FinchRide lanceert een mobiele app die niet-geauthenticeerde gebruikers toegang moet geven tot openbare content in Amazon S3 en geauthenticeerde gebruikers in staat moet stellen persoonlijke voorkeuren op te slaan in een DynamoDB-tabel, rechtstreeks vanuit de client. Het beveiligingsteam vereist least privilege per gebruiker zonder long-lived credentials in de app mee te leveren. Welke aanpak moet de Solutions Architect aanbevelen?

De correcte aanpak is het gebruik van zowel een Amazon Cognito user pool als een identity pool. Een user pool beheert de aanmelding en authenticatie van gebruikers. Een identity pool wisselt de identiteit van geauthenticeerde gebruikers (en optioneel gasten) in voor tijdelijke AWS-credentials, waardoor de mobiele app direct toegang krijgt tot S3 en DynamoDB zonder long-lived credentials in de app op te slaan. IAM-rollen met least privilege en policy conditions zorgen voor fijnmazige controle per gebruiker. De andere opties zijn minder geschikt: Alleen een Cognito user pool gebruiken en de JWT direct doorgeven aan S3/DynamoDB werkt niet, omdat deze services geen JWT's direct valideren voor autorisatie. Een API Gateway met Lambda-backend is een geldige optie voor complexere logica, maar introduceert onnodige complexiteit en kosten voor directe toegang tot S3/DynamoDB, en API keys zijn geen geschikte methode voor gebruikersauthenticatie en autorisatie. STS AssumeRoleWithWebIdentity direct aanroepen is mogelijk, maar Cognito identity pools vereenvoudigen dit proces en bieden een geïntegreerde oplossing voor zowel geauthenticeerde als niet-geauthenticeerde toegang.