Это немного непросто, я только что посмотрел на это. По сути, при «принудительной загрузке» мы всегда скачиваем файлы из S3 по подписанному URL-адресу. Именно так происходит при нажатии на ссылку вложения или на кнопку «Скачать» на изображении. Это необходимо для добавления соответствующих заголовков content-disposition:
attachment; filename="#{upload.original_filename}"; filename*=UTF-8''#{upload.original_filename}
Не думаю, что можно заставить CDN-URL вести себя подобным образом? CDN-URL для изображений используется только при их отображении внутри страницы, а не при загрузке. Кроме того, в случае защищённых изображений и вложений с приватным ACL всегда должен использоваться подписанный URL-адрес.