Un'applicazione accetta i dati dei clienti tramite un'API API Gateway che richiama funzioni Lambda. Le Lambda archiviano i dati in un cluster Amazon Aurora MySQL. Dopo aver aggiunto una distribuzione CloudFront con crittografia a livello di campo che utilizza una chiave AWS KMS, tutti i dati nel database sono passati da testo in chiaro a testo cifrato. È necessario garantire che i dati siano archiviati nel database come testo in chiaro anziché come testo cifrato prodotto dalla crittografia a livello di campo di CloudFront. Cosa dovresti fare?

La crittografia a livello di campo di CloudFront crittografa i dati sensibili prima che raggiungano l'API Gateway e le funzioni Lambda. Per archiviare i dati in chiaro nel database, è necessario decrittografarli dopo che CloudFront li ha elaborati e prima che vengano scritti in Aurora. L'aggiunta di una funzione Lambda che utilizza la stessa chiave KMS per decrittografare i campi crittografati risolve questo problema. Le altre opzioni non sono corrette perché: Modificare la policy del protocollo del visualizzatore CloudFront da HTTP e HTTPS a solo HTTPS non influisce sulla crittografia a livello di campo; riguarda solo il protocollo di comunicazione tra il client e CloudFront. Abilitare la crittografia sul cluster DB utilizzando la stessa chiave KMS utilizzata da CloudFront crittograferebbe l'intero database, ma i dati sarebbero comunque crittografati due volte (una volta da CloudFront e una volta dal database), e non sarebbero in chiaro nel database. Richiedere e installare un nuovo certificato SSL/TLS per la distribuzione CloudFront riguarda la crittografia in transito (HTTPS), non la crittografia a livello di campo dei dati specifici.