Uma aplicação aceita dados de clientes por meio de uma API do API Gateway que chama funções Lambda. As Lambdas armazenam dados em um cluster Amazon Aurora MySQL. Após adicionar uma distribuição CloudFront com criptografia em nível de campo que usa uma chave do AWS KMS, todos os dados no banco de dados mudaram de texto simples para texto cifrado. Você deve garantir que os dados sejam armazenados no banco de dados como texto simples, e não como o texto cifrado produzido pela criptografia em nível de campo do CloudFront. O que você deve fazer?

A criptografia em nível de campo do CloudFront criptografa dados sensíveis na borda, antes que cheguem à sua origem. Para que esses dados sejam armazenados como texto simples no banco de dados, é necessário descriptografá-los. Adicionar uma função Lambda que utilize a mesma chave KMS usada pelo CloudFront para descriptografar os campos antes de persistir os dados no Aurora MySQL garante que os dados sejam armazenados no formato desejado. Alterar a política de protocolo do visualizador do CloudFront para HTTPS apenas não resolveria o problema, pois isso apenas garante a segurança da comunicação, não a descriptografia dos dados. Habilitar a criptografia no cluster do DB usando a mesma chave KMS não descriptografaria os dados, apenas os criptografaria novamente no nível do banco de dados. Solicitar e instalar um novo certificado SSL/TLS também não resolveria, pois se relaciona à segurança da comunicação e não à descriptografia dos dados em nível de campo.