Una aplicación almacena datos de usuario sensibles e incluye una distribución CloudFront, además de múltiples funciones Lambda que gestionan las solicitudes. Cada solicitud contiene más de 20 campos de datos; ciertos campos deben cifrarse y solo componentes específicos de la aplicación deben poder descifrarlos. ¿Qué solución cumple estos requisitos?

La opción correcta es habilitar el cifrado a nivel de campo de CloudFront, reenviar los campos necesarios al origen y usar una clave asimétrica de AWS KMS para la configuración de cifrado. CloudFront Field-Level Encryption permite cifrar datos específicos en las solicitudes POST antes de que se envíen al servidor de origen. Esto asegura que solo los componentes autorizados de la aplicación con la clave privada correspondiente en AWS KMS puedan descifrar los datos sensibles. Las otras opciones son incorrectas porque: Asociar CloudFront con una función Lambda@Edge para cifrado asimétrico a nivel de campo utilizando una clave pública RSA almacenada en AWS KMS no es el mecanismo nativo ni más eficiente para este caso de uso. CloudFront Field-Level Encryption está diseñado específicamente para esto. Integrar AWS WAF con CloudFront para protección y usar una función Lambda con claves autogestionadas para cifrado y descifrado no aborda el cifrado a nivel de campo de manera nativa y podría añadir complejidad innecesaria. AWS WAF se enfoca en la seguridad de la aplicación web, no en el cifrado de campos específicos. Requerir HTTPS y forzar el acceso con URL o cookies firmadas protege los datos en tránsito y controla el acceso a los archivos, pero no proporciona cifrado a nivel de campo para datos específicos dentro de una solicitud POST.