少し複雑な点ですが、今すぐ確認しました。基本的には、「強制ダウンロード」を行う場合、つまり添付ファイルのリンクをクリックしたり、画像の「ダウンロード」ボタンをクリックしたりする場合は、S3 からプレサインド URL を介して常にダウンロードを行います。これは、適切な Content-Disposition ヘッダーを追加するためです：
attachment; filename="#{upload.original_filename}"; filename*=UTF-8''#{upload.original_filename}
CDN URL がこのように動作することは可能だとは思えません。画像の CDN URL は、インライン表示時にのみ使用され、ダウンロード時には使用されません。また、プライベート ACL を持つセキュリティ付きの画像や添付ファイルの場合、プレサインド URL を常に使用する必要があります。