Aplikacja przechowuje wrażliwe dane użytkowników i zawiera dystrybucję CloudFront oraz wiele funkcji Lambda, które obsługują żądania. Każde żądanie zawiera ponad 20 pól danych; niektóre pola muszą być zaszyfrowane, a tylko określone komponenty aplikacji powinny mieć możliwość ich odszyfrowania. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź to włączenie szyfrowania na poziomie pola CloudFront, przekazanie niezbędnych pól do źródła i użycie asymetrycznego klucza AWS KMS. Szyfrowanie na poziomie pola CloudFront jest zaprojektowane specjalnie do szyfrowania wrażliwych danych w żądaniach POST, zanim CloudFront przekaże je do źródła. Użycie asymetrycznego klucza AWS KMS (publicznego do szyfrowania, prywatnego do deszyfrowania) zapewnia, że tylko autoryzowane komponenty aplikacji (mające dostęp do klucza prywatnego) mogą odszyfrować dane. Pozostałe opcje są nieodpowiednie: Lambda@Edge z szyfrowaniem asymetrycznym na poziomie pola jest możliwa, ale CloudFront Field-Level Encryption jest rozwiązaniem wbudowanym i bardziej zoptymalizowanym dla tego scenariusza. AWS WAF służy do ochrony przed atakami internetowymi, a nie do szyfrowania danych na poziomie pola. Klucze zarządzane samodzielnie zwiększają złożoność zarządzania kluczami. Wymaganie HTTPS i podpisanych adresów URL/plików cookie chroni dane w transporcie i kontroluje dostęp do plików, ale nie szyfruje poszczególnych pól danych w żądaniu POST, aby tylko określone komponenty mogły je odszyfrować.