Definir o escopo de uma URL pré-assinada

Um fornecedor enviou um e-mail pedindo um arquivo do bucket de relatórios: uma única fatura, hoje. O fornecedor não tem conta na AWS, e emitir credenciais entregaria muito mais do que um arquivo, por muito mais do que um dia.

Uma URL pré-assinada é a alternativa: uma assinatura SigV4 que você calcula uma vez e repassa, cobrindo um objeto, uma ação e um relógio. O link abaixo foi limitado exatamente ao que o fornecedor pediu. Leia seus parâmetros de consulta e o que cada um fixa.

Você envia o link com escopo definido para o fornecedor.

Qual afirmação descreve o que ele pode fazer com esse link?