Веб-приложение обслуживает защищенные документы, хранящиеся в приватном бакете S3, и должно позволять только аутентифицированным пользователям скачивать определенный документ в течение 15 минут после запроса. Какой подход соответствует этим требованиям?

Генерация предварительно подписанного URL-адреса S3 с помощью AWS SDK, срок действия которого истекает через 15 минут, является наиболее подходящим решением. Предварительно подписанные URL-адреса предоставляют временный доступ к объекту S3 без необходимости изменения политики бакета или копирования данных. Срок действия URL-адреса можно точно установить, что соответствует требованию 15-минутного окна. Копирование документов в отдельный бакет S3 увеличивает сложность и затраты, а также неэффективно для временного доступа. Использование серверного шифрования с AWS KMS (SSE-KMS) и разрешение загрузки по HTTPS обеспечивает безопасность данных при передаче и хранении, но не контролирует временный доступ к файлам. Временное обновление политики бакета S3 является сложным и рискованным подходом, так как требует постоянного управления политиками и может привести к несанкционированному доступу, если политика не будет отозвана вовремя.