在EC2实例创建中使用“无密钥对继续”？

Question

我是AWS的新手，并探索可用的不同选项。在选择“如果没有密钥对继续”的情况下创建实例时，我们无法连接到实例。文档中还有一条说明，说明不应选择此选项。

那么这个选项的主要用途是什么？

我们在哪些场景中使用它？

Answer 1

选项Proceed without key pair用于：

• 当您的AMI中的sshd配置为使用基于密码的身份验证时，访问该计算机不需要ssh密钥
• sshd可以接受一些其他username/key组合
• 如果未经授权的用户获得对AWS仪表板或元数据的访问权限，他/她可以获取密钥对的名称，如果他/她有权访问密钥对，则可以访问该实例。由于没有列出密钥对，并且AMI中出现了另一个已知密钥，因此解决了这一安全问题
• Windows：不需要管理员密码（需要私钥才能解密），因为其他一些用户是管理员
• 警告：如果启动没有密钥对的实例并且没有上述任何方法来访问实例，则必须使用密钥对重新启动实例。

Answer 2

例如，“无密钥对继续”可用于从AMI创建的实例，其中用户名和密码已为创建实例的一方所知。

密钥对通常用于在AMI上生成登录凭据，其中已安装了用于生成凭据的代理。这些是AWS自己维护的大多数AMI。根据操作系统，AWS维护的AMI的默认行为略有不同：

• Linux：在SSH连接到EC2实例时，您提供密钥对的私有部分。根据您使用的linux的风格，用户名会有所不同，see here了解更多详情。
• Windows：如果最终用户可以提供密钥对的私有部分，则EC2Config代理会在启动期间为默认的“管理员”窗口用户生成密码，该密码可通过AWS控制台或CLI获得。

进一步阅读：

• AWS Documentation - Keypairs
• AWS Documentation - Accessing Instances
• AWS Documentation - Troubleshooting connecting to instances

Answer 3

不上传默认用户帐户的密钥会使实例更安全 - 密钥的私有部分可能由前工作人员等找到或使用。

如上所述，如果您使用的AMI设置了其他方式，您可以通过其他方式访问服务器 - 例如密码等。

您还可以使用用户数据脚本来设置用户，密码，密钥等，以便在首次创建实例时启用访问权限。

如果实例已安装amazon-ssm-agent（并且此代理默认安装在AWS Amazon Linux AMI中），您也可以使用AWS Systems Manager访问服务器。 AWS Systems Manager使您可以在浏览器中打开终端会话。看着：

https://eu-west-1.console.aws.amazon.com/systems-manager

并查看“远程连接”下的“探索会话管理器”。