Aplikacja do ankiet online działa jako mikrousługi w klastrze Amazon ECS z automatycznym skalowaniem, za usługą Application Load Balancer (ALB). ALB jest niestandardowym źródłem dla dystrybucji Amazon CloudFront. Jedna ankieta zbiera wrażliwe dane, które muszą być szyfrowane podczas ich przesyłania przez aplikację. Tylko mikrousługa obsługująca dane powinna mieć możliwość odszyfrowania tych danych. Które rozwiązanie spełnia te wymagania?

Prawidłowa odpowiedź to wygenerowanie pary kluczy RSA i użycie szyfrowania na poziomie pola CloudFront. Szyfrowanie na poziomie pola CloudFront pozwala na szyfrowanie określonych pól danych w żądaniu POST na brzegu sieci CloudFront, zanim dane dotrą do serwera pochodzenia. Klucz publiczny RSA jest przesyłany do CloudFront, który używa go do szyfrowania danych. Tylko mikrousługa posiadająca odpowiadający klucz prywatny może odszyfrować te dane, spełniając wymóg, że tylko ona powinna mieć taką możliwość. Opcja z kluczem symetrycznym AWS KMS jest nieprawidłowa, ponieważ szyfrowanie na poziomie pola CloudFront wymaga klucza asymetrycznego (RSA). Użycie Lambda@Edge do szyfrowania danych nie jest optymalne, ponieważ CloudFront oferuje natywne rozwiązanie szyfrowania na poziomie pola, które jest bardziej efektywne i bezpieczniejsze dla tego scenariusza. Ponadto, Lambda@Edge z kluczem prywatnym do szyfrowania jest błędna, ponieważ klucz prywatny służy do deszyfrowania, a nie szyfrowania w tym kontekście.