Définir la portée d'une URL pré-signée

Un fournisseur vous a envoyé un courriel pour demander un fichier du compartiment reports : une seule facture, aujourd'hui. Le fournisseur n'a pas de compte AWS, et émettre des identifiants lui donnerait bien plus que l'accès à un fichier, et pour bien plus longtemps qu'une journée.

Une URL pré-signée est l'alternative : une signature SigV4 que vous calculez une fois et que vous transmettez, qui encadre un objet, une action et une durée. Le lien ci-dessous a été limité exactement à ce que le fournisseur a demandé. Lisez ses paramètres de requête et ce que chacun verrouille.

Vous envoyez le lien à portée restreinte au fournisseur.

Quelle affirmation décrit ce qu'il peut faire avec ce lien ?