Een applicatie draait in een privé-subnet en gebruikt al Amazon Cognito met een user pool voor authenticatie. De applicatie moet gebruikersdocumenten veilig opslaan in een Amazon S3-bucket. Welke combinatie van stappen integreert Amazon S3 veilig met de applicatie? (Kies twee.)

Een Amazon Cognito identity pool (federated identities) is noodzakelijk om tijdelijke, beperkte AWS-referenties te verstrekken aan gebruikers die zijn geauthenticeerd via een Cognito user pool. Deze referenties kunnen vervolgens worden gebruikt om veilig toegang te krijgen tot S3-buckets, waarbij de toegang wordt beheerd via IAM-rollen. Een S3 VPC endpoint (Gateway type) is essentieel omdat de applicatie zich in een privé-subnet bevindt en directe, veilige toegang tot S3 nodig heeft zonder via het internet te routeren. De bestaande Cognito user pool kan geen S3-toegangstokens genereren; daarvoor is een identity pool nodig. Een NAT gateway is niet direct nodig voor toegang tot S3, aangezien een VPC endpoint een efficiëntere en veiligere route biedt. Het toewijzen van een policy aan de S3-bucket om aanvragen te weigeren die niet zijn geïnitieerd vanuit Amazon Cognito is onjuist; de toegang wordt beheerd via de referenties die door de identity pool worden verstrekt. Het koppelen van een policy aan de S3-bucket die alleen toegang toestaat vanaf de IP-adressen van de gebruikers is onpraktisch en onveilig, aangezien gebruikers vaak dynamische IP-adressen hebben.