Un'applicazione su EC2 serve oggetti archiviati in un bucket S3 agli utenti. Dopo aver abilitato S3 Block Public Access sul bucket, gli utenti non possono più scaricare gli oggetti. Il requisito è che solo gli utenti autenticati tramite l'applicazione possano accedere agli oggetti. Quale combinazione di passaggi soddisferà in modo sicuro questo requisito? (Scegliere due.)

La combinazione corretta prevede la creazione di un ruolo IAM per le istanze EC2 e l'utilizzo di URL pre-firmati. Il ruolo IAM con una policy appropriata consente all'applicazione in esecuzione su EC2 di accedere in modo sicuro al bucket S3 senza memorizzare credenziali direttamente sulle istanze. L'API GeneratePresignedUrl di S3 permette all'applicazione di generare URL temporanei e autenticati per gli oggetti S3. Questi URL possono essere forniti agli utenti autenticati, consentendo loro di scaricare gli oggetti direttamente da S3 per un periodo limitato, senza esporre il bucket pubblicamente. Archiviare chiavi di accesso IAM direttamente sulle istanze EC2 è una pratica sconsigliata per motivi di sicurezza. Restituire l'handle dell'oggetto o delegare richieste dirette non fornisce un meccanismo di autenticazione o autorizzazione sicuro per l'accesso agli oggetti S3 dopo aver abilitato S3 Block Public Access.