如何在代码之外甚至在服务器之外访问 aws 访问密钥

Question

我有一个棘手的问题，我有一个应用程序，该应用程序的一个实用程序是在 s3 中上传和下载文档。 我的问题是，存储 s3 访问密钥的最佳做法是什么。 我已经存储在一个 config.ini 文件中，并从我的 php 脚本中调用它。 我也知道我可以把它放在 linux 中的 ~/.aws/credentials 上。

但是我想把它放在服务器外面，从他们那里访问，这样即使我的服务器被黑了（是的，我的服务器被一些中国人黑了一次）我也不应该害怕。

提议的想法：

1：我正在考虑做一个密钥服务器（我想把它集中起来，这样我就可以在我的其他项目中使用它），并通过加密、IP 阻塞、授权机制的 http 请求获取密钥。

2：将其存储在适当加密的某个数据库中。

请根据您的想法提出建议。

Answer 1

您的使用案例的最佳解决方案是使用 AWS IAM 角色。创建一个 IAM 角色以访问 S3 存储桶，并在创建实例时将该角色附加到 EC2 实例。这将消除 S3 访问密钥的使用，因此您不必担心密钥被泄露。

阅读本文了解更多详情

https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-ec2.html