Un'applicazione per sondaggi online viene eseguita come microservizi in un cluster Amazon ECS con auto-scaling dietro un Application Load Balancer (ALB). L'ALB è un'origine personalizzata per una distribuzione Amazon CloudFront. Un sondaggio raccoglie dati sensibili che devono essere crittografati mentre si spostano attraverso l'applicazione. Solo il microservizio di gestione dei dati dovrebbe essere in grado di decrittografare tali dati. Quale soluzione soddisfa questi requisiti?

La crittografia a livello di campo di CloudFront è la soluzione ideale per questo scenario. Generando una coppia di chiavi RSA e caricando la chiave pubblica in CloudFront, i dati sensibili vengono crittografati sul bordo della rete di CloudFront utilizzando la chiave pubblica. Solo il microservizio di gestione dei dati, che possiede la chiave privata corrispondente, può decrittografare i dati, garantendo che i dati rimangano crittografati durante il transito e che solo il servizio autorizzato possa accedervi. Le opzioni che utilizzano AWS KMS non sono adatte perché KMS è una soluzione di crittografia simmetrica o asimmetrica gestita, ma la crittografia a livello di campo di CloudFront richiede una coppia di chiavi RSA per la crittografia asimmetrica sul bordo. Le opzioni con Lambda@Edge implicherebbero una logica di crittografia personalizzata, che è più complessa e meno efficiente rispetto alla funzionalità nativa di crittografia a livello di campo di CloudFront.