Une application accepte les données client via une API Gateway qui appelle des fonctions Lambda. Les fonctions Lambda stockent les données dans un cluster Amazon Aurora MySQL. Après l'ajout d'une distribution CloudFront avec chiffrement au niveau des champs qui utilise une clé AWS KMS, toutes les données de la base de données sont passées du texte en clair au texte chiffré. Vous devez vous assurer que les données sont stockées dans la base de données en texte en clair plutôt qu'en texte chiffré produit par le chiffrement au niveau des champs de CloudFront. Que devez-vous faire ?

Le chiffrement au niveau des champs de CloudFront chiffre les données sensibles au niveau de la périphérie avant qu'elles n'atteignent votre origine. Si vous souhaitez stocker ces données en texte clair dans votre base de données Aurora, vous devez les déchiffrer après qu'elles aient traversé CloudFront mais avant qu'elles ne soient écrites dans la base de données. Une fonction Lambda est l'endroit idéal pour effectuer cette logique de déchiffrement, en utilisant la même clé KMS qui a été utilisée pour le chiffrement. Modifier la politique de protocole du visualiseur CloudFront n'affecte pas le chiffrement au niveau des champs. Activer le chiffrement sur le cluster de base de données ne déchiffrerait pas les données déjà chiffrées par CloudFront ; cela ajouterait une couche de chiffrement supplémentaire. Demander un nouveau certificat SSL/TLS est lié à la sécurité du transport, pas au déchiffrement des données chiffrées au niveau des champs.