Una empresa aloja una aplicación web desde un bucket de Amazon S3. La aplicación utiliza Amazon Cognito para autenticar a los usuarios y devuelve un JSON Web Token (JWT) que otorga acceso a recursos protegidos almacenados en otro bucket de S3. Después de la implementación, los usuarios informan de errores y no pueden acceder al contenido protegido. Un arquitecto de soluciones debe proporcionar los permisos correctos para que los usuarios puedan acceder al contenido protegido. ¿Qué solución cumple estos requisitos?

La solución correcta es actualizar el grupo de identidades de Amazon Cognito para asumir el rol de IAM adecuado. Amazon Cognito Identity Pools (grupos de identidades) permiten a los usuarios autenticados obtener credenciales temporales de AWS para acceder a servicios de AWS, como S3. Al configurar el rol de IAM asociado con el grupo de identidades, se otorgan los permisos necesarios para que los usuarios accedan al bucket S3 protegido. Las ACL de S3 (Listas de Control de Acceso) son un mecanismo de control de acceso heredado y no son la forma recomendada para gestionar permisos de acceso a usuarios autenticados a través de Cognito. La consistencia eventual de S3 no es la causa del problema de acceso a recursos protegidos; el problema es de permisos. Las asignaciones de atributos personalizadas en Cognito se utilizan para mapear atributos de usuario a claims en el JWT, no para otorgar directamente permisos de acceso a recursos de AWS.