Упорядкуйте «приватну половину» за тим, у кого є копія

Внутрішній адмін-сервіс на admin.example.internal стартує цього тижня. Ім'я розв'язується лише всередині VPC, тож жоден публічний центр сертифікації не може його підтвердити, і сертифікат видається вашою власною AWS Private CA. Із цим усе вирішено.

Невирішеним залишився приватний компонент. Сервісу потрібен приватний TLS-ключ для сертифіката та приватний SSH-ключ для хосту техобслуговування, і на столі — п'ять пропозицій, де зберігати ці ключі.

Сертифікат — публічний, і його можна передати будь-кому. Приватний ключ — ні, і єдине вартісне питання про нього: скільки існує копій, які ви не можете порахувати або відкликати.