11、构建安全的 SSH 堡垒主机：从基础搭建到安全强化

构建安全的 SSH 堡垒主机：从基础搭建到安全强化

1. 构建安全入口点

在实例镜像（AMI，Amazon Machine Image）中预构建用户和密钥是一种不错的做法，但前提是你能定期用新版本的密钥更新镜像。对于大型组织而言，维护用户公钥列表需要一定的技术手段。个人比较倾向于将公钥存储在 LDAP 中，并让用户自行管理。这样，配置工具只需从 LDAP 中获取密钥并部署到实例上即可。你也可以使用 GitHub 实现类似的功能。关键在于确保服务器上的公钥能定期与真实数据源进行同步。

当你将公钥上传到 AWS 后，接下来就可以创建堡垒主机的 EC2 实例了。

2. 在 EC2 中创建堡垒主机

创建堡垒主机的 EC2 实例，可按以下步骤操作：
1. 创建一个安全组，用于容纳堡垒主机，并允许对 TCP/22 端口进行公共访问。
2. 创建一个带有公共 IP 和之前上传的 SSH 密钥的 Ubuntu 实例。
3. 实例创建完成后，连接到该实例并在其上创建新用户。

2.1 创建安全组

以下命令用于创建安全组并开放 SSH 访问：

$ aws ec2 create-security-group \
--group-name invoicer-bastion-sg \
--description "Invoicer bastion host"
{
    "GroupId": "sg-f14ff48b"
}
$ aws ec2 authorize-security-group-ingress \
--group-nam