애플리케이션이 프라이빗 서브넷에서 실행되며 사용자 인증을 위해 Amazon Cognito 사용자 풀을 이미 사용하고 있습니다. 이 애플리케이션은 사용자 문서를 Amazon S3 버킷에 안전하게 저장해야 합니다. Amazon S3를 애플리케이션과 안전하게 통합하기 위한 단계 조합은 무엇입니까? (두 가지 선택)

정답은 Amazon Cognito 자격 증명 풀을 생성하고 S3 VPC 엔드포인트를 생성하는 것입니다. Amazon Cognito 자격 증명 풀(Federated Identities)은 사용자 풀에서 인증된 사용자에게 임시 AWS 자격 증명(S3 액세스 토큰 포함)을 부여하여 S3 버킷에 안전하게 접근하도록 합니다. 이는 애플리케이션이 S3에 직접 자격 증명을 저장할 필요 없이 안전한 접근을 가능하게 합니다. S3 VPC 엔드포인트(게이트웨이 유형)를 생성하면 프라이빗 서브넷의 애플리케이션이 인터넷 게이트웨이를 통하지 않고도 S3에 직접적이고 안전하게 접근할 수 있습니다. 기존 사용자 풀을 직접 사용하여 S3 액세스 토큰을 생성하는 것은 불가능합니다. 사용자 풀은 인증을 담당하며, 자격 증명 풀이 AWS 서비스 접근 권한을 부여합니다. NAT 게이트웨이는 인터넷 접근을 허용하지만, S3 접근을 위한 가장 안전하거나 비용 효율적인 방법은 아니며, S3 버킷 정책으로 Cognito에서 시작되지 않은 모든 요청을 거부하는 것은 복잡하고 비효율적입니다. 사용자의 IP 주소만을 허용하는 정책은 사용자의 IP가 변경될 수 있고, 애플리케이션 서버의 IP가 아닌 최종 사용자의 IP를 기반으로 하므로 실용적이지 않습니다.