Una aplicación de encuestas en línea se ejecuta como microservicios en un clúster de Amazon ECS con autoescalado detrás de un Application Load Balancer (ALB). El ALB es un origen personalizado para una distribución de Amazon CloudFront. Una encuesta recopila datos confidenciales que deben cifrarse mientras se mueven por la aplicación. Solo el microservicio de manejo de datos debe poder descifrar esos datos. ¿Qué solución satisface estos requisitos?

La opción correcta utiliza el cifrado a nivel de campo de CloudFront, que está diseñado específicamente para este escenario. Al generar un par de claves RSA y cargar la clave pública en CloudFront, los datos confidenciales se cifran en el borde de la red de CloudFront utilizando la clave pública. Solo el microservicio de manejo de datos, que posee la clave privada correspondiente, puede descifrar estos datos. Esto garantiza que los datos permanezcan cifrados en tránsito a través del ALB y ECS, y solo el servicio autorizado pueda acceder a ellos. Las opciones incorrectas no cumplen los requisitos: Usar una clave KMS simétrica con cifrado a nivel de campo de CloudFront no es compatible; el cifrado a nivel de campo requiere un par de claves asimétricas (RSA). Las funciones Lambda@Edge pueden manipular solicitudes, pero no están diseñadas para realizar el cifrado a nivel de campo de esta manera, y usar KMS o la clave privada RSA en Lambda@Edge para cifrar datos confidenciales antes de que lleguen al origen no es el propósito principal ni la forma más segura de implementar este requisito de cifrado de extremo a extremo.