Définir le périmètre d'une URL pré-signée

Un fournisseur vous a envoyé un e-mail pour demander un fichier du bucket des rapports : une seule facture, aujourd'hui. Le fournisseur n'a pas de compte AWS, et émettre des identifiants lui donnerait bien plus qu'un seul fichier, et pour bien plus longtemps qu'une journée.

Une URL pré-signée est l'alternative : une signature SigV4 que vous calculez une fois et que vous transmettez, portant un objet, une action et une horloge. Le lien ci-dessous a été borné exactement à ce que le fournisseur a demandé. Lisez ses paramètres de requête et ce que chacun verrouille.

Vous envoyez le lien borné au fournisseur.

Quelle affirmation décrit ce qu'il peut faire avec ce lien ?