Een applicatie slaat gevoelige gebruikersgegevens op en omvat een CloudFront-distributie plus meerdere Lambda-functies die verzoeken afhandelen. Elk verzoek bevat meer dan 20 datavelden; bepaalde velden moeten worden versleuteld en alleen specifieke componenten van de applicatie mogen deze ontsleutelen. Welke oplossing voldoet aan deze vereisten?

CloudFront field-level encryption is de meest geschikte oplossing omdat het specifiek is ontworpen om gevoelige gegevens op veldniveau te versleutelen voordat deze de origin bereiken. Dit voldoet aan de eis dat alleen specifieke componenten van de applicatie de gegevens mogen ontsleutelen. Door een asymmetrische AWS KMS-sleutel te gebruiken, kan de publieke sleutel worden gebruikt voor versleuteling aan de CloudFront-zijde, terwijl de corresponderende privé-sleutel veilig in KMS blijft voor ontsleuteling door geautoriseerde applicatiecomponenten. De optie met Lambda@Edge en asymmetrische versleuteling met een door de gebruiker geleverde sleutel in KMS is minder ideaal omdat CloudFront field-level encryption een ingebouwde, beheerde service is die dit efficiënter en veiliger afhandelt. AWS WAF met zelfbeheerde sleutels is niet primair bedoeld voor veldversleuteling en introduceert complexiteit in sleutelbeheer. HTTPS en signed URLs/cookies beschermen de communicatie en toegang tot bestanden, maar versleutelen geen specifieke datavelden binnen de request body.