Un'azienda ospita un'applicazione web da un bucket Amazon S3. L'applicazione utilizza Amazon Cognito per autenticare gli utenti e restituisce un JSON Web Token (JWT) che garantisce l'accesso a risorse protette archiviate in un altro bucket S3. Dopo il deployment, gli utenti segnalano errori e non riescono ad accedere al contenuto protetto. Un architetto di soluzioni deve fornire le autorizzazioni corrette affinché gli utenti possano accedere al contenuto protetto. Quale soluzione soddisfa questi requisiti?

La soluzione corretta è aggiornare il pool di identità di Amazon Cognito per assumere il ruolo IAM appropriato. Amazon Cognito Identity Pools (Federated Identities) consente agli utenti di ottenere credenziali AWS temporanee per accedere ai servizi AWS. Associando un ruolo IAM al pool di identità, gli utenti autenticati tramite Cognito User Pools (che restituisce il JWT) possono assumere questo ruolo e accedere al bucket S3 protetto. Le altre opzioni non sono corrette perché: Aggiornare l'ACL di S3 per l'applicazione non è il metodo più sicuro o granulare per gestire l'accesso degli utenti autenticati. Il redeployment per la consistenza finale non risolve un problema di autorizzazione. La consistenza finale riguarda la tempistica di propagazione delle modifiche, non l'accesso negato. Le mappature di attributi personalizzate in Cognito User Pools sono per la gestione dei dati utente, non per concedere direttamente autorizzazioni di accesso ai servizi AWS.