Ordena la mitad privada según quién tiene una copia

El servicio interno de administración en admin.example.internal sale a producción esta semana. El nombre solo resuelve dentro de la VPC, así que ninguna autoridad pública puede validarlo y el certificado se está emitiendo desde tu propia AWS Private CA. Eso ya está decidido.

Lo que no está decidido es la mitad privada. El servicio necesita una clave privada TLS para el certificado y una clave privada SSH para el host de mantenimiento, y hay cinco propuestas sobre la mesa de dónde residirán esas claves.

Un certificado es público y puedes dárselo a cualquiera. Una clave privada no lo es, y la única pregunta que merece la pena hacerse es cuántas copias existen que no puedes contar ni recuperar.