Une application sur EC2 sert des objets stockés dans un compartiment S3 aux utilisateurs. Après avoir activé S3 Block Public Access sur le compartiment, les utilisateurs ne peuvent plus télécharger les objets. L'exigence est que seuls les utilisateurs authentifiés via l'application puissent accéder aux objets. Quelle combinaison d'étapes répondra de manière sécurisée à cette exigence ? (Choisissez-en deux.)

La création d'un rôle IAM et d'un profil d'instance avec une politique appropriée, attribué aux instances EC2, permet à l'application de s'authentifier auprès d'AWS de manière sécurisée sans stocker de clés d'accès sur l'instance. Cela suit le principe du moindre privilège. La modification de l'application pour appeler l'API S3 GeneratePresignedUrl et renvoyer des URL pré-signées aux utilisateurs authentifiés permet à l'application de contrôler l'accès aux objets S3. Les URL pré-signées accordent un accès temporaire et limité aux objets, garantissant que seuls les utilisateurs authentifiés peuvent les télécharger. Stocker les clés d'accès d'un utilisateur IAM sur les instances EC2 est une mauvaise pratique de sécurité. Modifier l'application pour qu'elle appelle S3 GetObject et renvoie le handle de l'objet à l'utilisateur ne résout pas le problème d'accès, car le handle seul ne permet pas le téléchargement direct après l'activation de S3 Block Public Access. Déléguer les requêtes directes au compartiment S3 contourne la logique d'authentification de l'application et expose potentiellement le compartiment.