Un'azienda gestisce un'applicazione di gioco online personalizzata e utilizza Amazon Cognito per l'autenticazione e l'autorizzazione. L'ingegnere della sicurezza deve implementare un'autorizzazione granulare nell'applicazione basata sugli attributi utente Cognito esistenti. L'azienda dispone già di un pool di utenti Cognito e di un pool di identità. Quale approccio soddisfa questi requisiti?

L'approccio corretto è creare un archivio di policy in Amazon Verified Permissions e configurare Cognito come origine dell'identità. Amazon Verified Permissions è un servizio di autorizzazione scalabile e granulare che consente di definire policy basate sugli attributi. Mappando i token di accesso di Cognito allo schema di Verified Permissions, è possibile utilizzare gli attributi utente esistenti di Cognito per prendere decisioni di autorizzazione granulari all'interno dell'applicazione. Le altre opzioni sono meno adatte: Creare ruoli e policy IAM: Sebbene IAM possa essere utilizzato per l'autorizzazione, la gestione di un'autorizzazione granulare basata sugli attributi utente di Cognito direttamente tramite IAM può diventare complessa e meno flessibile rispetto a Verified Permissions. Creare autorizzazioni gestite dal cliente con AWS RAM: AWS RAM è utilizzato per la condivisione di risorse AWS tra account o all'interno di un'organizzazione, non per l'autorizzazione granulare basata sugli attributi utente di un'applicazione. Creare utenti e policy IAM: Questa opzione non è appropriata in quanto Cognito gestisce già gli utenti e l'obiettivo è l'autorizzazione granulare basata sugli attributi di Cognito, non la creazione di utenti IAM duplicati.