Aplikacja na Amazon EC2 przetwarza wrażliwe dane, w tym numery kart kredytowych. Numery te muszą być wysyłane do wysoce izolowanego komponentu, który je szyfruje, przechowuje i deszyfruje, a także wydaje tokeny do użytku w innych częściach aplikacji. Tylko komponent tokenizujący może uzyskiwać dostęp do surowych numerów. Jakie rozwiązanie należy zastosować dla komponentu tokenizującego?

AWS Nitro Enclaves to idealne rozwiązanie, ponieważ zapewniają wysoce izolowane środowisko obliczeniowe wewnątrz instancji EC2, zaprojektowane specjalnie do przetwarzania wrażliwych danych. Enklawy nie mają trwałej pamięci masowej, dostępu do sieci ani możliwości interakcji z operatorem, co minimalizuje powierzchnię ataku i gwarantuje, że tylko autoryzowany kod w enklawie może uzyskać dostęp do surowych numerów kart kredytowych. Uruchomienie na EC2 Dedicated Instances zapewnia izolację na poziomie sprzętu fizycznego, ale nie izoluje kodu tokenizującego od innych procesów na tej samej instancji. Grupa rozmieszczenia partycji rozprasza instancje na różne partycje sprzętowe, co zwiększa odporność, ale nie izoluje wrażliwych danych wewnątrz instancji. Oddzielna VPC zapewnia izolację sieciową, ale nie izoluje kodu tokenizującego od innych procesów na tej samej instancji EC2.