Amazonが公開鍵ではなく秘密鍵をリリースするのはなぜですか？

私の脳は、公開鍵と秘密鍵の軸に巻き付けられています。AmazonのEC2サービスでクラウドサーバー（インスタンス）を作成し、SSH経由で接続する場合、Amazonは接続を確立するために秘密鍵をダウンロードする必要があります。公開鍵/秘密鍵の背後にある考えは、Amazonが公開鍵をダウンロードすることを要求するべきだと示唆していませんか？

さらに、顧客が使用するSFTPサーバーをセットアップした場合、サーバーにキーをインストールするか、サーバーからキーを提供する必要がありますか？どちらの場合でも、それは公開鍵または秘密鍵のどちらですか？

認証プロセスについてより深く考えて、何を秘密にしておく必要がありますか？Amazonはキーの公開半分を知っており、誰でも公開半分を知ることができます。キーペアのパブリック半分は、プライベート半分と一致した場合、プライベート半分が認証に使用されたことを示します。

Amazonがキーペアを生成するときに提供される秘密鍵は、それを所有しているのが自分だけである場合にのみ役立ちます。秘密ではない場合、それを知っている他の誰もが、鍵のペアの半分を公開している人に対しても認証できます。

認証されている人は誰でもプライベートの半分を保持する必要があります。世界中の誰もが公開鍵の半分を保持することであなたを認証できれば大丈夫ですが、あなただけが私用の半分を管理する必要があります。

一部のオペレーティングシステム（咳、Windows、咳）でSSHキーペアを簡単に生成できないため、Amazonはキー生成サービスを提供しています。

SSH（およびSFTP）を使用すると、EC2インスタンスの起動時に公開キーがユーザーのauthorized_keysファイルにインストールされます。秘密鍵はユーザーのみが保持し、サーバーに対して認証するために提示されます。

次のドキュメントから：

http://docs.amazonwebservices.com/AWSEC2/latest/APIReference/ApiReference-query-CreateKeyPair.html

Amazonがサーバー上でキーペアを生成し、プライベートキーをHTTPS経由で送信しているようです。これはおそらく完璧ではありません（理想的には、あなたと他の誰も秘密鍵を所有することはありません）が、おそらくすべてはあなたの認証されたセッションのコンテキストで発生し、あなただけ（そして一時的にAmazon）秘密鍵。また、秘密鍵を厳密に秘密に保ちながら、EC2で使用するための独自の公開鍵をいつでも生成およびアップロードできます。

キー認証用にSFTPユーザーをセットアップするには、マシンでSSHキーを生成する必要があります。キーペアを生成すると、関連するauthorized_keysファイルにインストールする公開キーのみが送信されます。秘密鍵は、その名前が示すとおり、秘密です。

公開鍵認証は、おそらくあなたが考えている方法とは逆の方向で機能します。公開鍵はメッセージを暗号化し、秘密鍵はメッセージを復号化します。サーバーはアカウント所有者の公開鍵を保存し、それを使用してメッセージを暗号化します。秘密鍵の所有者のみがそのメッセージを解読できます。

公開鍵で暗号化された秘密を誰かに送信し、その秘密が何であるかを伝えることができれば、一致する秘密鍵を保持していることがわかります。その後、ユーザーは認証されます。

セキュリティ上の理由により、AWSでは秘密キーを保存しないため、ダウンロードして保存する必要があります。秘密鍵はAWSのどこにも保存されないため、EC2インスタンスが安全であると確信できます。

ある意味では、それは問題ではありません。秘密/公開キーペアは2つの部分で構成されており、どちらが公開かはユーザー次第です。何かが1つのキーで暗号化されている場合、それを解読するにはもう1つが必要です。一方のキーを公開し、もう一方を公開していない場合、秘密キーは公開しなかったキーです。

実際の質問にたどり着く：おそらくAmazonが提供する重要なことは、あなたがあなた自身のリソースを制御できるようにすることです。このコンテキストでは、少なくともセットアップするのに十分な時間、秘密鍵を持っていることをAmazonに信頼する必要があります。

顧客にこの方法でログインさせたい場合は、顧客と共有する準備ができている鍵を提供する必要があるため、顧客の公開鍵です。これをauthorized_keysのサーバーにインストールします。これは、「この公開キーに一致する秘密キーを提示する人は誰でもこのリソースにアクセスできます」と事実上言っています。