Een applicatie gebruikt Amazon Cognito user pools en identity pools en moet gebruikers in staat stellen hun eigen bestanden te uploaden naar en te downloaden van Amazon S3 (bestandsgroottes 3 KB–300 MB). Bestanden moeten veilig worden verwerkt, zodat gebruikers alleen toegang hebben tot hun eigen gegevens. Welke optie biedt het HOOGSTE beveiligingsniveau?

De juiste optie is het gebruik van een IAM policy die is afgestemd op het prefix van elke Cognito-identiteit. Dit biedt het hoogste beveiligingsniveau omdat het gebruikmaakt van AWS Identity and Access Management (IAM) om fijngranulaire toegangscontrole af te dwingen op S3-objecten. Door een IAM policy te configureren die verwijst naar de unieke Cognito-identiteit van elke gebruiker (via een prefix zoals cognito-identity.amazonaws.com:sub), kan S3 zelf direct afdwingen dat gebruikers alleen toegang hebben tot objecten binnen hun specifieke "thuismap" in de S3-bucket. Dit is een robuuste, server-side beveiligingsmaatregel die niet afhankelijk is van applicatielogica. De andere opties zijn minder veilig of minder efficiënt: S3 Event Notifications valideren geen toegangsrechten; ze reageren op gebeurtenissen. Metadata opslaan in DynamoDB en de UI filteren is een client-side beveiligingsmaatregel, die gemakkelijk te omzeilen is. De S3-toegang zelf blijft onbeveiligd. API Gateway met Lambda voegt extra complexiteit en kosten toe en verplaatst de beveiligingslogica naar de applicatielaag, wat meer kwetsbaar is dan directe IAM-afdwinging door S3.