Una empresa organiza sus cuentas de AWS en unidades organizativas (OU) dentro de AWS Organizations. Las API implementadas en una cuenta están vinculadas a la VPC de esa cuenta y actualmente no tienen autenticación. Solo se debe permitir que los principales de una OU específica llamen a las API. La empresa aplicó una política al endpoint de VPC de interfaz de API Gateway y actualizó las políticas de recursos de API Gateway para bloquear las llamadas que no provienen del endpoint de interfaz. Después de esto, invocar una API a través de la URL del endpoint de interfaz falla con el error: "User: anonymous is not authorized." ¿Qué combinación de acciones resuelve este problema? (Elija dos).

La autenticación basada en IAM (Identity and Access Management) permite usar roles y políticas de IAM para controlar quién puede invocar la API. Al configurar AWS IAM como autorizador en cada método de API, se pueden definir permisos detallados para los principales de la OU específica. La firma de solicitudes con Signature Version 4 es el mecanismo estándar de AWS para autenticar solicitudes a servicios de AWS, incluyendo API Gateway, cuando se utiliza IAM como autorizador. Esto asegura que solo las solicitudes firmadas con credenciales válidas de los principales autorizados puedan acceder a la API. Las opciones de autorizadores de Lambda o Cognito no son adecuadas porque la empresa ya ha implementado una política en el endpoint de VPC de interfaz y en las políticas de recursos de API Gateway para restringir el acceso, y el problema es la falta de autenticación de las solicitudes que llegan a través de ese endpoint. El error "User: anonymous is not authorized" indica que las solicitudes no están siendo autenticadas en absoluto, no que la lógica de autorización sea incorrecta.