Een ontwikkelaar bouwt een zeer veilige, serverless zorgapplicatie. De applicatie moet tijdelijke gegevens wegschrijven naar de /tmp directory van een AWS Lambda-functie. Welke aanpak moet de ontwikkelaar gebruiken om die tijdelijke gegevens te versleutelen?

De correcte aanpak is om een AWS KMS key te gebruiken. De Lambda-functie krijgt via zijn uitvoeringsrol en een KMS key policy toegang tot deze key. Voordat gegevens naar /tmp worden geschreven, genereert de Lambda-functie een data key met KMS en gebruikt deze om de gegevens te versleutelen, wat zorgt voor veilige, tijdelijke opslag. Amazon EBS-volume-encryptie is niet van toepassing, aangezien Lambda's /tmp directory een tijdelijk bestandssysteem is dat niet gebaseerd is op EBS-volumes die door de gebruiker kunnen worden geconfigureerd. Het genereren van een sleutel met OpenSSL binnen de Lambda-functie is minder veilig omdat de sleutel niet wordt beheerd door een beveiligde sleuteldienst zoals KMS en moeilijker te roteren of te auditen is. Het gebruik van een on-premises HSM introduceert onnodige complexiteit en latency, en is niet serverless-native.