一位解决方案架构师正在为其应用程序创建一个新的 Amazon CloudFront 分配，该应用程序接受一些敏感的用户提交信息。该应用程序已经使用 HTTPS，但需要额外的保护层，以确保敏感信息在整个应用程序堆栈中都受到保护，并且只能由特定应用程序访问。解决方案架构师应该采取哪种措施？

正确答案是配置 CloudFront 字段级加密配置文件。字段级加密允许您对 CloudFront 缓存中特定敏感数据字段进行加密，确保这些数据在到达您的源站之前保持加密状态，并且只有拥有相应私钥的应用程序组件才能解密。这为敏感信息提供了额外的保护层，即使数据在传输或缓存中被拦截，也无法被未经授权的实体读取。 配置 CloudFront signed URL 或 signed cookie 主要用于限制对内容的访问，而不是加密特定字段的敏感数据。虽然它们可以增强安全性，但不能解决对特定敏感数据字段进行加密的需求。 将 Viewer Protocol Policy 设置为 HTTPS Only 并设置 Origin Protocol Policy 确保了客户端和 CloudFront 之间以及 CloudFront 和源站之间的传输加密，但它不提供对 CloudFront 缓存中特定字段的额外加密保护。