Aplikacja działa w prywatnej podsieci i używa już Amazon Cognito z pulą użytkowników do uwierzytelniania. Aplikacja musi bezpiecznie przechowywać dokumenty użytkowników w zasobniku Amazon S3. Która kombinacja kroków bezpiecznie zintegruje Amazon S3 z aplikacją? (Wybierz dwie.)

Aby bezpiecznie zintegrować S3 z aplikacją działającą w prywatnej podsieci, potrzebne są dwa główne elementy. Po pierwsze, utwórz pulę tożsamości Amazon Cognito, aby generować bezpieczne tokeny dostępu do Amazon S3 dla użytkowników po ich pomyślnym zalogowaniu. Pule tożsamości Cognito umożliwiają aplikacjom uzyskanie tymczasowych, ograniczonych uprawnień do zasobów AWS (takich jak S3) dla uwierzytelnionych użytkowników, co jest najlepszą praktyką bezpieczeństwa. Po drugie, utwórz VPC endpoint Amazon S3 w tej samej VPC, w której firma hostuje aplikację. VPC endpoint dla S3 (typu Gateway) umożliwia prywatny dostęp do S3 z instancji w VPC bez przechodzenia przez Internet, co zwiększa bezpieczeństwo i zmniejsza opóźnienia. Użycie istniejącej puli użytkowników Cognito bezpośrednio do generowania tokenów dostępu do S3 jest nieprawidłowe, ponieważ pule użytkowników służą do uwierzytelniania, a pule tożsamości do autoryzacji zasobów AWS. Brama NAT nie jest wymagana do dostępu do S3, gdy używany jest VPC endpoint, a przypisywanie polityki S3 odrzucającej żądania niezainicjowane z Cognito jest zbyt restrykcyjne i niepraktyczne. Polityka S3 zezwalająca na dostęp tylko z adresów IP użytkowników jest niepraktyczna i niebezpieczna, ponieważ adresy IP użytkowników mogą się zmieniać, a aplikacja nie powinna polegać na nich do autoryzacji dostępu do S3.