Een bedrijf slaat premium content op in een S3-bucket en wil dat alleen betalende abonnees van zijn website die bestanden kunnen downloaden. De bucket en objecten zijn momenteel privé. Hoe kan het bedrijf de downloadtoegang voor een bepaald premium bestand beperken tot alleen betalende abonnees?

De juiste optie is het genereren van een pre-signed URL. Een pre-signed URL geeft tijdelijke toegang tot een privé S3-object, zonder dat de gebruiker AWS-credentials nodig heeft. De applicatie van het bedrijf kan deze URL genereren wanneer een betalende abonnee probeert een premium bestand te downloaden, waardoor alleen geautoriseerde gebruikers toegang krijgen. Het toevoegen van een bucket policy die anonieme gebruikers toestaat objecten te downloaden, zou de content openbaar maken, wat in strijd is met de eis om de toegang te beperken tot betalende abonnees. Een bucket policy die multi-factor authenticatie (MFA) vereist, is bedoeld voor het beveiligen van AWS-accounttoegang en niet voor het beperken van toegang tot individuele gebruikers van een website. Het inschakelen van server-side encryptie beveiligt de data in rust, maar regelt niet wie toegang heeft tot de data; dit is geen mechanisme voor toegangscontrole.