Dynamodb 表中的服务器端加密

Question

我正在阅读有关静态加密的信息，发现 Dynamodb 默认情况下会这样做。 https://docs.aws.amazon.com/amazondynamodb/latest/developerguide/encryption.usagenotes.html

实际上是什么意思？因为我仍然可以在 AWS 控制台中以纯文本形式查看数据。那么，它是如何加密的呢？

这是否意味着在机器中的实际存储形式中它是加密的？而私钥/公钥由 Dynamodb 服务本身管理？

另外，如果我为此类表启用 dynamodb 流并将流连接到 AWS Lambda，那么我可以在 lambda 中以纯文本形式查看数据。那么，它是怎么加密的呢？

有人可以解释我缺少什么吗？有什么方法可以验证 Dynamodb 是否真的在加密我们的数据？

Answer 1

如您引用的页面上所述：

静态加密仅加密持久存储介质上静态（静态）的数据。

这就是静态加密的目的——保护数据免受存储数据的磁盘的损害。这种妥协在 AWS 中是极不可能的，它有 many layers of security 包括时间限制、最低权限的物理访问和媒体退役策略……但这是静态加密的目的，在某些情况下是必需的（例如某些受监管的行业）。

作为服务的用户，它对您是透明的。您可以在控制台和流中清楚地看到数据，因为从 DynamoDB 存储数据的磁盘读取数据时会解密，就像写入数据时会加密一样。

没有办法证明这种加密发生在 DynamoDB 中，除了依靠 AWS 的断言，即它确实如记录的那样发生——这是一个无法禁用的特征。

数据也在传输过程中被加密——API 交互、向其他服务（例如 Lambda）的移交以及 AWS 控制台本身都使用 TLS (SSL)，它还在另一端提供匹配的透明解密。如果您使用的是 SDK 或第三方客户端库并且您禁用了 HTTPS（或第三方库未实现），则此处的例外情况。