Een applicatie verwerkt creditcardnummers en vereist encryptie op veldniveau, zodat slechts enkele componenten gevoelige velden kunnen ontsleutelen. De klantgerichte app draait als een ECS-service achter een ALB in us-west-2, en CloudFront gebruikt die ALB als de origin. Certificaten zijn afkomstig van een externe CA en HTTPS wordt gebruikt. Welke combinatie van acties voldoet aan de vereisten?

De eerste correcte optie beschrijft de juiste certificaatconfiguratie. Voor een ALB in us-west-2 moet het certificaat in diezelfde regio in ACM worden geïmporteerd. CloudFront vereist dat certificaten voor custom SSL/TLS in ACM in de us-east-1 (N. Virginia) regio worden geüpload, ongeacht de regio van de origin. De tweede correcte optie beschrijft de Field-Level Encryption (FLE) configuratie. FLE wordt gebruikt om specifieke gegevensvelden te versleutelen voordat ze de origin bereiken. Dit vereist het uploaden van een publieke sleutel naar CloudFront. Er wordt een encryptieprofiel gemaakt dat de gevoelige velden identificeert. Vervolgens wordt een encryptieconfiguratie gemaakt die dit profiel gebruikt en gekoppeld aan het cachegedrag dat POST-verzoeken met gevoelige gegevens afhandelt. De eerste onjuiste optie is incorrect omdat CloudFront-certificaten altijd in us-east-1 moeten staan. De derde en vierde onjuiste opties zijn incorrect omdat ze respectievelijk een privésleutel noemen (FLE gebruikt een publieke sleutel) of de stappen voor het configureren van FLE onjuist weergeven (bijv. profiel koppelen aan configuratie, niet andersom).