Classer la moitié privée selon qui en détient une copie

Le service d'administration interne sur admin.example.internal sera mis en ligne cette semaine. Le nom se résout seulement à l'intérieur du VPC, donc aucune autorité publique ne peut le valider et le certificat est émis par votre propre AWS Private CA. Cela, c'est réglé.

Ce qui ne l'est pas, c'est la moitié privée. Le service a besoin d'une clé privée TLS pour le certificat et d'une clé privée SSH pour l'hôte de maintenance, et cinq propositions sur l'endroit où conserver ces clés sont sur la table.

Un certificat est public et vous pouvez le remettre à n'importe qui. Une clé privée ne l'est pas, et la seule question pertinente à son sujet est : combien de copies existent que vous ne pouvez ni dénombrer ni récupérer ?