Une application s'exécute dans un sous-réseau privé et utilise déjà Amazon Cognito avec un groupe d'utilisateurs pour l'authentification. L'application doit stocker en toute sécurité des documents utilisateur dans un compartiment Amazon S3. Quelle combinaison d'étapes permettra d'intégrer Amazon S3 de manière sécurisée à l'application ? (Choisissez deux.)

Pour stocker des documents S3 en toute sécurité depuis une application dans un sous-réseau privé, deux étapes sont essentielles. Premièrement, la création d'un groupe d'identités Amazon Cognito est nécessaire. Cela permet à Cognito d'échanger les jetons d'authentification du groupe d'utilisateurs contre des informations d'identification AWS temporaires, qui incluent des autorisations S3, pour les utilisateurs authentifiés. Cela garantit que seuls les utilisateurs validés peuvent accéder à S3. Deuxièmement, un point de terminaison de VPC Amazon S3 est crucial. Il permet à l'application dans le sous-réseau privé de se connecter à S3 via le réseau AWS interne, sans passer par Internet. Cela améliore la sécurité et réduit les coûts de transfert de données. L'utilisation directe du groupe d'utilisateurs Cognito pour générer des jetons S3 est incorrecte car le groupe d'utilisateurs gère l'authentification, pas l'autorisation d'accès aux services AWS. Une passerelle NAT n'est pas la solution la plus sécurisée ou la plus efficace pour S3 depuis un sous-réseau privé, car elle dirigerait le trafic vers S3 via Internet. Attacher une politique S3 basée sur les adresses IP des utilisateurs est impraticable et non sécurisé, car les adresses IP des utilisateurs peuvent changer et ne sont pas fiables pour l'autorisation.