Una aplicación acepta datos de clientes a través de una API de API Gateway que invoca funciones Lambda. Las funciones Lambda almacenan los datos en un clúster de Amazon Aurora MySQL. Después de añadir una distribución de CloudFront con cifrado a nivel de campo que utiliza una clave de AWS KMS, todos los datos de la base de datos cambiaron de texto sin formato a texto cifrado. Debe asegurarse de que los datos se almacenen en la base de datos como texto sin formato en lugar de como el texto cifrado producido por el cifrado a nivel de campo de CloudFront. ¿Qué debe hacer?

La opción correcta es añadir una función Lambda que utilice la clave de KMS para descifrar los campos cifrados antes de guardarlos en la base de datos. CloudFront con cifrado a nivel de campo cifra datos sensibles antes de enviarlos al origen. Para almacenar estos datos en texto sin formato en Aurora MySQL, la aplicación debe descifrarlos. Una función Lambda es ideal para esta tarea, ya que puede invocar la API de KMS para descifrar los campos utilizando la clave de KMS configurada en CloudFront, y luego pasar los datos descifrados a la base de datos. Cambiar la política de protocolo del visor de CloudFront a solo HTTPS no afecta el cifrado a nivel de campo; solo asegura que la comunicación entre el visor y CloudFront sea segura. Habilitar el cifrado en el clúster de la base de datos con la misma clave de KMS cifraría la base de datos en reposo, pero los datos seguirían almacenándose cifrados por CloudFront dentro de la base de datos. Solicitar e instalar un nuevo certificado SSL/TLS para CloudFront solo afecta la seguridad de la comunicación, no el cifrado a nivel de campo de los datos.