Bir uygulama Amazon Cognito kullanıcı havuzlarını (user pools) ve kimlik havuzlarını (identity pools) kullanır ve kullanıcıların kendi dosyalarını Amazon S3'e yüklemesine ve indirmesine izin vermelidir (dosya boyutları 3 KB–300 MB). Dosyalar güvenli bir şekilde işlenmeli, böylece kullanıcılar yalnızca kendi verilerine erişebilir. Hangi seçenek EN YÜKSEK güvenlik seviyesini sağlar?

Doğru cevap, kullanıcıların yalnızca kendi S3 klasörlerindeki nesnelere erişebilmesi için her Cognito kimliğinin önekine göre kapsamlandırılmış bir IAM policy kullanmaktır. Bu yaklaşım, Amazon S3'teki nesneler üzerinde ayrıntılı erişim kontrolü sağlayarak en yüksek güvenlik seviyesini sunar. IAM politikaları, kullanıcıların yalnızca kendi verilerine erişmesini sağlayan "Deny by default" (varsayılan olarak reddet) ilkesiyle çalışır ve bu da yetkisiz erişim riskini önemli ölçüde azaltır. Diğer seçenekler neden daha az idealdir: S3 Event Notifications, doğrulama veya yetkilendirme mekanizması sağlamaz; yalnızca olayları bildirir. DynamoDB'de meta veri depolamak ve UI'da filtreleme yapmak, istemci tarafı bir güvenlik önlemidir ve kötü niyetli kullanıcılar tarafından kolayca atlatılabilir. Sunucu tarafında zorunlu bir yetkilendirme sağlamaz. API Gateway ve Lambda fonksiyonu kullanmak, ek bir mimari katman oluşturur ve doğrudan S3'ün kendi güçlü yetkilendirme mekanizmalarını kullanmak yerine ek geliştirme ve bakım maliyeti getirir. IAM politikaları S3 ile doğal olarak entegredir ve daha verimli bir çözümdür.