Uma empresa executa um aplicativo web que armazena dados confidenciais em uma tabela do Amazon DynamoDB. A empresa exige proteção de dados de ponta a ponta e a capacidade de detectar quaisquer modificações não autorizadas. Qual solução atende a esses requisitos?

A opção correta é usar o DynamoDB Encryption Client para criptografia do lado do cliente e para assinar itens da tabela. Este cliente fornece criptografia de ponta a ponta, o que significa que os dados são criptografados antes de sair do aplicativo e permanecem criptografados no DynamoDB. Além disso, a assinatura de itens da tabela permite detectar qualquer modificação não autorizada nos dados, atendendo ao requisito de integridade. A criptografia com AWS KMS (chave gerenciada pelo cliente) protege os dados em repouso no DynamoDB, mas não oferece criptografia de ponta a ponta nem detecção de modificações. O AWS Private CA é para criptografia em trânsito (TLS), não para dados em repouso ou integridade de itens. O AWS Encryption SDK é uma biblioteca de criptografia de uso geral, mas o DynamoDB Encryption Client é especificamente otimizado para o DynamoDB, oferecendo funcionalidades como assinatura de itens para integridade.