Um aplicativo de pesquisa online é executado como microsserviços em um cluster Amazon ECS de autoescalonamento atrás de um Application Load Balancer (ALB). O ALB é uma origem personalizada para uma distribuição Amazon CloudFront. Uma pesquisa coleta dados confidenciais que devem ser criptografados enquanto se movem pelo aplicativo. Apenas o microsserviço de tratamento de dados deve ser capaz de descriptografar esses dados. Qual solução satisfaz esses requisitos?

A opção correta utiliza a Criptografia em Nível de Campo do CloudFront, que permite criptografar dados específicos em trânsito. Ao gerar um par de chaves RSA e carregar a chave pública para o CloudFront, o CloudFront pode criptografar os dados com essa chave. Apenas o microsserviço de tratamento de dados, que possui a chave privada correspondente, poderá descriptografar os dados, garantindo a confidencialidade exigida. As outras opções são incorretas porque: Usar uma chave KMS simétrica com criptografia em nível de campo do CloudFront não é o mecanismo correto para criptografia assimétrica de ponta a ponta onde apenas um serviço específico deve descriptografar. O CloudFront Field-Level Encryption usa chaves RSA. Implementar uma função Lambda@Edge para criptografar com KMS ou chave privada RSA adiciona complexidade desnecessária e não se alinha ao propósito da criptografia em nível de campo do CloudFront, que é projetada para este cenário. Além disso, a chave privada nunca deve ser usada para criptografar, mas sim para descriptografar.