amazon-web-services - AWS EC2 用户数据加密

Question

我们有从用户那里获取包含密码的输入并将其传递给 EC2 实例的用例。在 Ec2 实例中，我们点击了 URL - http://169.254.169.254/latest/user-data/并获取用户数据并设置适当的密码。
问题是 AWS CLI 工具可以看到用户数据:

aws ec2 describe-instance-attribute --instance-id --attribute userData --output text --query "UserData.Value" | base64 --decode

这带来了巨大的安全风险。
发送敏感/ secret 数据的最佳方式是什么？
我尝试创建一个 key 对，它在本地实例上创建私钥，在 EC2 上创建公钥。使用 PowerShell 加密/解密并将其取回 EC2 的正确方法是什么？

Answer 1

建议的方法是将任何 secret 存储在外部源中。
AWS 有一项用于存储 secret 的服务，Secrets Manager .通过使用此服务，您将创建一个 key ，其中包含您的实例需要在其用户数据中访问的 key 。然后为您的实例提供一个 IAM 角色，该角色具有获取 secret 值的权限，via the AWS CLI .
或者，您也可以使用 AWS SSM Parameter Store服务，将 secret 存储为 SecureString类型。这与您检索 secret via the AWS CLI 的 secret 管理器类似。然后在你的脚本中使用它。
还有Hashicorp Vault等第三方解决方案如果您不想将您的 secret 存储在 AWS 解决方案中，则可以提供类似的功能。