Приложение принимает данные клиентов через API Gateway API, который вызывает функции Lambda. Lambda-функции сохраняют данные в кластере Amazon Aurora MySQL. После добавления дистрибутива CloudFront с шифрованием на уровне полей, использующего ключ AWS KMS, все данные в базе данных изменились с открытого текста на зашифрованный. Вы должны убедиться, что данные хранятся в базе данных в виде открытого текста, а не в виде зашифрованного текста, созданного шифрованием на уровне полей CloudFront. Что вы должны сделать?

Правильный ответ — добавить функцию Lambda, которая использует ключ KMS для расшифровки зашифрованных полей перед сохранением их в базу данных. Шифрование на уровне полей CloudFront шифрует данные на границе сети перед отправкой в API Gateway. Чтобы сохранить данные в базе данных в виде открытого текста, их необходимо расшифровать после получения API Gateway и перед сохранением в Aurora MySQL. Функция Lambda, вызванная API Gateway, является идеальным местом для выполнения этой расшифровки с использованием того же ключа KMS, который использовался для шифрования. Изменение политики протокола просмотра CloudFront на только HTTPS не повлияет на шифрование на уровне полей, так как это относится к способу доступа клиентов к CloudFront, а не к обработке данных. Включение шифрования в кластере БД с тем же ключом KMS зашифрует всю базу данных, но не расшифрует отдельные поля, зашифрованные CloudFront. Запрос и установка нового SSL/TLS-сертификата для CloudFront также не решит проблему, так как это относится к безопасности транспортного уровня, а не к шифрованию данных на уровне полей.