Приложение хранит конфиденциальные пользовательские данные и включает дистрибутив CloudFront, а также несколько функций Lambda, которые обрабатывают запросы. Каждый запрос содержит более 20 полей данных; некоторые поля должны быть зашифрованы, и только определенные компоненты приложения должны иметь возможность их расшифровать. Какое решение соответствует этим требованиям?

Правильный ответ — «Включить шифрование на уровне полей CloudFront, перенаправить необходимые поля в origin и использовать асимметричный ключ AWS KMS для конфигурации шифрования». Шифрование на уровне полей CloudFront (Field-Level Encryption) позволяет шифровать определенные поля данных в запросах HTTPS на границе сети CloudFront, прежде чем они будут перенаправлены в origin. Это гарантирует, что конфиденциальные данные будут зашифрованы на протяжении всего пути до origin-сервера, и только авторизованные компоненты приложения с соответствующим закрытым ключом AWS KMS смогут их расшифровать. Это соответствует требованию о том, что только определенные компоненты приложения должны иметь возможность расшифровать данные. Остальные варианты не подходят: Использование Lambda@Edge для асимметричного шифрования с пользовательским открытым ключом RSA в AWS KMS усложняет управление ключами и не является нативным решением CloudFront для шифрования полей. Интеграция AWS WAF с CloudFront защищает от веб-атак, но не обеспечивает шифрование на уровне полей. Использование самостоятельно управляемых ключей в Lambda увеличивает операционную нагрузку. Требование HTTPS и использование подписанных URL-адресов/файлов cookie обеспечивает безопасность доступа и передачу данных, но не шифрует отдельные поля данных внутри запроса.