FinchRide запускает мобильное приложение, которое должно позволять неаутентифицированным пользователям просматривать общедоступный контент в Amazon S3, а аутентифицированным пользователям — сохранять личные предпочтения в таблице DynamoDB непосредственно из клиента. Команда безопасности требует наименьших привилегий для каждого пользователя без передачи долгосрочных учетных данных в приложении. Какой подход должен рекомендовать Solutions Architect?

Этот вариант является наиболее безопасным и соответствующим принципу наименьших привилегий. Пул пользователей Cognito управляет регистрацией и аутентификацией, а пул идентификаторов Cognito предоставляет временные учетные данные AWS для аутентифицированных и неаутентифицированных пользователей, устраняя необходимость в долгосрочных учетных данных в приложении. Роли IAM с условиями политики (например, cognito-identity.amazonaws.com:sub) позволяют точно контролировать доступ к S3 и DynamoDB для каждого пользователя. Использование только пула пользователей Cognito и передача ID token в заголовке Authorization не является стандартным способом прямого доступа к S3 и DynamoDB и требует сложной настройки доверия JWT. Создание REST API Gateway с Lambda увеличивает сложность и затраты, а также не обеспечивает прямого доступа к сервисам из клиента. Вызов STS AssumeRoleWithWebIdentity напрямую из приложения возможен, но пул идентификаторов Cognito упрощает этот процесс, абстрагируя получение временных учетных данных и управление гостевым доступом.