创建AWS EC2自定义AMI时cloud-init密码配置及安全问题咨询

1. 所有人可见的SHA-512哈希密码是否有安全问题？如何缓解？ #

SHA-512属于高强度哈希算法，但哈希值被全局可读仍存在风险：攻击者拿到哈希后可通过彩虹表、暴力破解工具撞库，原始密码强度越低，破解成功率越高。

缓解方案：

• 不要在cloud.cfg中存密码哈希：从根源避免敏感信息暴露在全局可读文件里。
• 使用高强度密码：若必须用哈希，确保原始密码是混合大小写、数字、特殊字符的组合，长度不低于12位，大幅提升破解难度。
• 配置后清理敏感内容：完成密码配置后，手动或通过脚本删除cloud.cfg中的密码哈希条目。
• 优先用SSH密钥登录：AWS EC2默认推荐密钥登录，完全规避密码相关安全风险。

2. 通过cloud-init配置用户密码的正确方式？ #

不建议直接在/etc/cloud/cloud.cfg中写入密码哈希，推荐以下方式：

• 用chpasswd模块配合强制改密：在user-data中配置临时密码，让用户首次登录必须修改密码，临时密码仅在实例启动时被处理，不会留存到cloud.cfg：

  #cloud-config
  chpasswd:
    list: |
      ec2-user:TempPass123!
    expire: true
  

• 加密传递user-data：担心传输安全的话，可对user-data加密，实例启动时再解密处理。
• 弃用密码登录：AWS EC2环境下，SSH密钥对是更安全的登录方式，建议直接通过密钥对配置用户登录，彻底规避密码风险。

3. 为什么/etc/cloud/cloud.cfg对所有用户可读？能否仅让root访问？ #

cloud-init的设计逻辑是，该文件包含实例初始化的通用配置（如用户创建规则、模块启用设置等），很多非root进程（比如cloud-init子进程、系统监控工具）需要读取这些配置才能正常工作，因此默认设为全局可读。

如果你的cloud.cfg里包含敏感信息（比如密码哈希），可以修改权限为仅root可读：

chmod 600 /etc/cloud/cloud.cfg

但修改后要测试cloud-init功能是否正常——部分依赖该文件的非root进程可能无法运行。更稳妥的做法是不要把敏感内容放在cloud.cfg中，改用user-data传递，user-data处理完成后不会留存到这个文件里。

内容的提问来源于stack exchange，提问作者YH_