mrsaa

все зависит от вашего приложение, возможно несколько вариантов:

1. если ваше приложение умеет раздавать и кешировать статику, обрабатывать роуты самостоятельно, то без нжинкса можно обойтись
   
2. если у вас приложение монолитное и версия фронтенда жестко зависит от версии бекенда, то желательно деплоить службу с двумя контейнерами: нжинкс и бекенд. А порт нжинкса уже мапить в балансировщик
   
3. если приложение не монолитное, то можно распилить фронт и бек по разным сервисам и эндпоинтам, тогда будет удобно скейлить нагрузку.
   

Не очень понятно, новый у вас инстанс или уже был, как и куда вы добавили публичный ключ? Какой у вас инстанс на авс?
Но постараюсь пояснить логику процесса:
1. когда вы создаете инстанс, амазон предлагает сгенерировать или выбрать существующий ключ, этот ключ вам надо сохранить себе на диск.
2. амазон выдает ключ в формате pem и если его открыть в редакторе он начинается на -----BEGIN RSA PRIVATE KEY-----. На самом инстансе публичный сертификат уже зашит на этапе инсталяции.
3. Этот pem ключ можно непосредственно использовать при подключение из терминала (кстати говоря виндовс уже это тоже умеет) ssh -i путь_к_PEM_файлу логин@хост_или_ip
4. если вы хотите подключиться через путти, то PEM ключ надо конвертировать в PPK ключ. Вам надо сохранить именно приватный ключ, тк публичный уже есть на самом сервере. Инструкция как конвертировать по ссылке