Een bedrijf slaat een AWS CloudFormation-template op in een Amazon S3-bucket die openbare toegang blokkeert. Het bedrijf wil CloudFormation toegang geven tot de template op basis van specifieke gebruikersverzoeken om een testomgeving te creëren, volgens de best practices op het gebied van beveiliging. Welke oplossing voldoet aan deze vereisten?

Een presigned URL is de meest geschikte oplossing. Deze URL geeft tijdelijk toegang tot een specifiek S3-object, zelfs als de bucket openbare toegang blokkeert. Dit voldoet aan de beveiligingsvereiste om geen openbare toegang toe te staan en biedt toch de benodigde toegang voor CloudFormation. De URL kan worden geconfigureerd om na een bepaalde tijd te verlopen, wat de veiligheid verder verhoogt. Een gateway VPC endpoint voor S3 is bedoeld om verkeer van binnen een VPC naar S3 te routeren zonder via het internet te gaan, maar lost het probleem van geblokkeerde openbare toegang voor CloudFormation niet op. Een API Gateway REST API als doel voor de S3-bucket is te complex en niet de standaardmethode voor CloudFormation om templates op te halen. Openbare toegang tot het template-object toestaan, zelfs tijdelijk, is in strijd met de best practices voor beveiliging en de eis om openbare toegang te blokkeren.