Une application utilise les groupes d'utilisateurs et les groupes d'identités Amazon Cognito et doit permettre aux utilisateurs de télécharger leurs propres fichiers vers et depuis Amazon S3 (tailles de fichier de 3 Ko à 300 Mo). Les fichiers doivent être gérés de manière sécurisée afin que les utilisateurs ne puissent accéder qu'à leurs propres données. Quelle option offre le NIVEAU de sécurité LE PLUS ÉLEVÉ ?

L'option correcte est d'utiliser une politique IAM limitée au préfixe de chaque identité Cognito. Cette approche garantit le niveau de sécurité le plus élevé car elle applique un contrôle d'accès au niveau du service S3 lui-même. En configurant des politiques IAM basées sur le préfixe (dossier) de l'utilisateur dans S3, chaque utilisateur ne peut accéder qu'aux objets situés dans son propre dossier désigné. Cela empêche l'accès non autorisé à des données d'autres utilisateurs, même si l'application est compromise. Les autres options sont moins sécurisées : Les notifications d'événements S3 sont asynchrones et ne valident pas les requêtes avant l'opération, ce qui pourrait permettre des téléchargements ou téléversements non autorisés avant la validation. Stocker les métadonnées dans DynamoDB et filtrer l'interface utilisateur ne sécurise pas l'accès direct à S3. Un utilisateur malveillant pourrait contourner l'interface utilisateur et accéder directement aux objets S3 s'il n'y a pas de politique d'accès S3 sous-jacente. Utiliser API Gateway et Lambda pour valider chaque requête est une approche plus sécurisée que les deux précédentes, mais elle ajoute de la complexité et repose sur la logique applicative pour l'autorisation. La politique IAM basée sur le préfixe est une solution native et plus robuste pour le contrôle d'accès direct à S3.