プライベートサブネットで実行されているアプリケーションが、認証にAmazon Cognitoのユーザープールをすでに使用しています。このアプリケーションは、ユーザーのドキュメントをAmazon S3バケットに安全に保存する必要があります。Amazon S3とアプリケーションを安全に統合するためのステップの組み合わせはどれですか？（2つ選択してください。）

Amazon Cognito IDプール（フェデレーテッドアイデンティティ）は、ユーザーが認証後に一時的なAWS認証情報（S3へのアクセス権限を含む）を取得することを可能にし、アプリケーションがS3に安全にアクセスできるようにします。既存のユーザープールだけではS3アクセストークンは生成されません。S3 VPCエンドポイントを作成することで、プライベートサブネット内のアプリケーションはインターネットゲートウェイを経由せずにS3にプライベートかつセキュアにアクセスできます。NATゲートウェイはプライベートサブネットからのインターネットアクセスを許可しますが、S3へのプライベート接続は提供しません。S3バケットポリシーで特定のIPアドレスからのアクセスを許可する方法は、ユーザーのIPアドレスが変動する可能性があるため、現実的ではありません。