Une entreprise possède des instances Linux EC2 auxquelles les utilisateurs accèdent via SSH avec des paires de clés SSH EC2. Chaque instance doit avoir une paire de clés EC2 unique. L'entreprise exige un processus de rotation automatique à la demande qui fait pivoter toutes les paires de clés EC2 et stocke les clés de manière sécurisée et chiffrée. L'entreprise peut tolérer moins d'une minute d'indisponibilité pendant la rotation. Quelle solution répond à ces exigences ?

La bonne réponse est de stocker les clés privées dans AWS Secrets Manager et d'utiliser une fonction Lambda pour la rotation. Secrets Manager est conçu pour stocker et gérer les secrets de manière sécurisée, y compris les clés SSH, et offre une rotation automatique via des fonctions Lambda. La fonction Lambda peut générer de nouvelles paires de clés, mettre à jour les clés publiques sur les instances EC2 via l'API EC2 ou SSH, et stocker les nouvelles clés privées chiffrées dans Secrets Manager. L'indisponibilité sera minimale car la rotation peut être effectuée rapidement. Stocker les clés privées dans Parameter Store en tant que chaînes brutes n'est pas sécurisé et ne prend pas en charge la rotation nativement. Importer les paires de clés SSH EC2 dans KMS n'est pas applicable, car KMS gère les clés de chiffrement, pas les paires de clés SSH pour l'authentification. Fleet Manager et Run Command sont des outils de gestion d'instances, mais ne gèrent pas la rotation sécurisée des paires de clés SSH de la même manière que Secrets Manager.