AWS AppSync加密DynamoDB數據

Question

我正在一個項目上使用AppSync，將捕獲相對敏感的用戶數據，這些數據需要在數據庫中進行靜態加密。

目前，我在進行突變或查詢后正在使用DynamoDB解析器進行構建，但很樂於探索其他解決方案（例如，通過Lambda函數使用KMS進行加密，然后發送給DynamoDB；或者在創建新條目后使用DynamoDB流重構數據。在桌子上？）

KMS將通過IAM進行管理，並通過Cognito用戶池分配用戶權限（我對此還很陌生，但相信這是最好的方法）。

Answer 1

這一切都取決於您要保護誰。 如果解密實際上將在AWS中進行，則AWS至少會暫時擁有解密密鑰（因為您讓它們管理密鑰，並將它們提供給駐留在AWS中的密碼）。 您可以假定AWS受信任地會盡快忘記密鑰和解密的純文本，而不是后門解密。 如果您只擔心第三方（即非AWS）進入，那么可以。 請記住，如果您不進行端到端的防御，那么針對雲提供商的防御將受到限制。

如果您實際上擔心AWS會對您的內容進行解密，則有幾個主要問題，因為這需要端到端加密才能處理：解密必須在AWS外部進行（即：在電話或運行的程序上進行解密）在用戶的筆記本電腦上），這意味着密鑰本身僅在AWS外部解密，並且如果您搜索數據，則不會告訴AWS您在搜索什么（例如：Angry-protesters-on-my-last-visit.mp4） 。 后者是可以做到的，但是很少有通用產品甚至嘗試進行正確的端到端加密。

Answer 2

DynamoDB現在支持靜態加密，您可以在表上啟用它。