Компания размещает веб-приложение из бакета Amazon S3. Приложение использует Amazon Cognito для аутентификации пользователей и возвращает JSON Web Token (JWT), который предоставляет доступ к защищенным ресурсам, хранящимся в другом бакете S3. После развертывания пользователи сообщают об ошибках и не могут получить доступ к защищенному контенту. Архитектор решений должен предоставить правильные разрешения, чтобы пользователи могли получить доступ к защищенному контенту. Какое решение соответствует этим требованиям?

Правильный ответ — обновить пул идентификации Amazon Cognito, чтобы он принимал соответствующую роль IAM для доступа к защищенному контенту. Amazon Cognito Identity Pools (федеративные удостоверения) позволяют пользователям получать временные учетные данные AWS для доступа к другим сервисам AWS, таким как S3. JWT, полученный после аутентификации в User Pool, может быть обменен на эти временные учетные данные через Identity Pool, который затем принимает роль IAM с необходимыми разрешениями для доступа к защищенному бакету S3. S3 ACLs (списки контроля доступа) не подходят, так как они управляют разрешениями на уровне объектов или бакетов для отдельных пользователей или групп AWS, а не для федеративных удостоверений Cognito. Переразвертывание приложения не решит проблему разрешений; в конечном итоге согласованные чтения S3 не влияют на авторизацию. Обновление пула пользователей Cognito с пользовательскими сопоставлениями атрибутов не предоставляет разрешений для доступа к ресурсам AWS; это относится к управлению атрибутами пользователей в пуле пользователей, а не к авторизации для других сервисов AWS.