はじめに
背景
この文書はAWSキーペアについてやさしく解説します。AWSキーペアは、Amazon EC2などの仮想サーバーに安全に接続するための仕組みです。公開鍵と秘密鍵という2つの鍵の組み合わせで成り立ちます。
簡単なイメージ
鍵の仕組みは郵便受けの鍵に似ています。公開鍵は誰でも見ることができる住所のようなもので、秘密鍵は自宅の鍵のように自分だけが持つものです。秘密鍵を使って初めて安全に中に入れます。
本書の目的
本書はキーペアの構成や機能、使うときの注意点を分かりやすく説明します。これからAWSでサーバー運用やテストを行う方が安全に接続できるようにすることを目的としています。
想定読者
AWSの初心者や基本を復習したい方を想定しています。専門用語はできるだけ避け、具体例を交えて説明します。
本書の構成
第2章でキーペアの基本、第3章で構成と機能、第4章で使用上の注意点を扱います。順を追って学べば理解しやすい構成です。
AWSキーペアとは
概要
AWSキーペアは、Amazon EC2インスタンスへ安全にログインするための認証情報です。公開鍵と秘密鍵の2つで成り立ち、公開鍵はEC2側に置き、秘密鍵は利用者が大切に保管します。鍵を使うため、パスワードより安全です。
仕組み（やさしい説明）
公開鍵暗号方式と呼ばれる仕組みを使います。例えると、ドアの鍵穴（公開鍵）は誰でも見られますが、実際にドアを開ける鍵（秘密鍵）はあなただけが持っています。EC2は公開鍵であなたの秘密鍵が正しいかを確かめて、合っていれば接続を許可します。
作成と利用の流れ
- AWSコンソールやssh-keygenでキーペアを作成します。コンソールなら.pemファイルを一度だけダウンロードします。
- EC2を起動するときにそのキーペアを指定します。
- ダウンロードした秘密鍵を安全に保管し、sshやSCPで接続するときに指定します（例: ssh -i mykey.pem ec2-user@）。
具体例と注意点
秘密鍵は第三者に渡さないでください。紛失するとそのインスタンスへ直接ログインできなくなります。必要ならバックアップを取るか、新しいキーペアを導入する準備をしておきます。
構成と機能
構成
AWSのキーペアは、公開鍵（public key）と秘密鍵（private key）の2つで成り立ちます。公開鍵はEC2インスタンス側に置きます。秘密鍵は利用者が自分の端末で安全に保管します。たとえば、公開鍵がサーバーの鍵穴、秘密鍵がその鍵だとイメージすると分かりやすいです。
鍵の配置と保管
- 公開鍵：インスタンス作成時にEC2の~/.ssh/authorized_keysに登録されます。サーバー側で認証に使います。
- 秘密鍵：ダウンロードして自分のPCで保管します。一般にホームディレクトリの.sshフォルダに置き、アクセス権を厳しくします（具体例：他人が読めないように設定）。
認証の仕組み
SSHで接続する際、サーバーは登録された公開鍵と接続者が持つ秘密鍵を突き合わせます。秘密鍵で署名できれば本人と見なされ、パスワード入力なしで接続できます。これによりブルートフォース攻撃のリスクが下がります。
主な機能と利点
- パスワード不要の安全な認証：鍵は推測されにくいため安全性が高いです。
- 利便性：自動化スクリプトやCIでの接続に向きます。たとえばデプロイ時のログイン自動化。
- 管理しやすい：鍵を無効にして新しい鍵を登録すればアクセス権を切り替えられます。
運用のポイント
- 秘密鍵は複製を最小限にし、安全な場所に保管してください。
- 定期的に鍵を更新すると安全性が向上します。
- 必要な権限だけ与え、鍵をなくした場合は速やかに公開鍵を削除してください。
使用上の注意
秘密鍵ファイルの保管
キーペアの秘密鍵（.pem）は第三者に渡すと不正アクセスにつながります。ダウンロード後は安全な場所に移し、普段はオンラインストレージに置かないでください。例えば個人のUSBや暗号化したストレージに保管する方法があります。
アクセス権とパスフレーズ
秘密鍵ファイルのアクセス権を厳しく設定してください（例: UNIX系で600）。可能であれば鍵にパスフレーズを付けておくと、ファイルが漏れても利用を防げます。
共有・配布の禁止
チーム内でも秘密鍵を直接共有しないでください。必要な場合はユーザーごとに鍵を発行するか、踏み台（例: バスチオン）経由でアクセスを制御します。これは最小権限の原則に沿います。
バックアップとローテーション
鍵を紛失すると元に戻せないため、暗号化してバックアップを取ってください。定期的に鍵を更新（ローテーション）し、古い鍵は速やかに無効化します。
紛失時の対応と復旧
秘密鍵を紛失した場合、鍵自体は復元できません。インスタンスへのアクセス回復は、別の鍵での接続設定やサービス（例: マネージド接続機能）を使って行います。影響がある鍵は直ちに無効化し、ログを確認して不審なアクセスがないか確認してください。
実用的な運用ポイント
・鍵の配布は最小限にし、記録を残す
・SSHエージェントや鍵管理ツールで運用を楽にする
・アクセスログと監査を定期的に確認する
これらを守ることで、鍵の漏えいや不正利用のリスクを大幅に下げられます。
