Приложение для онлайн-опросов работает как микросервисы в автоматически масштабируемом кластере Amazon ECS за балансировщиком нагрузки Application Load Balancer (ALB). ALB является настраиваемым источником для дистрибутива Amazon CloudFront. Один опрос собирает конфиденциальные данные, которые должны быть зашифрованы при их перемещении по приложению. Только микросервис, обрабатывающий данные, должен иметь возможность расшифровать эти данные. Какое решение удовлетворяет этим требованиям?

Правильный ответ — это использование шифрования на уровне поля CloudFront (Field-Level Encryption). Этот механизм позволяет шифровать конфиденциальные данные на границе CloudFront с использованием открытого ключа RSA, гарантируя, что только микросервис, владеющий соответствующим закрытым ключом, сможет их расшифровать. Это соответствует требованию, что только обрабатывающий микросервис должен иметь доступ к данным. Неправильные варианты: Использование симметричного ключа AWS KMS для шифрования на уровне поля CloudFront невозможно, так как CloudFront Field-Level Encryption требует асимметричную пару ключей RSA. Lambda@Edge для шифрования данных не является оптимальным решением, поскольку Field-Level Encryption предоставляет встроенный, более эффективный и безопасный способ шифрования на границе CloudFront. Использование закрытого ключа RSA в Lambda@Edge для шифрования данных является небезопасным, так как закрытый ключ должен храниться в тайне и использоваться только для расшифровки.