Une fonction Lambda génère un fichier JSON de 3 Mo contenant des données sensibles et le télécharge quotidiennement sur S3. Le développeur doit s'assurer que le fichier est chiffré avant le téléchargement. Quelle modification le développeur doit-il implémenter pour que les données soient chiffrées avant le téléchargement ?

Pour chiffrer les données avant le téléchargement vers S3 (chiffrement côté client), la fonction Lambda doit générer une clé de données. L'API GenerateDataKey de AWS KMS est utilisée pour obtenir une clé de données unique. Cette clé est ensuite utilisée par le code de la fonction Lambda pour chiffrer le fichier JSON localement. Une fois chiffré, le fichier est téléchargé sur S3. La clé de données chiffrée est généralement stockée avec l'objet S3 ou dans les métadonnées pour permettre le déchiffrement ultérieur. Les autres options impliquent un chiffrement côté serveur (SSE-S3, SSE-KMS) où S3 chiffre les données après le téléchargement, ce qui ne répond pas à l'exigence de chiffrer les données avant le téléchargement. L'utilisation de la clé KMS par défaut ou d'une clé gérée par le client pour S3 depuis le code de la fonction Lambda indique un chiffrement côté serveur géré par S3, et non un chiffrement côté client effectué par la fonction Lambda.