EC2管理のキーペアの秘密キーを安全に管理するにはどうすればよいですか？

EC2インスタンスを起動するには、キーペアが必要です。そのキーペアの秘密キーにアクセスできるエンジニアが退職する状況にどのように対処しますか？インスタンスの起動直後に、個々のsshアクセスを追加し、最初のキーペアの認証を解除することはできますか？

従業員または請負業者が退職するときは、会社のリソースへの特権アクセスを無効にする必要があります。これには、sshの主要な懸念事項が含まれます（ただし、これらに限定されません）。

1. 実行中のすべてのインスタンスのすべてのauthorized_keysファイルから公開SSH鍵を削除します。それらを、アクセスが必要な人だけが知っている、新しく生成された公開SSH鍵で置き換えます。

2. 出発者が知っていたEC2のすべてのキーペアエントリを削除して、それらのキーペアで新しいインスタンスを開始できないようにします。それらを新しいキーペアエントリに置き換えます。

あなたが提案する別の方法も適切で、私が使用する方法です。初期sshキーを無効にし、開発者ごとに個別の公開sshキーを追加して、開発者が通常の秘密sshキーでログインできるようにします。これは、共有アカウントにログインする場合、または各開発者が自分の個別のユーザーアカウントを取得する場合に実行できます（私の方を推奨します）。

従業員が退職した後は、実行中のサーバーをクリーンアップするだけでなく、sshキーを新しいサーバーに追加するプロセスもクリーンアップする必要があります。また、従業員が参加するときは、逆の手順を実行する必要があります。実行中のサーバーにSSHキーを追加し、新しいサーバープロセスを更新します。

これは、多くのサーバーにわたって多くのsshキーを維持するためにもう少し作業になる可能性がありますが、自動化の出番です。

この秘密鍵をエンドユーザーに絶対に渡さないでください。エンドユーザーは、公開鍵認証（OWNパスワードで保護された秘密鍵を使用）などの独自のログイン手段をプロビジョニングしてから、LDAP承認を提供する必要があります。

ec2から提供された秘密鍵を配布すると、ユーザーのプロビジョニングを解除できなくなります。これが、共有資格情報の使用がすべてのセキュリティおよびコンプライアンス規制によって完全に禁止されている理由です。

共有資格情報の使用を許可する場合：

• ログを使用して、実際にホスト上にいるか、ホスト上にいたかを知ることは不可能です
• すべてのユーザーをプロビジョニング解除せずにユーザーをプロビジョニング解除することは不可能です（緊急アクセスを含みます。これはEC2秘密鍵が実際に使用するものです）

アクセス認証情報のローテーションに関するAmazonのドキュメントをご覧ください。

すべてを再起動したくない場合、または単にすべて再起動したくない場合は、パペットまたはソリッドsshスクリプトなどを使用して実行し、古いキーのすべてのインスタンスを置き換えます。