Classifique a metade privada por quem mantém uma cópia

O serviço interno de administração em admin.example.internal entra no ar esta semana. O nome resolve apenas dentro da VPC, então nenhuma autoridade pública pode validá-lo e o certificado está sendo emitido pela sua própria AWS Private CA. Isso já está definido.

O que não está definido é a metade privada. O serviço precisa de uma chave privada TLS para o certificado e de uma chave privada SSH para o host de manutenção, e cinco propostas de onde essas chaves vão ficar estão na mesa.

Um certificado é público e você pode entregá-lo a qualquer pessoa. Uma chave privada não é, e a única pergunta que vale fazer sobre ela é quantas cópias existem que você não consegue contar nem recuperar.