ある企業が、Amazon Cognito ユーザープールを使ったモバイルアプリを運用している。ユーザーがサインインした後、アプリから直接 S3 バケットにファイルをアップロードできるようにしたい。各ユーザーは自分のプレフィックス（/private/<ユーザーID>/）以下のみに書き込みでき、他のユーザーのデータにはアクセスできないようにしたい。最も適切なアーキテクチャはどれか。

1. A. Amazon Cognito Identity Pool（フェデレーテッドアイデンティティ）を使い、認証済みユーザーに一時的な IAM 認証情報を付与する。IAM ロールのポリシーで cognito-identity.amazonaws.com:sub 変数を使ってユーザー固有のプレフィックスのみへのアクセスを許可する。
2. B. Lambda 関数を経由してすべての S3 アクセスを行い、Lambda でユーザーの権限チェックをする。
3. C. すべてのユーザーが使う共通の IAM ユーザーのアクセスキーをアプリに埋め込み、S3 にアクセスする。
4. D. すべてのユーザーに同一の IAM ロールをアタッチし、S3 バケット全体への読み書き権限を付与する。