Der beste Weg, um Ihre EC2-Schlüsselpaare, die nur SSH-Schlüssel sind, zu schützen, besteht darin, sie mit einer Passphrase zu verschlüsseln (und Ihren normalen Passwortverwaltungsprozess für diese Passphrase zu befolgen). Angenommen, Sie verwenden Linux, können Sie ssh-keygen -p -f $fileden Schlüssel verschlüsseln. Sie sollten ein Backup aufbewahren, das vorzugsweise physisch gesichert ist (z. B. ein USB-Stick in einem Safe oder Ähnlichem). Ich gehe davon aus, dass Sie über die private Hälfte des Schlüssels sprechen, da der öffentliche Schlüssel offensichtlich öffentlich ist.
Theoretisch ist es besser, den Schlüssel auf einem TPM auf Ihrer Workstation oder auf einer Smartcard zu speichern, aber es gibt normalerweise praktische Probleme mit dieser Lösung, wenn Sie mit SSH-Schlüsseln arbeiten.
Ob es schlecht ist, den Schlüssel auf Ihrem Heim-PC zu speichern, hängt davon ab, ob dies einen Verstoß gegen die Richtlinien darstellt. Wenn dies nicht der Fall ist, gibt es kaum einen Grund, dies als schlimmer anzusehen, als es auf einem Laptop zu speichern, den Sie für die Arbeit verwenden.
Sie können sicher eine Sicherung des Schlüssels in S3 (anstelle einer physischen Sicherung) durchführen. Das Bedrohungsmodell ist so, dass Sie bereits einen sehr schlechten Tag haben (unter anderem in Bezug auf Datenlecks und Dienstunterbrechungen), wenn jemand auf Ihr AWS-Konto zugreifen kann. Wenn es jedoch keinen Sicherheitsprinzipalen gibt, der möglicherweise mit Ihrem Schlüssel Zugriff auf den S3-Bucket hat, sich jedoch nicht bei den Computern anmelden darf, müssen Sie einen anderen Weg finden. Wenn Sie eine Kopie in S3 speichern, stellen Sie zumindest sicher, dass sie mit einer Passphrase verschlüsselt ist.