Eine Anwendung akzeptiert Kundendaten über eine API Gateway API, die Lambda-Funktionen aufruft. Die Lambdas speichern Daten in einem Amazon Aurora MySQL-Cluster. Nach dem Hinzufügen einer CloudFront-Distribution mit Field-Level Encryption, die einen AWS KMS-Schlüssel verwendet, wurden alle Daten in der Datenbank von Klartext in Chiffretext geändert. Sie müssen sicherstellen, dass die Daten im Klartext in der Datenbank gespeichert werden und nicht als der von CloudFront Field-Level Encryption erzeugte Chiffretext. Was sollten Sie tun?

Die CloudFront Field-Level Encryption verschlüsselt spezifische Datenfelder am Edge, bevor sie an den Ursprung gesendet werden. Da die Anwendung die Daten im Klartext in der Datenbank speichern muss, muss eine Lambda-Funktion diese verschlüsselten Felder entschlüsseln, bevor sie in Aurora MySQL persistiert werden. Die Lambda-Funktion kann den für die Verschlüsselung verwendeten AWS KMS-Schlüssel nutzen, um die Entschlüsselung durchzuführen. Die Änderung der Viewer-Protokollrichtlinie (Option 1) beeinflusst nur die Kommunikation zwischen Client und CloudFront, nicht die Verschlüsselung der Felddaten. Das Aktivieren der DB-Verschlüsselung (Option 3) verschlüsselt die gesamte Datenbank, aber die Daten würden immer noch als Chiffretext von CloudFront an die Datenbank gesendet werden. Ein neues SSL/TLS-Zertifikat (Option 4) ist für die Transportverschlüsselung relevant, nicht für die Field-Level Encryption.