DynamoDB è cifrato?

Sì. Tutti i dati DynamoDB sono cifrati a riposo per impostazione predefinita, usando chiavi di cifratura conservate in AWS Key Management Service (KMS), e la cifratura non può essere disattivata. Scegli tu il tipo di chiave — una AWS owned key (quella predefinita, gratuita), una AWS managed key o una customer managed key — e i dati in transito sono protetti con HTTPS/TLS.

Cosa copre la cifratura a riposo

La cifratura si applica a tutto ciò che una tabella cifrata memorizza su supporti durevoli: la tabella stessa inclusa la sua chiave primaria, gli indici secondari locali e globali, gli stream, le tabelle globali e i backup. Nota che se la tua tabella ha una chiave di ordinamento, alcune delle chiavi di ordinamento che segnano i confini degli intervalli sono conservate in chiaro nei metadati della tabella.

Le tre opzioni di chiave

AWS owned key — quella predefinita. Posseduta e gestita da DynamoDB, senza costi aggiuntivi.
AWS managed key — conservata nel tuo account e gestita da AWS KMS (si applicano i costi KMS).
Customer managed key — creata, posseduta e ruotata da te, con pieno controllo sugli accessi (si applicano i costi KMS).

Puoi passare da un tipo di chiave all'altro in qualsiasi momento dalla console, dalla CLI o dall'API.

Quanto costano davvero i «costi KMS»

AWS dice che il costo esiste e lascia a te il compito di quantificarlo, quindi si dà per scontato che ci sia una tariffa per richiesta su un database che ne fa milioni. Non è così. La documentazione sulla cifratura è precisa: "DynamoDB doesn't call AWS KMS for every DynamoDB operation. The key is refreshed once every 5 minutes per caller with active traffic."

Il che si riduce a un'aritmetica che puoi verificare. Un chiamante con traffico continuo aggiorna la chiave 12 volte all'ora, quindi su un mese di 730 ore:

Richieste: 12 × 730 = 8.760 chiamate KMS, a 0,03 $ ogni 10.000 = 0,026 $.
La chiave in sé: 1 $ al mese per una customer managed key, proporzionata a ore. Una AWS managed key non ha alcun canone mensile per la chiave, solo il costo delle richieste.

Quindi una customer managed key su una tabella molto usata costa circa 1,03 $ al mese, e la metà relativa alle richieste si muove appena al crescere del traffico. Cinquanta istanze applicative che colpiscono la stessa tabella fanno 438.000 chiamate, ovvero 1,31 $. Se invece DynamoDB avesse chiamato KMS a ogni operazione, una tabella che serve 200 milioni di richieste al mese avrebbe aggiunto 600 $.

Un'altra cosa da mettere a budget prima di scegliere una customer managed key: disabilitarla o pianificarne l'eliminazione porta la tabella in uno stato Inaccessible, e se DynamoDB non riesce a raggiungere la chiave per più di sette giorni la tabella viene archiviata in un backup on-demand che poi ti viene fatturato.

È trasparente per la tua applicazione

DynamoDB decifra i dati in modo trasparente quando li leggi. Non cambi una riga di codice per lavorare con una tabella cifrata, le query funzionano senza modifiche e la latenza resta nello stesso intervallo di millisecondi a una cifra. Per una protezione end-to-end dei singoli valori degli attributi prima che lascino la tua applicazione, AWS offre anche la cifratura lato client tramite l'AWS Database Encryption SDK.

Approfondisci

Anche i backup sono cifrati — vedi come funzionano nella guida a backup e PITR, stima i costi della tabella (KMS è fatturato a parte) con il calcolatore dei prezzi, e scarica DynoTable per sfogliare le tue tabelle cifrate — la decifratura è gestita da AWS prima che i dati raggiungano qualsiasi client.

Riferimenti

Ultima verifica 2026-07-13 rispetto alla documentazione ufficiale AWS collegata sopra. L'intervallo di aggiornamento della chiave KMS e i prezzi usati nella sezione sui costi sono stati recuperati il 2026-07-28.