Расставьте приватные ключи по числу тех, у кого есть копия

Внутренний административный сервис на admin.example.internal запускается на этой неделе. Это имя разрешается только внутри VPC, поэтому ни один публичный удостоверяющий центр не может его подтвердить, и сертификат выпускается вашим собственным AWS Private CA. Это уже решено.

Что пока не решено — так это судьба приватной части. Сервису нужен приватный TLS-ключ для сертификата и приватный SSH-ключ для хоста обслуживания, и на столе лежат пять предложений о том, где эти ключи будут храниться.

Сертификат публичен, и его можно передать кому угодно. Приватный ключ — нет, и единственный стоящий вопрос о нём — сколько существует копий, которые вы не можете ни посчитать, ни отозвать.