Ein Lösungsarchitekt erstellt eine neue Amazon CloudFront-Distribution für eine Anwendung, die vertrauliche, von Benutzern übermittelte Informationen akzeptiert. Die Anwendung verwendet bereits HTTPS, benötigt aber eine zusätzliche Schutzschicht, damit die vertraulichen Informationen über den gesamten Anwendungs-Stack hinweg geschützt bleiben und nur für bestimmte Anwendungen zugänglich sind. Welche Maßnahme sollte der Lösungsarchitekt ergreifen?

Ein CloudFront Field-Level Encryption Profile ist die korrekte Wahl, da es die End-to-End-Verschlüsselung sensibler Daten ermöglicht, die von Benutzern übermittelt werden. Es stellt sicher, dass bestimmte Datenfelder verschlüsselt werden, bevor sie den Ursprungsserver erreichen, und nur von Anwendungen mit dem entsprechenden privaten Schlüssel entschlüsselt werden können. Dies bietet eine zusätzliche Schutzschicht für vertrauliche Informationen. Signed URLs und Signed Cookies (Optionen 1 und 2) dienen der Zugriffskontrolle auf private Inhalte und nicht der Verschlüsselung spezifischer Datenfelder innerhalb einer Anfrage. Sie verhindern unbefugten Zugriff, verschlüsseln aber nicht die Daten selbst. Die Einstellung "Origin Protocol Policy auf HTTPS Only" (Option 4) stellt sicher, dass die Kommunikation zwischen CloudFront und dem Ursprungsserver verschlüsselt ist. Dies ist zwar eine gute Sicherheitspraxis, verschlüsselt aber nicht die spezifischen Datenfelder, die von Benutzern übermittelt werden, bevor sie CloudFront erreichen, und bietet daher nicht den erforderlichen zusätzlichen Schutz für vertrauliche Informationen über den gesamten Stack hinweg.