事前署名付きURLの範囲を限定する

あるベンダーからメールで、reports バケット内の1つのファイル（本日分の請求書1件）を送ってほしいという依頼が届きました。このベンダーはAWSアカウントを持っておらず、認証情報を発行すると、1ファイルどころかはるかに広い範囲、しかも1日よりはるかに長い期間のアクセスを渡すことになってしまいます。

ここで代わりとなるのが事前署名付きURLです。これは1回だけ計算して渡すSigV4署名で、対象は1つのオブジェクト、1つの操作、そして有効期限に限定されます。以下のリンクは、ベンダーが依頼した内容にちょうど合わせて範囲が設定されています。クエリパラメータを読み、それぞれが何を固定しているかを確認してください。

このスコープ済みのリンクをベンダーに送信します。

このリンクでベンダーができることを正しく説明しているのはどれですか？