Lambda関数で、データベースへの接続パスワードを環境変数に設定しているが、コンソールやAPIで平文で見えないようにしたい。KMSを使用して暗号化する場合、復号化処理はどこで行う必要があるか。

DynamoDBで、パーティションキーとソートキーの複合キーを使用しているテーブルにおいて、「あるパーティションキーの中で、ソートキーが特定の値より大きい項目」を取得したい。最適な操作はどれか。