本指南介绍如何构建无服务器令牌化框架，使用称为 “令牌” 的唯一格式化标识符替换敏感数据。 这些令牌可用于代替前端或后端应用程序中的原始数据，从而允许生成令牌，将客户端加密的敏感数据存储在令牌库中，并在必要时检索原始敏感数据。该框架采用了多层安全措施来保护令牌化和去令牌化 API。通过采用这种无服务器方法，组织可以增强数据安全性，同时降低与管理和扩展用于客户敏感数据令牌化的资源相关的成本和开销。此外，还降低了满足合规要求的成本，例如支付卡行业数据安全标准 (PCI DSS) 设定的合规要求，同时有效保护个人身份信息 (PII)。
请注意：[免责声明]
开始使用
Well-Architected 支柱
当您在云中构建系统时，AWS Well-Architected Framework 可以帮助您了解所做决策的利弊。框架的六大支柱使您能够学习设计和操作可靠、安全、高效、经济高效且可持续的系统的架构最佳实践。使用 AWS 管理控制台中免费提供的 AWS Well-Architected Tool，您可以通过回答每个支柱的一组问题，根据这些最佳实践来检查您的工作负载。
上面的架构图是按照 Well-Architected 最佳实践创建的解决方案示例。要做到完全的良好架构，您应该遵循尽可能多的 Well-Architected 最佳实践。
-
卓越运营阅读《卓越运营》白皮书
AWS X-Ray 和 Amazon CloudWatch Logs 支持跨 API 网关、Lambda 函数和 Lambda 层对令牌化事务进行可视化和记录。通过可视化跟踪和收集日志，用户可以更轻松地排除性能瓶颈问题或识别故障。
此外，适用于 DynamoDB 的 AWS 数据库加密软件开发工具包 (SDK) 提供用于加密、解密和密钥管理的 API，与手动服务集成和加密实现相比，减小了开销。
最后，随附的 AWS CloudFormation 模板可自动配置所需资源，简化部署以支持用户进行快速试验，并减小手动配置服务的开销。
-
安全性阅读《安全性》白皮书
为本指南选择的服务可协同工作，以保护 API 访问、保护敏感数据网络、实现细粒度的访问控制、管理加密密钥以降低风险以及强制执行双向 TLS。具体而言，AWS WAF 过滤传入流量，仅允许合法访问令牌化 API，从而阻止分布式拒绝服务 (DDoS) 攻击。Amazon VPC 端点和 AWS PrivateLink 控制对 DynamoDB 敏感数据和密钥存储表的网络级访问。AWS IAM Access Analyzer 为微调访问权限提供洞察。AWS KMS 管理令牌化 Lambda 函数使用的加密密钥。Amazon Cognito 处理令牌化 API 的用户身份验证和授权。最后，适用于 DynamoDB 的数据库加密软件开发工具包从 AWS KMS 生成安全数据加密密钥，并将加密数据存储在 DynamoDB 中。
-
可靠性阅读《可靠性》白皮书
API 网关 的 API 密钥有助于限制不同 API 客户端的 API 速率，并设置每秒管理事务的突发速率限制。AWS KMS 对加密操作设有每秒请求配额，API 节流可防止请求超过当前配额限制。Lambda 使令牌化 API 具有高度可扩展性，可以满足不断变化的敏感数据令牌化需求，而 AWS Serverless Application Model (AWS SAM) 则简化了新代码版本和自动化模板的部署。
此外，使用跨多个可用区 (AZ) 部署的私有子网、具有内置弹性和高可用性的区域服务、多可用区 Amazon VPC 端点和 Amazon DynamoDB 全局表可增强可靠性和可用性。AWS SAM 还在 CloudFormation 的基础上提供了更高级别的抽象，用于定义 Lambda 函数并支持本地单元测试。这些服务共同提供了一个框架，可帮助确保工作负载正确、一致地执行其预期功能，同时还支持快速从故障中恢复。
-
性能效率阅读《性能效率》白皮书
API 网关和 Lambda 支持客户端 (UI) 和服务器之间进行近乎实时、同步、事件驱动的通信。Lambda 函数还可以每秒实时处理数千个令牌化请求。同样，当用户在网页上提交信息时，API 网关每秒可以实时处理数千个 API 请求，从而对敏感数据进行令牌化。
此外，DynamoDB 可以大规模存储非结构化信息，延迟不到几毫秒。此外，DynamoDB 提供了低延迟的数据库层，用于存储加密的敏感信息和生成的令牌。
-
成本优化阅读《成本优化》白皮书
Lambda 函数可以使用 AWS Lambda 功率调整工具，针对价格和性能对内存和 CPU 要求进行优化。用户还可以为需要长期存储不频繁访问的数据的工作负载选择 Amazon DynamoDB 标准-不频繁访问 (标准-IA) 存储类别，从而优化存储成本。Lambda 和 DynamoDB 都提供按需和预置容量选项，以适应各种价格和性能场景。
最后，PrivateLink 通过将网络流量保持在 AWS 网络内并避免产生 NAT 网关（一种网络地址转换 (NAT) 服务）费用来优化数据传输成本。
-
可持续性阅读《可持续性》白皮书
Lambda、API 网关和 DynamoDB 采用动态扩展设计，以满足优化资源利用率的需求，从而减少运行服务器所需的能源消耗。这些无服务器服务可优化资源利用率并动态扩展，以满足对令牌化和去令牌化 API 的需求。存储和计算层可动态扩展以满足传入的流量需求，这反过来又减小了总体能源消耗和环境影响。
相关内容
免责声明
示例代码；软件库；命令行工具；概念验证；模板；或其他相关技术（包括由我方人员提供的任何前述项）作为 AWS 内容按照《AWS 客户协议》或您与 AWS 之间的相关书面协议（以适用者为准）向您提供。您不应将这些 AWS 内容用在您的生产账户中，或用于生产或其他关键数据。您负责根据特定质量控制规程和标准测试、保护和优化 AWS 内容，例如示例代码，以使其适合生产级应用。部署 AWS 内容可能会因创建或使用 AWS 可收费资源（例如，运行 Amazon EC2 实例或使用 Amazon S3 存储）而产生 AWS 费用。
本指南中提及第三方服务或组织并不意味着 Amazon 或 AWS 与第三方之间存在认可、赞助或从属关系。AWS 的指导是一个技术起点，您可以在部署架构时自定义与第三方服务的集成。