Q3 — AWS DVA-C02 第2章

第 3/100 题 | ← 返回第2章

伊家交司在其本地系供中有客户ID卡的副本。该交司希庭本地系供自察将身份证图怪直餐白围到Amazon S 3存储桶。 满梦散要求的最安哥远因是什么？

• A. 使用AWS SDK 将图像直接从本地系统上传到S3存储桶。创建IAM用户。将用户附加到包含s3:Putobject 权限的策略。配置本地系统以使用生成的访问密钥和机密来验证对AWS的访问。
• B. 使用AWS SDK 将图像直接从本地系统上传到S3存储桶。创建IAM角色。将角色附加到包含s3:Putobject 权限的策略。配置本地系统以使用AWS开发工具包中的Assumerole 功能来验证对 AWS的访问。 ✓
• C. 使用S3预签名URL将图像直接从本地系统上传到S3存储桶。使用AWS Lambda 函数和私有REST API 端点生成预签名URL。在本地网络和VPC之间创建AWS Site -to-Site VPN 连接，以允许本地系统调用API以接收预签名的URL。
• D. 使用S3预签名URL将图像直接从本地系统上传到S3存储桶。使用AWS Lambda 函数和公共REST API 端点生成预签名URL。通过添加Amazon Cognito 授权方来保护API。为本地系统创建用户以用于身份验证以调用API以接收预签名的URL。

正确答案: B. 使用AWS SDK 将图像直接从本地系统上传到S3存储桶。创建IAM角色。将角色附加到包含s3:Putobject 权限的策略。配置本地系统以使用AWS开发工具包中的Assumerole 功能来验证对 AWS的访问。

解析

这种方案是最安全的，因为它允许本地系统直接将身份证图像上传到S3存储桶，同时确保对AWS资源的访问是安全和可审计的。通过使用IAM角色，本地系统不需要存储AWS访问密钥或机密。相反，本地系统可以使用AWS开发工具包中的Assumerole 功能从AWS请求临时凭证。IAM角色可以配置一个策略，只允许访问特定的S3存储桶和上传身份证图像所需的权限。选项A不如选项B安全，因为它涉及创建具有长期访问密钥的IAM用户，该密钥需要存储在本地系统上。选项C的安全性较低，因为它需要在本地网络和VPC之间创建AWS站点到站点VPN连接，这会带来额外的网络复杂性和潜在的安全漏洞。选项D的安全性较低，因为它涉及使用公共REST API 端点，互联网上的任何人都可以访问该端点，并且需要在Amazon Cognito 中创建一个用户供本地系统进行身份验证，这增加了额外的复杂性。