O que é o controle de acesso de uma instância do Amazon EC2, como se as pessoas comprassem AMI do mercado?

Question

Sou novo na plataforma e no mercado do Amazon EC2, por isso preciso de ajuda com as perguntas que tenho.

Atualmente, nossa empresa está tentando criar uma AMI do Linux personalizada para colocar no mercado, e sou responsável por configurar tudo. Não tenho muita certeza sobre as seguintes coisas quando os clientes carregam uma nova instância:

1. Eles têm acesso ao sistema Linux que pré-configuramos quando recebem a instância? Eu assumo "não" porque eles precisam da chave privada para SSH, mas só eu tenho a chave. Por favor, deixe-me saber o contrário.

2. Como o grupo de segurança é aplicado para a nova instância? Os clientes são responsáveis por configurar as regras de firewall ou o grupo de segurança está vinculado à instância ao criar a AMI?

3. Por padrão, a instância não tem nenhum endereço IP público e, atualmente, tenho que buscar manualmente um endereço IP elástico e conectá-lo à instância. Esta é a responsabilidade do cliente quando carregam uma instância?

Answer 1

Do they have the access to the Linux system that we pre-configured when they get the instance? I assume "no" because they need the private key to SSH but only I have the key. Please let me know otherwise.

Sim, eles fazem. A Amazon rejeitará sua submissão ao mercado se você incorporar quaisquer chaves SSH na AMI, para que você não possa usá-las. As próprias chaves dos usuários serão adicionadas à instância quando forem lançadas.

How is the security group applied for the new instance? Are the customers responsible for setting up the firewall rules or is the security group bound to the instance when I create the AMI?

Os grupos de segurança são aplicados a instâncias, não a AMIs. Então, o cliente seria responsável por configurar isso. No entanto, se seu aplicativo exigir uma configuração de grupo de segurança específica, você poderá distribuir um modelo do CloudFormation com sua AMI, o que facilita a configuração correta do cliente.

By default the instance does not have any public IP addresses, and currently I have to manually fetch an Elastic IP address and hook it to the instance. Is this the responsibility of the customer when they load an instance?

Sim, é responsabilidade dos clientes. No entanto, um modelo do CloudFormation também poderia ajudar aqui.