Un développeur crée une application de santé sans serveur hautement sécurisée. L'application doit écrire des données temporaires dans le répertoire /tmp d'une fonction AWS Lambda. Quelle approche le développeur doit-il utiliser pour chiffrer ces données temporaires ?

L'approche correcte consiste à utiliser AWS KMS pour chiffrer les données temporaires. Le répertoire /tmp d'une fonction Lambda n'est pas un stockage persistant et n'est pas chiffré par défaut. En utilisant AWS KMS, la fonction peut demander une clé de données, chiffrer les informations sensibles avant de les écrire dans /tmp, puis les déchiffrer lors de la lecture. Cela garantit que les données sont protégées même si le conteneur Lambda est compromis. Activer le chiffrement de volume Amazon EBS n'est pas applicable car Lambda n'utilise pas directement EBS pour son stockage éphémère /tmp. Générer une clé symétrique avec OpenSSL est moins sécurisé car la gestion de la clé et sa rotation sont à la charge du développeur, et elle ne bénéficie pas de la sécurité et de la traçabilité de KMS. Utiliser un HSM sur site est une solution trop complexe et coûteuse pour ce cas d'utilisation, et elle introduirait une latence significative à chaque invocation de fonction.