Je bouwt een mobiele app waarvoor gebruikers niet hoeven in te loggen. Wat is de meest efficiënte manier om deze anonieme app-gebruikers beperkte toegang te verlenen tot AWS-resources?

De meest efficiënte manier is het gebruik van Amazon Cognito om niet-geauthenticeerde (gast)gebruikers te koppelen aan een IAM role met beperkte permissies. Cognito Identity Pools (Federated Identities) ondersteunen gasttoegang, waarbij tijdelijke AWS-credentials worden verstrekt aan gebruikers die niet zijn ingelogd. Deze credentials zijn gekoppeld aan een IAM role met specifieke, beperkte permissies. De andere opties zijn minder efficiënt of onveilig: Een externe identiteitsprovider is bedoeld voor geauthenticeerde gebruikers, niet voor anonieme toegang. Een Lambda-functie die voor elke gebruiker een IAM user aanmaakt, is onnodig complex en schaalt niet goed, bovendien is het beheer van duizenden IAM users onpraktisch en duur. Credentials genereren met AWS KMS en distribueren is geen standaardmechanisme voor gebruikersauthenticatie en -autorisatie, en brengt beveiligingsrisico's met zich mee.