Firma hostuje aplikację internetową z zasobnika Amazon S3. Aplikacja używa Amazon Cognito do uwierzytelniania użytkowników i zwraca JSON Web Token (JWT), który przyznaje dostęp do chronionych zasobów przechowywanych w innym zasobniku S3. Po wdrożeniu użytkownicy zgłaszają błędy i nie mogą uzyskać dostępu do chronionej zawartości. Architekt rozwiązań musi zapewnić prawidłowe uprawnienia, aby użytkownicy mogli uzyskać dostęp do chronionej zawartości. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź to zaktualizowanie puli tożsamości Amazon Cognito, aby przyjęła odpowiednią rolę IAM. Amazon Cognito Identity Pools (pule tożsamości) umożliwiają użytkownikom aplikacji uzyskanie tymczasowych poświadczeń AWS w celu bezpośredniego dostępu do usług AWS, takich jak S3. Aby użytkownicy mogli uzyskać dostęp do chronionej zawartości w zasobniku S3 po uwierzytelnieniu przez Cognito User Pool (pula użytkowników) i otrzymaniu JWT, pula tożsamości musi być skonfigurowana z rolą IAM, która ma uprawnienia do odczytu z tego zasobnika S3. Aktualizacja listy kontroli dostępu (ACL) S3 nie jest zalecana, ponieważ ACL są przestarzałe i trudne do zarządzania na dużą skalę; polityki zasobników S3 lub role IAM są preferowane. Ponowne wdrożenie aplikacji w Amazon S3 w celu rozwiązania problemów ze spójnością ostateczną jest nieistotne, ponieważ problem dotyczy uprawnień dostępu, a nie spójności danych. Aktualizacja puli Amazon Cognito w celu używania niestandardowych mapowań atrybutów w puli tożsamości nie rozwiązuje problemu uprawnień dostępu do S3; mapowania atrybutów służą do przenoszenia informacji o użytkowniku, a nie do przyznawania uprawnień do zasobów AWS.