Esto es un poco complicado, acabo de echar un vistazo. Básicamente, siempre descargamos desde S3 con una URL firmada cuando hacemos una “descarga forzada”, que es lo que ocurre al hacer clic en el enlace del archivo adjunto o en el botón Descargar de una imagen. Esto es para poder agregar las cabeceras content-disposition adecuadas:
attachment; filename="#{upload.original_filename}"; filename*=UTF-8''#{upload.original_filename}
No creo que sea posible hacer que la URL de la CDN se comporte de esta manera. La URL de la CDN para imágenes solo se usa al mostrarlas en línea, no al descargarlas. Además, en el caso de imágenes y archivos adjuntos seguros con una ACL privada, la URL firmada debe usarse siempre.