el principio de privilegio mínimo directamente en el control de acceso de S3. Las otras opciones son menos seguras o más complejas: S3 Event Notifications no controla el acceso, solo notifica sobre eventos. Almacenar metadatos en DynamoDB y filtrar la interfaz de usuario no impide que un usuario malintencionado intente acceder directamente a un archivo de otro usuario si las políticas de S3 no restringen el acceso. Usar API Gateway y Lambda añade una capa de validación, pero la seguridad final del acceso a S3 aún dependería de las políticas de IAM aplicadas por Lambda, lo que es menos directo que el control de acceso basado en prefijos de IAM.