在 AWS EC2 上保护/加密数据库密码答案

【问题标题】：Securing/Encrypting Database Password on AWS EC2在 AWS EC2 上保护/加密数据库密码
【发布时间】：2018-03-06 05:14:40
【问题描述】：

我有一个面向公众的 AWS EC2 服务器，它有 mongoDB 服务器的数据库密码。如何加密数据库密码？
我找到了一种使用密钥管理服务的方法，但由于要与 KMS 通信，我必须将我的 AWS 访问权限和密钥保存在服务器上才能访问 API。如果有人通过运行 CLI 闯入服务器，是否有人无法获取密码？

【问题讨论】：

EC2 实例的最低权限 IAM 角色与 EC2 Parameter Store 相结合用于管理机密是标准解决方案。而且您始终需要实施最佳安全实践来防止黑客获得对系统的访问权限（AWS 提供 IAM、安全组、IP 白名单选项等来提供帮助）。

【解决方案1】：

您不需要在 EC2 上存储访问 + 密钥。

您可以改为将 AWS IAM 实例配置文件分配给 EC2，从而允许 EC2 执行 KMS 解密。

也就是说，让面向公众的服务器与您的数据库通信仍然不是一个好主意。获得访问权限的攻击者可以使用 IAM 实例配置文件对密钥进行 KMS 解密。

将您的 EC2 放入 ALB，并将 ALB 公开到 Internet。仅将您的 Web 流量从 ALB 公开给 EC2。

【讨论】：