某個應用程式在私有子網路中執行，並且已經使用 Amazon Cognito 搭配使用者端集區 (user pool) 進行身份驗證。該應用程式需要將使用者文件安全地儲存在 Amazon S3 儲存貯體中。下列哪些步驟組合可以安全地將 Amazon S3 與應用程式整合？ (請選擇兩項)

建立 Amazon Cognito 身份集區 (identity pool) 是正確的，因為它能為已通過使用者端集區驗證的使用者提供臨時的 AWS 憑證，這些憑證可用於安全地存取 S3 儲存貯體。這符合最小權限原則。在公司託管應用程式的相同 VPC 中建立 Amazon S3 VPC 端點也是正確的，因為它允許私有子網路中的應用程式透過 AWS 內部網路安全地存取 S3，而無需經過網際網路，提高了安全性和效能。 使用現有的 Amazon Cognito 使用者端集區無法直接產生 S3 存取權杖，它主要用於使用者身份驗證。建立 NAT gateway 並限制 S3 政策不夠安全，因為 NAT gateway 仍需透過網際網路，且基於 IP 位址的限制不靈活。將政策附加到 S3 儲存貯體僅允許來自使用者 IP 位址的存取不切實際，因為使用者 IP 位址可能變動，且無法提供基於身份的精細存取控制。