Приложение использует пулы пользователей Amazon Cognito и пулы идентификации и должно позволять пользователям загружать и скачивать свои собственные файлы в Amazon S3 (размер файлов от 3 КБ до 300 МБ). Файлы должны обрабатываться безопасно, чтобы пользователи могли получать доступ только к своим данным. Какой вариант обеспечивает НАИВЫСШИЙ уровень безопасности?

Правильный ответ — использование политики IAM, ограниченной префиксом каждого идентификатора Cognito. Это обеспечивает наивысший уровень безопасности, так как позволяет пользователям получать доступ только к объектам в их собственной папке S3, используя их уникальный идентификатор Cognito. Такой подход реализует принцип наименьших привилегий непосредственно на уровне S3, предотвращая несанкционированный доступ к данным других пользователей. Остальные варианты менее безопасны: Использование S3 Event Notifications для проверки запросов не обеспечивает контроль доступа на уровне S3 до выполнения операции. Хранение метаданных в DynamoDB и фильтрация в пользовательском интерфейсе является клиентской проверкой, которую можно обойти. Размещение API Gateway перед функцией Lambda для обработки запросов добавляет уровень абстракции, но без правильной политики IAM на S3, функция Lambda все равно может получить избыточные привилегии, а проверка в Lambda происходит после получения запроса, а не на уровне авторизации S3.