为 AWS Lambda 存储私有 SSH 密钥的标准做法是什么

Question

我的 lambda 函数负责通过 ssh 连接到我们的一些 EC2 实例。目前我只是将我们的密钥文件存储在 lambda 的部署包中，但这显然不是生产的理想解决方案。我已经研究了几种方法，例如将密钥存储在私有 S3 存储桶中，并将其存储为加密的环境变量。但是，我对一直从 S3 存储桶中提取密钥并不感到兴奋，而且加密的环境变量似乎也不会在未来的 lambda 函数中持续存在。还有哪些其他行业标准的存储私钥以供 lambda 使用的方法？

Answer 1

您可以将加密的机密存储在Secrets Manager 或Parameter Store 中。对于某些类型的机密，您可以让它们在 Secrets Manager 中自动轮换。限制哪些 IAM 角色可以访问密钥，您可以减少潜在的滥用。

另外，请注意避免通过 SSH 连接到 EC2 实例的可用选项：

• SSM Run Command
• EC2 Instance Connect
• SSM Session Manager