Een applicatie op EC2 levert objecten die zijn opgeslagen in een S3-bucket aan gebruikers. Nadat S3 Block Public Access is ingeschakeld op de bucket, kunnen gebruikers geen objecten meer downloaden. De vereiste is dat alleen gebruikers die via de applicatie zijn geverifieerd, toegang hebben tot de objecten. Welke combinatie van stappen voldoet veilig aan deze vereiste? (Kies twee.)

De S3 Block Public Access-instelling voorkomt openbare toegang tot de S3-bucket, wat een goede beveiligingspraktijk is. Om de applicatie toegang te geven tot de objecten, moet de EC2-instantie een IAM-rol met de juiste S3-machtigingen (bijv. s3:GetObject) toegewezen krijgen. Dit is een veilige methode omdat er geen toegangsgegevens op de instantie worden opgeslagen. Vervolgens kan de applicatie, nadat een gebruiker is geverifieerd, tijdelijk toegang verlenen tot specifieke objecten door S3 presigned URL's te genereren. Deze URL's verlopen na een bepaalde tijd en zijn alleen geldig voor het object waarvoor ze zijn gemaakt, wat een veilige manier is om geauthenticeerde toegang te bieden. Het opslaan van IAM-gebruikerssleutels op de EC2-instantie is onveilig. Het teruggeven van een object-handle of het doorsturen van directe verzoeken naar S3 biedt geen geauthenticeerde toegang en omzeilt de beveiligingsmaatregelen.