标签：KMS

问题一：为什么要在AWS跳板机上优先使用公钥认证而不是密码登录？ 在AWS环境中，跳板机（bastion host）承担着对内部资源的网关职责。采用公钥认证可显著降低被动暴力破解的风险，因为私钥由用户持有、不可被远程猜测；同时，公钥机制便于集中管理和审计，每次登录都可对应到某个密钥或用户。 相比密码登录，公钥认证更利于配合密钥加密与硬件密钥（如

跳板机公钥管理核弹级指南（AWS + IAM） 1. 精华：用AWS原生能力优先替代长期SSH凭证，优先选择SSM Session Manager或短期SSH证书，远离“密钥永生”地狱。 2. 精华：把公钥管理做成可审计、可回滚、可轮换的流水线——公钥上链到版本化仓库或参数存储，私钥加密保存在Secrets Manager并由KMS管理。 3

云端迁移：crt / login 跳板机配置与云服务集成必读 1. 精华：跳板机配置不是简单的SSH转发，而是安全策略、审计与自动化的集合体； 2. 精华：集成云服务（如AWS/Azure/GCP）要优先考虑IAM、MFA与密钥管理（KMS）策略； 3. 精华：生产环境推荐使用托管型或最小暴露的bastion方案，并结合会话记录与临时凭证实现