我正在使用AppSync进行项目，并将捕获相对敏感的用户数据，这些数据需要在数据库中进行静态加密 .
目前，我在变异或查询后使用DynamoDB解析器进行构建，但很高兴探索其他解决方案（例如通过Lambda函数使用KMS加密然后发送到DynamoDB;或者在创建新条目后使用DynamoDB Streams重构数据在表中？）
KMS将通过IAM进行管理，用户通过Cognito用户池分配（我对此很新，但相信这是最好的方法） .
这一切都取决于您保护数据的对象 . 如果解密实际上发生在AWS中，那么AWS至少会暂时拥有解密密钥（因为您让他们管理密钥，并将它们提供给驻留在AWS中的密码） . 您可以假设AWS可以尽快忘记密钥和解密的明文，而不是后门解密 . 如果您只是担心第三方（即：非AWS）进入，那么这是可以的 . 请记住，如果您不进行端到端的防御，那么您对 Cloud 提供商的防御是有限的 .
如果您实际上担心AWS解密您的东西，那么有一些主要问题，因为这需要端到端加密来处理：解密必须在AWS之外发生（即：在电话或运行的程序上解密在用户的笔记本电脑上），这意味着密钥本身只在AWS之外解密，如果你搜索数据，你不会告诉AWS你在搜索什么（例如：愤怒的抗议者，我最后一次访问.mp4） . 后者是可以做到的，但很少有通用产品甚至尝试进行正确的端到端加密 .
DynamoDB现在支持静态加密，您可以在桌面上启用它 .
2 回答
这一切都取决于您保护数据的对象 . 如果解密实际上发生在AWS中，那么AWS至少会暂时拥有解密密钥（因为您让他们管理密钥，并将它们提供给驻留在AWS中的密码） . 您可以假设AWS可以尽快忘记密钥和解密的明文，而不是后门解密 . 如果您只是担心第三方（即：非AWS）进入，那么这是可以的 . 请记住，如果您不进行端到端的防御，那么您对 Cloud 提供商的防御是有限的 .
如果您实际上担心AWS解密您的东西，那么有一些主要问题，因为这需要端到端加密来处理：解密必须在AWS之外发生（即：在电话或运行的程序上解密在用户的笔记本电脑上），这意味着密钥本身只在AWS之外解密，如果你搜索数据，你不会告诉AWS你在搜索什么（例如：愤怒的抗议者，我最后一次访问.mp4） . 后者是可以做到的，但很少有通用产品甚至尝试进行正确的端到端加密 .
DynamoDB现在支持静态加密，您可以在桌面上启用它 .