Va bene passare le credenziali al client per consentirgli di caricare file su Amazon S3?

Non sono sicuro che ci sia una pratica consigliata, ma penso che abbia invece a che fare con i requisiti dell'applicazione e bilanciare i pro e i contro.

Potrebbe essere un carico basso del server? Ok, possiamo usare il server per lavorare con S3, è ovviamente il metodo preferito (e mantiene anche l'interazione sulla stessa API del resto del servizio app).

Potrebbe essere un carico troppo pesante per il server? Ok, le alternative sono per ridimensionare le risorse del server o per vedere se il rischio che l'app funzioni direttamente con S3 sia accettabile.

Le informazioni sono sensibili? Possiamo ragionevolmente assicurarlo se l'app dovesse comunicare direttamente con S3? Se non è altamente sensibile e può essere ragionevolmente protetto e il rischio è inferiore al costo di scalare il server per gestire i carichi, allora questa potrebbe essere la tua scelta.

Le informazioni sono altamente sensibili e accadono cose terribili se la chiave S3 viene estratta da SSL o dal dispositivo? In tal caso, potrebbe valere la pena spendere i soldi per ridimensionare l'architettura del server.

Non penso che ci sia un solo modo consigliato ... naturalmente è più sicuro gestire S3 dal tuo server (e lo chiedi in un forum di sicurezza, quindi presumo che sia il tuo obiettivo principale), ma tutto in tutto diventa un equilibrio guidato dai requisiti dell'applicazione.

Un buon modo per implementarlo è generare credenziali temporanee che possono essere caricate solo su una parte specifica del bucket (quella a cui l'utente ha accesso).

Anche nel caso in cui tali credenziali vengano rubate dalla memoria (suppongo che si usi https per ogni comunicazione, quindi non possono essere rubate durante la trasmissione), un utente finale può solo usarle per quello che erano intese: caricare i file.

Un esempio di questo è presentato qui

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"s3:PutObject",
         "Resource":"arn:aws:s3:::my_corporate_bucket/uploads/widgetco/*"
      },
      {
         "Effect":"Deny",
         "NotAction":"s3:PutObject",
         "Resource":"arn:aws:s3:::my_corporate_bucket/uploads/widgetco/*"
      },
      {
         "Effect":"Deny",
         "Action":"s3:*",
         "NotResource":"arn:aws:s3:::my_corporate_bucket/uploads/widgetco/*"
      }
   ]
}

Suggerisco di controllare periodicamente tutti i file nel tuo bucket verificando le estensioni / le firme dei file consentiti (fai attenzione, potrebbe richiedere molto tempo). Puoi anche riscrivere di più la tua politica, in base alle estensioni di file (fonte qui )

{
  "Id": "Policy1464968545158",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1464968483619",
      "Action": [
        "s3:PutObject"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::<yourbucket>/*.jpg",
      "Principal": "*"
    },
    {
      "Sid": "Stmt1464968543787",
      "Action": [
        "s3:PutObject"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::<yourbucket>/*.png",
      "Principal": "*"
    }
  ]
}