Een bedrijf ontwikkelt een e-commerce applicatie op Amazon EC2 met een Amazon RDS for MySQL database. Voor compliance moet data zowel in transit als at rest versleuteld zijn. De oplossing moet de operationele overhead en kosten minimaliseren. Welke aanpak voldoet aan deze vereisten?

De correcte optie voldoet aan alle vereisten met minimale operationele overhead en kosten. Het gebruik van ACM op een ALB versleutelt data in transit van de client naar de ALB, wat kosteneffectief en beheerd is door AWS. Zelfondertekende certificaten op EC2 instances versleutelen de communicatie tussen de ALB en de EC2 instances, wat acceptabel is voor interne communicatie en geen extra kosten met zich meebrengt. TLS voor RDS versleutelt data in transit naar de database. Encryptie van de RDS DB instance en EBS volumes zorgt voor data-at-rest encryptie. De andere opties zijn minder optimaal: Het gebruik van TLS-certificaten van derden op EC2 instances en client-side encryptie met Secrets Manager verhoogt de operationele overhead en kosten onnodig. AWS CloudHSM is een dure optie die meestal niet nodig is voor algemene e-commerce applicaties en voegt complexiteit toe. CloudFront en WAF zijn voor CDN en beveiliging op de edge, niet primair voor end-to-end encryptie van de applicatie. Client-side encryptie met KMS voor RDS is complex en kan de functionaliteit van de database beperken.