AWS SSH 密鑰是否符合 HIPAA 或 Sox 標准？

Question

AWS 通常使用在創建實例時分配的 SSH 密鑰來促進通過 ssh 訪問 EC2 實例。 這些密鑰通常會在管理團隊之間共享以維護實例。 為數千個 EC2 實例管理這些密鑰本身就很困難，因為密鑰輪換很繁重，而且對誰可以使用密鑰沒有限制。

因此，在團隊成員之間共享 EC2 ssh 密鑰是否符合 HIPAA 和/或 Sox 標准？

我知道 Instance Connect 通過使用 IAM 在控制 ssh 訪問方面做得更好，但令人驚訝的是，我還沒有看到很多公司使用 Instance Connect。 即使在需要 HIPAA 或 Sox 合規性的公司中，共享 ssh 密鑰似乎也太普遍了。

Answer 1

AWS 通常使用在創建實例時分配的 SSH 密鑰來促進通過 ssh 訪問 EC2 實例。 這些密鑰通常會在管理團隊之間共享......

不。

創建時使用的密鑰通常應在第一次連接后立即替換為您自己的新鮮且值得信賴的生成的密鑰。 它不是共享的。 只有菜鳥共享密鑰。 多個用戶 = 多個密鑰。

共享密鑰以訪問敏感數據甚至不完全符合 GDPR，因此 100% 不符合 HIPAA。

免責聲明：我不是律師。