使用IAM管理AWS EC2 SSH访问权限：高效安全的新方案

使用IAM管理AWS EC2 SSH访问权限：高效安全的新方案

在这个不再维护的项目中，我们看到了一种创新的方法，它允许您使用IAM用户的公共SSH密钥通过SSH访问运行在特定操作系统上的EC2实例。虽然这个项目已经停止更新，但其背后的思想和实践仍然值得借鉴，并可能启发新的解决方案。

项目简介

aws-ec2-ssh 是一个自动化工具，它能将IAM用户与EC2实例的本地用户关联起来，实现基于IAM策略的安全SSH访问。支持的操作系统包括Amazon Linux 2018.03、Amazon Linux 2、Ubuntu 16.04等主流发行版。它依赖于AWS CLI和Git进行安装和配置。

技术分析

该系统的核心在于，首次启动时，所有IAM用户会被导入并创建对应的本地UNIX用户，此后每10分钟会更新一次。登录时，sshd会利用AuthorizedKeysCommand获取IAM的公钥。一旦删除了IAM中的公钥，相应的SSH登录就会被禁用。下图概述了该系统的架构：

[Architecture](./docs/architecture.png?raw=true "Architecture")

应用场景

这个项目特别适合那些希望集中管理和控制对多台EC2实例SSH访问权限的企业或个人。例如，您可以通过IAM组来控制哪些团队成员可以访问特定的服务器，或者仅允许拥有特定角色的用户具备sudo权限。

项目特点

1. 自动化用户管理 - 自动同步IAM用户到本地，无需手动创建或删除用户。
2. 动态密钥管理 - 公钥自动从IAM同步，撤销访问只需删除IAM中的公钥。
3. 灵活的角色和权限控制 - 可设置特定IAM组的成员才能登录，以及哪个组有sudo权限。
4. 跨账户支持 - 支持通过AssumeRole功能实现在多个AWS账户之间的身份验证。
5. 安全性高 - 用户凭据存储在IAM中，而非直接存储在EC2实例上。

尽管aws-ec2-ssh不再维护，但其设计思路对于构建更安全、更高效的AWS云环境仍然有着重要的参考价值。如果您正在寻找这样的解决方案，这个项目提供了一种实用的方法，以适应现代云计算环境下的安全需求。