AWS AppSync加密DynamoDB数据

Question

我正在一个项目上使用AppSync，将捕获相对敏感的用户数据，这些数据需要在数据库中进行静态加密。

目前，我在进行突变或查询后正在使用DynamoDB解析器进行构建，但很乐于探索其他解决方案（例如，通过Lambda函数使用KMS进行加密，然后发送给DynamoDB；或者在创建新条目后使用DynamoDB流重构数据。在桌子上？）

KMS将通过IAM进行管理，并通过Cognito用户池分配用户权限（我对此还很陌生，但相信这是最好的方法）。

Answer 1

这一切都取决于您要保护谁。 如果解密实际上将在AWS中进行，则AWS至少会暂时拥有解密密钥（因为您让它们管理密钥，并将它们提供给驻留在AWS中的密码）。 您可以假定AWS受信任地会尽快忘记密钥和解密的纯文本，而不是后门解密。 如果您只担心第三方（即非AWS）进入，那么可以。 请记住，如果您不进行端到端的防御，那么针对云提供商的防御将受到限制。

如果您实际上担心AWS会对您的内容进行解密，则有几个主要问题，因为这需要端到端加密才能处理：解密必须在AWS外部进行（即：在电话或运行的程序上进行解密）在用户的笔记本电脑上），这意味着密钥本身仅在AWS外部解密，并且如果您搜索数据，则不会告诉AWS您在搜索什么（例如：Angry-protesters-on-my-last-visit.mp4） 。 后者是可以做到的，但是很少有通用产品甚至尝试进行正确的端到端加密。

Answer 2

DynamoDB现在支持静态加密，您可以在表上启用它。