Een applicatie accepteert klantgegevens via een API Gateway API die Lambda-functies aanroept. De Lambdas slaan gegevens op in een Amazon Aurora MySQL-cluster. Na het toevoegen van een CloudFront-distributie met field-level encryption die een AWS KMS key gebruikt, zijn alle gegevens in de database veranderd van plaintext naar ciphertext. U moet ervoor zorgen dat gegevens in de database als plaintext worden opgeslagen in plaats van als de ciphertext die door CloudFront field-level encryption wordt geproduceerd. Wat moet u doen?

De correcte optie is om een Lambda-functie toe te voegen die de KMS-sleutel gebruikt om de versleutelde velden te ontsleutelen voordat ze in de database worden opgeslagen. CloudFront field-level encryption versleutelt specifieke gegevensvelden aan de rand, voordat ze de API Gateway bereiken. Deze versleutelde gegevens worden vervolgens doorgegeven aan de Lambda-functies. Om de gegevens in plaintext in de database op te slaan, moet de Lambda-functie die de gegevens verwerkt, expliciet de versleutelde velden ontsleutelen met de juiste KMS-sleutel. De andere opties zijn incorrect: Het wijzigen van het CloudFront viewer protocol policy naar HTTPS only heeft geen invloed op field-level encryption; het zorgt alleen voor veilige communicatie tussen de kijker en CloudFront. Het inschakelen van encryptie op het DB-cluster met dezelfde KMS-sleutel zou de hele database versleutelen, maar de gegevens die van CloudFront komen, zijn al versleuteld door field-level encryption en zouden nog steeds als ciphertext worden opgeslagen. Het aanvragen van een nieuw SSL/TLS-certificaat is irrelevant voor field-level encryption, wat een aparte versleutelingslaag is.