Aplikacja akceptuje dane klientów za pośrednictwem API Gateway API, które wywołuje funkcje Lambda. Funkcje Lambda przechowują dane w klastrze Amazon Aurora MySQL. Po dodaniu dystrybucji CloudFront z szyfrowaniem na poziomie pola, która używa klucza AWS KMS, wszystkie dane w bazie danych zmieniły się z postaci jawnej na zaszyfrowaną. Musisz upewnić się, że dane są przechowywane w bazie danych jako tekst jawny, a nie jako tekst zaszyfrowany przez szyfrowanie na poziomie pola CloudFront. Co należy zrobić?

Szyfrowanie na poziomie pola CloudFront szyfruje dane przed ich wysłaniem do API Gateway i funkcji Lambda. Funkcja Lambda odbiera już zaszyfrowane dane. Aby zapisać dane w bazie danych jako tekst jawny, funkcja Lambda musi odszyfrować te dane przed ich zapisaniem. Użycie tego samego klucza KMS, który został użyty do szyfrowania, jest niezbędne do pomyślnego odszyfrowania. Zmiana polityki protokołu przeglądarki CloudFront nie wpłynie na szyfrowanie danych. Włączenie szyfrowania w klastrze DB zaszyfruje bazę danych, ale nie odszyfruje danych już zaszyfrowanych przez CloudFront. Żądanie nowego certyfikatu SSL/TLS dotyczy bezpieczeństwa transportu, a nie odszyfrowywania danych na poziomie aplikacji.