如何为多个用户管理 EC2 密钥对？答案

【问题标题】：How to manage EC2 key pairs for multiple users?如何为多个用户管理 EC2 密钥对？
【发布时间】：2020-08-07 14:07:50
【问题描述】：

我在一个有 8 人的团队中工作。我需要创建一个 EC2 实例。就在我创建实例之前，EC2 允许我创建一个密钥对然后下载它。

问题是：那样我需要为所有 8 个团队成员共享同一个私钥。

现在，如果明天有一个队友离开会怎样？我需要使用新的密钥对重新创建机器。

如何正确管理密钥，以便每个团队成员都拥有与他/她的 IAM 用户关联的唯一密钥，因此一旦他/她离开公司，我将能够使他/她的密钥失效?

【问题讨论】：

【解决方案1】：

尽量避免将实例的 PEM 提供给所有人，将这些 PEM 保存在密码保险库等工具中。

请记住，要轮换这些 PEM，您需要手动替换任何 Linux 实例上的 authorized_keys，对于使用此 PEM 获取 Windows 密码的 Windows 实例，您需要替换并使用新的 PEM 启动。

AWS 有几个解决方案可以帮助您更轻松地安全访问您的 Linux 实例：

如果您不需要实际 SSH 到主机，而只需要终端访问，您可以使用Session Manager。使用此工具，您可以访问 AWS 控制台中的终端或通过 CLI 连接。与终端的交互可以限定为allow only specific commands，并内置了auditing 的功能。
如果您想连接到终端，可以使用EC2 instance connect。使用此选项，您可以生成临时密钥，然后提供此 via the CLI 以允许使用此 PEM 进行临时访问。运行此命令（并成功）后，您将能够使用带有临时 PEM 的 SSH 终端临时连接到实例。

【讨论】：

【解决方案2】：

我建议考虑使用 EC2 Instance Connect，它使用临时 SSH 密钥并允许您使用 IAM 策略授予访问权限。

否则，我建议使用 Ansible 之类的工具来管理实例队列上的 SSH 密钥，以便您轻松添加或删除密钥。

【讨论】：

【解决方案3】：

您的问题不是 Ec2 本身，而是您想要实现的访问控制模型。

如果所有这 8 个人都需要对实例进行识别和单独访问，最简单的方法是在实例上创建 8 个不同的用户。每个都有不同的 ssh-key。

可以使用为ec2-user或ubuntu用户创建的密钥登录实例，然后创建每个用户并分发。

如果您只需要一个不同的密钥让每个人登录到同一个用户，只需让人们创建 ssh-keys 并与您共享公钥。然后将它们全部放入默认用户 .ssh 文件夹中。

当有人外出时，只需删除 ssh-key。您甚至可以出于历史原因保留他们的用户。

如果实例数量增加，您应该投资一个集中式登录管理工具，例如LDAP

【讨论】：

【解决方案4】：

我会建议查看AWS ops work，这是远程团队的完美选择，我确实为我的一个有很多远程人员的客户配置了它，因为它提供了他能够添加的松弛集成，所以它的工作方式很有魅力，或者使用 slack 命令删除用户。

在运维工作中，您可以创建stack 喜欢

TeamA、TeamB 和 Teamc 因此，用户一次可以是一个或多个堆栈的成员，而 TeamA 只能访问添加到 TeamA 中的实例，因此这也提供了每个团队的实例的逻辑分离。

Opswork 主要用于配置管理，但这确实有助于管理用户对高层管理人员想要控制用户访问而不是 Ops 团队的实例的访问。

【讨论】：