秘密鍵を「誰がコピーを持っているか」で順位付けする

admin.example.internal 上の内部管理サービスが今週リリースされます。このドメイン名はVPC内でのみ名前解決されるため、公的な認証局では検証できず、証明書は自社のAWS Private CAから発行されます。ここまでは決まっています。

決まっていないのは秘密鍵の扱いです。このサービスには証明書用のTLS秘密鍵と、メンテナンス用ホストのSSH秘密鍵が必要で、それらをどこに置くかについて5つの案が検討されています。

証明書は公開情報であり、誰に渡しても構いません。しかし秘密鍵はそうではなく、秘密鍵について問うべき唯一の問いは「数えることも回収することもできないコピーがいくつ存在するか」です。