Een online enquête-applicatie draait als microservices in een auto-scaling Amazon ECS-cluster achter een Application Load Balancer (ALB). De ALB is een custom origin voor een Amazon CloudFront-distributie. Eén enquête verzamelt gevoelige gegevens die moeten worden versleuteld terwijl ze door de applicatie bewegen. Alleen de microservice die de gegevens verwerkt, moet die gegevens kunnen ontsleutelen. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is het genereren van een RSA-sleutelpaar en het uploaden van de publieke sleutel naar CloudFront. CloudFront Field-Level Encryption gebruikt asymmetrische encryptie (RSA) om specifieke gegevensvelden te versleutelen aan de rand van het netwerk, voordat ze de applicatie bereiken. Alleen de microservice die de bijbehorende privésleutel bezit, kan de gegevens ontsleutelen, wat voldoet aan de eis dat alleen die microservice de gevoelige gegevens kan verwerken. Incorrecte opties: Het gebruik van een symmetrische AWS KMS-sleutel met Field-Level Encryption is niet mogelijk, aangezien Field-Level Encryption specifiek is ontworpen voor asymmetrische encryptie met RSA-sleutelparen. Lambda@Edge-functies voor encryptie of decryptie zijn minder efficiënt en complexer dan de ingebouwde Field-Level Encryption-functionaliteit van CloudFront, die speciaal voor dit doel is ontworpen. Bovendien zou een Lambda@Edge-functie die de privésleutel gebruikt voor encryptie onveilig zijn, omdat de privésleutel nooit de CloudFront-distributie zou mogen verlaten.