Una empresa almacena una plantilla de AWS CloudFormation en un bucket de Amazon S3 que bloquea el acceso público. La empresa desea conceder acceso a CloudFormation a la plantilla basándose en solicitudes de usuarios específicos para crear un entorno de prueba, siguiendo las mejores prácticas de seguridad. ¿Qué solución cumple estos requisitos?

Una URL prefirmada de S3 es la solución más segura y práctica. Permite el acceso temporal y limitado a un objeto privado de S3 sin requerir credenciales de AWS, lo que es ideal para casos de uso específicos como la creación de entornos de prueba. La pila de CloudFormation puede usar esta URL para acceder a la plantilla. Un VPC endpoint de gateway para S3 es para el tráfico dentro de una VPC a S3, no para que CloudFormation acceda a una plantilla privada desde fuera de la VPC o desde la propia CloudFormation. Una API REST de Amazon API Gateway añadiría complejidad innecesaria y no es el método estándar para que CloudFormation acceda a plantillas. Permitir el acceso público al bucket de S3, incluso temporalmente, es una mala práctica de seguridad que expone el objeto a riesgos innecesarios.