Приложение на EC2 предоставляет пользователям объекты, хранящиеся в бакете S3. После включения S3 Block Public Access для бакета пользователи больше не могут загружать объекты. Требование состоит в том, чтобы только пользователи, аутентифицированные через приложение, могли получать доступ к объектам. Какая комбинация шагов безопасно удовлетворит это требование? (Выберите два.)

1. Создайте роль IAM и профиль экземпляра с соответствующей политикой и назначьте их экземплярам EC2. Это позволяет приложению на EC2 безопасно получать доступ к S3, не сохраняя учетные данные на экземпляре. Политика IAM должна предоставлять разрешения s3:GetObject для бакета. 2. Измените приложение, чтобы оно вызывало S3 GeneratePresignedUrl API и возвращало предварительно подписанные URL-адреса аутентифицированным пользователям. Это позволяет приложению генерировать временные URL-адреса для объектов S3, к которым аутентифицированные пользователи могут получить прямой доступ, не требуя публичного доступа к бакету. Неправильные варианты: Создайте пользователя IAM с соответствующей политикой и сохраните его ключи доступа на экземплярах EC2. Хранение ключей доступа на экземплярах EC2 небезопасно и не рекомендуется. Роли IAM предпочтительнее. Измените приложение, чтобы оно вызывало S3 GetObject и возвращало дескриптор объекта пользователю. Приложение должно возвращать сам объект или предварительно подписанный URL, а не дескриптор. Измените приложение, чтобы оно делегировало прямые запросы бакету S3. Это может привести к проблемам безопасности, если не реализовано надлежащим образом с аутентификацией и авторизацией.