为 AWS Lambda 存储私有 SSH 密钥的标准做法是什么

Question

我的 lambda 函数负责 ssh 连接到我们的一些 EC2 实例。目前我只是将我们的密钥文件存储在 lambda 的部署包中，但这显然不是生产的理想解决方案。我已经研究了几种方法，例如将密钥存储在私有 S3 存储桶中，并将其存储为加密的环境变量。但是，我对一直从 S3 存储桶中提取密钥并不感到兴奋，而且加密的环境变量似乎也不会在未来的 lambda 函数中持续存在。为 lambda 使用存储私钥的其他行业标准方法是什么？

Answer 1

您可以将加密的机密存储在Secrets Manager或Parameter Store 中。对于某些类型的机密，您可以让它们在 Secrets Manager 中自动轮换。限制哪些 IAM 角色可以访问机密，您可以减少潜在的滥用。

此外，请注意可用于避免需要通过 SSH 连接到 EC2 实例的选项：

• SSM 运行命令
• EC2 实例连接
• SSM 会话管理器