Architekt rozwiązań tworzy nową dystrybucję Amazon CloudFront dla aplikacji, która akceptuje wrażliwe informacje przesyłane przez użytkowników. Aplikacja już używa HTTPS, ale wymaga dodatkowej warstwy ochrony, aby wrażliwe informacje pozostały chronione w całym stosie aplikacji i były dostępne tylko dla określonych aplikacji. Jakie działanie powinien podjąć architekt rozwiązań?

Prawidłową opcją jest skonfigurowanie profilu szyfrowania na poziomie pola CloudFront (CloudFront field-level encryption profile). Ta funkcja umożliwia szyfrowanie określonych pól danych w żądaniach POST, zanim CloudFront przekaże je do serwera źródłowego. Zapewnia to dodatkową warstwę ochrony dla wrażliwych danych, ponieważ są one szyfrowane już na brzegu sieci CloudFront i pozostają zaszyfrowane w całym stosie aplikacji, dostępne tylko dla uprawnionych aplikacji posiadających klucz prywatny. Pozostałe opcje są nieprawidłowe: CloudFront signed URL i signed cookie służą do kontrolowania dostępu do treści, a nie do szyfrowania danych przesyłanych przez użytkowników. Ustawienie Origin Protocol Policy na HTTPS Only dla Viewer Protocol Policy zapewnia szyfrowanie w transporcie między przeglądarką a CloudFront oraz między CloudFront a serwerem źródłowym, ale nie szyfruje danych na poziomie pola w taki sposób, aby były dostępne tylko dla określonych aplikacji.