Rangordna den privata halvan efter vem som har en kopia

Den interna admin-tjänsten på admin.example.internal lanseras den här veckan. Namnet går bara att slå upp inom VPC:n, så ingen publik certifikatutfärdare kan validera det, och certifikatet utfärdas från din egen AWS Private CA. Det är redan avgjort.

Det som inte är avgjort är den privata halvan. Tjänsten behöver en privat TLS-nyckel för certifikatet och en privat SSH-nyckel för underhållsvärden, och fem förslag på var dessa nycklar ska förvaras ligger på bordet.

Ett certifikat är publikt och du kan lämna ut det till vem som helst. En privat nyckel är det inte, och den enda frågan som är värd att ställa om en sådan är hur många kopior som finns som du varken kan räkna eller ta tillbaka.