aws - 秘密管理器 - 当我想从 ec2 访问时如何保护秘密？

Question

我一直在尝试保护我的api_key和token 。 我考虑过使用aws secrets 。

1-如果我从ec2实例上的代码中访问api_key和token ，那么基本上任何获得ec2访问权限的人都可以访问该密钥。 本质上没有额外的安全性？

2-如果我使用lambda访问api_key和token并将结果值存储在database中并再次从ec2访问数据库，我在这里看不到额外的安全性。

我错过了什么吗？ 或者是否有更安全的方式来存储和访问秘密并使其无法从ec2访问？

Answer 1

你是对的。 如果有人可以访问您的 Amazon EC2 实例，那么他们将能够承担通过 IAM 角色授予该实例的权限。

因此，您应该确保限制对 Amazon EC2 实例的访问。

事实上，一些组织采取了删除对生产 EC2 实例的登录访问权限的步骤。 这样做是为了安全，但也是为了限制在受控过程之外进行的更改。 例如，如果某个实例出现问题并且管理员登录并进行了快速修复，那么将没有该修复的记录。 正确的方法是在代码中进行修复，然后使用该修复部署一个新实例（然后终止旧实例）。

限制对 EC2 实例的访问的其他方法是：

• 限制安全组中的 IP 地址范围
• 使用密钥对，而不是密码
• 禁用 SSH 并改为通过 AWS Systems Manager 会话管理器进行访问——所有此类连接都由 AWS 记录，并且访问由 IAM 而不是密钥对控制