AWS EC2忘记密钥怎么办？这几种方法可以恢复

AWS EC2忘记密钥怎么办？这几种方法可以恢复

如果你正在用AWS EC2，突然发现密钥文件丢了或者密钥对找不到了，其实不用太担心。虽然AWS不会帮你备份私有密钥，但恢复访问权限的办法还是有的。这篇文章就来给你介绍几个实用的解决方案，帮你快速重新访问实例。

理解EC2密钥对机制

在讲怎么恢复之前，先得明白AWS EC2密钥对是怎么工作的。密钥对由公钥和私钥组成，当你启动实例时，公钥会被存放在实例的~/.ssh/authorized_keys文件里，私钥则由你自己保管。连接实例时需要用对应的私钥进行身份验证。

这里有个重点要注意：AWS根本不会保存你的私钥。也就是说，私钥一旦丢了，AWS也无法帮你找回。不过别急，这不代表实例就彻底无法访问了，你完全可以通过其他途径重新获得访问权限。

方法一：使用AWS Systems Manager快速恢复

如果你的EC2实例已经装了AWS Systems Manager代理，这是最简单快捷的办法。

AWS有个叫AWSSupport-ResetAccess的自动化工具，能帮你快速重置密钥。它的工作流程是这样的：

1. 从当前实例生成新的AMI - 创建一个启用了密码的Amazon Machine Image
2. 用其他密钥启动临时实例 - 利用你已有的密钥对启动新实例
3. 生成新的SSH密钥 - 在新实例上创建密钥，加密后存到AWS Systems Manager Parameter Store
4. 恢复原实例访问 - 把根卷重新挂回原始实例

整个过程在AWS控制台里就能完成，不用手动操作那么多步骤。对于Linux实例，新生成的SSH密钥会以/ec2rl/openssh/{instance-id}/key的格式保存在Parameter Store里，你直接下载就能用。

这个方法的好处是全自动化，很适合大多数人。唯一的前提是实例必须配置好IAM权限和Systems Manager代理。

方法二：挂载卷到其他实例进行恢复

如果Systems Manager用不了，你可以试试手动挂载根卷的办法。这个方法需要几个步骤：

第一步：创建新的密钥对

登录AWS EC2控制台，在"Network & Security"里找到"Key Pairs"，创建一个新的密钥对并保存好。

第二步：停止原实例并分离根卷

1. 在EC2控制台找到那个无法访问的实例，点击"停止"
2. 等实例完全停止后，记下它的根卷ID
3. 进入"Volumes"菜单，找到那个卷，右键选择"Detach Volume"

第三步：启动临时实例

用你已有的有效密钥对启动一个临时EC2实例，记住要和无法访问的实例在同一个可用区。

第四步：把卷挂到临时实例上

1. 在临时实例上右键，选择"Attach Volume"
2. 选择之前分离的根卷
3. 记下挂载点（通常是/dev/sdf或类似的路径）

第五步：修改authorized_keys文件

通过SSH连接到临时实例，挂载分离的卷，然后找到无法访问实例的authorized_keys文件：

sudo mkdir /mnt/recovered
sudo mount /dev/xvdf1 /mnt/recovered

进入挂载目录，编辑authorized_keys文件：

sudo nano /mnt/recovered/home/ubuntu/.ssh/authorized_keys

把新密钥对的公钥内容加到这个文件里。

第六步：卸载并恢复

1. 卸载分离的卷：sudo umount /mnt/recovered
2. 在EC2控制台分离这个卷
3. 把卷重新挂到原始实例（作为根卷）
4. 启动原始实例
5. 用新的密钥对连接实例
6. 终止临时实例

这个方法虽然步骤比较多，但能彻底恢复访问权限。对于没有配置Systems Manager的实例来说，这是最靠谱的方案。

方法三：从实例创建AMI重新启动

如果你不想或者不能通过挂载卷的方式操作，还有个相对简单的替代方案：

1. 停止原实例 - 在EC2控制台停止实例
2. 创建AMI - 右键点击实例，选择"Image and templates" → "Create image"，生成新的Amazon Machine Image
3. 用新密钥启动 - 从这个AMI启动新实例，这次用你已有的有效密钥对

这个方法的好处是过程简洁，但代价是你会得到一个新实例，原实例的弹性IP、安全组配置等都需要重新设置。如果原实例的配置和数据不是特别重要，这倒是个快速的解决办法。

方法四：使用Session Manager绕过密钥认证

还有一个经常被人忽视的方法：AWS Systems Manager Session Manager。

只要你的EC2实例配置了相应的IAM角色和权限，即便没有密钥对，也能直接通过浏览器或AWS CLI连接到实例，完全不用密钥恢复。

Session Manager的优势挺明显的：

• 不需要SSH密钥或密码
• 所有会话都有记录，方便安全审计
• 可以直接在浏览器里打开终端

对于已经配置好的现代基础设施特别有用，既解决了密钥丢失的问题，还能提升安全性。

预防措施和最佳实践

既然已经经历过这种困境，不妨记住这些预防建议：

1. 妥善备份密钥文件

• 把私钥保存在安全的地方，比如加密的密钥管理服务
• 千万别把密钥上传到云存储或公开仓库
• 定期备份到离线介质

2. 使用密钥管理服务

• 考虑用AWS Secrets Manager或Parameter Store
• 对敏感密钥进行加密存储

3. 配置Session Manager

• 为所有生产实例配置Session Manager作为备用访问方案
• 这样就能减少对SSH密钥的依赖

4. 实施IAM最佳实践

• 定期轮换密钥对
• 不同用途用不同的密钥对
• 记录密钥对的使用情况

5. 多层级访问控制

• 不要所有实例都用同一个密钥对
• 开发、测试、生产环境分别使用不同的密钥对

常见问题解答

Q: 我能通过AWS支持部门恢复丢失的密钥吗？ A: 不行。AWS明确表示不会保存私钥的副本。不过AWS支持可以帮你用自动化工具（比如AWSSupport-ResetAccess）来恢复实例访问。

Q: 恢复后原实例的数据会丢失吗？ A: 不会。无论用哪种方法恢复，实例的数据盘和操作系统都完整无损。只是改变了你的访问凭证。

Q: 挂载卷到其他实例会对原实例造成伤害吗？ A: 只要操作得当就不会。但一定要确保原实例已经完全停止，这样才能避免文件系统损坏。

Q: 多久需要更换一次EC2密钥对？ A: 建议定期轮换，特别是在这些情况下：员工离职、怀疑密钥泄露，或者按照安全审计的要求。

总结

EC2忘记密钥虽然是个常见问题，但绝对不是无法解决的。根据你的具体情况选择合适的方法：

• 首选： AWS Systems Manager的AWSSupport-ResetAccess（最快捷）
• 备选： 挂载卷到其他实例手动恢复（最可靠）
• 次选： 从AMI创建新实例（最简洁，但需要重新配置）
• 长期保障： 配置Session Manager作为访问备选

最关键的还是提前做好预防工作。妥善保管密钥文件，配置多种访问方式，能够大幅降低因密钥丢失导致的业务中断风险。