问最佳实践: AWS EC2私钥

EN

只是为了扩大对“steenhulthin”的回答。

我认为最好将EC2生成的密钥对看作实例中的主密钥，并且它是可选的。它不是一个管理用户级访问的系统。

我认为最佳做法如下

我需要远程登录到实例吗？

是的:用密钥对创建EC2实例

我认为最佳实践是在每个实例中创建一个EC2密钥对。如果密钥对受到损害，则曝光仅限于该实例。但是，每个实例的密钥对可能很难管理，如果是这样的话，请找到一些逻辑方法对实例进行分组，并在每个组中使用密钥对。例如，按角色或角色以及应用程序分组。

否:创建没有密钥对的EC2实例。

这显然更安全，因为您没有密钥可丢失/受损。该实例本质上无法通过传统方法访问。按照这种方法，实例管理/配置必须完全自动化(主厨、木偶等)。这是一个代价更高的选择。总的来说，这会使实例更加安全，这将引起争论，并取决于您的自动化配置方式。

管理EC2密钥对的最佳实践是什么？这是我目前还没有一个很好的答案。

你需要允许人类远程访问这些实例吗？正如@steenhulthin建议的那样，要么为每个用户创建本地用户帐户，要么使用一些集中化的雅典和授权。

此外，您还可以为远程管理访问维护一个专用实例(SSH或RDP)，只为公共访问打开此实例(IP地址)，并将SSH和/或RDP限制在所有其他实例上，仅限于管理站。

我认为这个问题可能更适合serverfault.com。

尽管如此:如果您单独处理这些实例，我不认为创建每个实例的键区有任何意义。我认为键盘应该是每个用户。

如果多个用户应该访问机器，我将在ec2实例上添加一个新的键区，如下所述：https://forums.aws.amazon.com/message.jspa?messageID=185184，并在这里更详细地介绍键盘生成过程：http://seabourneinc.com/2011/01/19/change-key-pairs-on-aws-ec2-instance/

我写了一篇关于SSH最佳实践的文章，包括密钥管理、端口转发和代理转发。你可能会发现它很有用。这是链接。

一些好的事情是：

1. 每人拥有一个SSH密钥
2. 保护你的SSH密钥-永远不要共享私钥，如果可能的话加密
3. 永远不要使用AWS生成的密钥
4. 使用个人登录(用户)ID，不要使用普通登录。

本文还提到了与SSH和用户访问有关的其他事情。