Un'applicazione utilizza pool di utenti e pool di identità di Amazon Cognito e deve consentire agli utenti di caricare e scaricare i propri file su Amazon S3 (dimensioni dei file 3 KB–300 MB). I file devono essere gestiti in modo sicuro in modo che gli utenti possano accedere solo ai propri dati. Quale opzione fornisce il MASSIMO livello di sicurezza?

L'opzione corretta garantisce il massimo livello di sicurezza utilizzando policy IAM con ambito per prefisso. Associando una policy IAM a ciascuna identità Cognito che limiti l'accesso a un prefisso S3 specifico (ad esempio, s3://your-bucket/cognito-identity-id/), si implementa un controllo degli accessi granulare. Gli utenti possono accedere solo agli oggetti all'interno della propria "cartella" S3, impedendo l'accesso non autorizzato ai dati di altri utenti. Le opzioni errate non forniscono lo stesso livello di sicurezza intrinseca: Le notifiche di eventi S3 sono per la reazione agli eventi, non per la convalida dell'autorizzazione prima dell'azione. L'archiviazione di metadati in DynamoDB e il filtraggio nell'interfaccia utente non impediscono a un utente malintenzionato di tentare di accedere direttamente a un oggetto S3 di un altro utente se le policy S3 sottostanti lo consentono. L'uso di API Gateway e Lambda per la convalida aggiunge complessità e introduce un potenziale punto di errore, mentre le policy IAM native di S3 sono più efficienti e sicure per questo caso d'uso.