Was tun, wenn Sie den SSH-Schlüssel Ihrer Lightsail-Maschine verloren haben

Um sich von einem Terminal aus bei einem Linux-Server anzumelden, verwendet man kein Passwort, sondern einen SSH-Schlüssel: eine Datei auf Ihrem Computer, die die Maschine erkennt. Das ist sicherer als ein Passwort, und genau deshalb gibt es, wenn die Datei verloren geht, kein „Passwort vergessen?“. Sie haben den Laptop formatiert, der Techniker, der den Schlüssel hatte, ist nicht mehr da, die Datei blieb auf einer alten Festplatte: Die Maschine läuft weiter, aber niemand kommt mehr hinein.

Überlegen Sie, was passieren würde, wenn es morgen wäre, mit der Website eines Kunden im laufenden Betrieb: Bei AWS gibt es keinen Support, der für Sie hineingeht; die Maschine gehört Ihnen und der Schlüssel auch. In Lightsail gibt es meist einen Ausweg, weil seine Konsole ein Terminal in der Maschine ohne Ihren Schlüssel öffnen kann und Sie von dort einen neuen hinterlegen. Aber dieser Ausweg scheitert öfter, als man denkt (eine interne Firewall, eine kaputte SSH-Konfiguration, das falsche Häkchen unter Netzwerk), in EC2 gibt es ihn gar nicht, und dann führt der Weg über Snapshots und neue Maschinen, oder nirgendwohin. Diese Anleitung geht alle Auswege durch, vom einfachen bis zum letzten, und endet mit dem, was Sie vorbereiten sollten, um das nie wieder durchmachen zu müssen.

Schritt für Schritt

1. Prüfen Sie, ob die Maschine den Standardschlüssel verwendet

   Öffnen Sie in der Lightsail-Konsole die Maschine. Auf der Registerkarte Verbinden steht, welchen Schlüssel sie verwendet: Steht dort „Standardschlüssel“ Ihrer Region, haben Sie Glück: Gehen Sie zum Menü Ihres Kontos (oben rechts), Konto, Registerkarte SSH-Schlüssel, und laden Sie den Standardschlüssel dieser Region herunter. Mit dieser Datei können Sie sich wieder wie gewohnt anmelden. Hat die Maschine einen Schlüssel verwendet, den Sie selbst hochgeladen oder mit eigenem Namen erstellt haben, lesen Sie weiter.

2. Melden Sie sich über das Browser-Terminal an

   Klicken Sie auf den Button Über SSH verbinden der Maschine. Es öffnet sich ein Terminal in einem Browserfenster, bereits in der Maschine, ohne Sie nach etwas zu fragen: Lightsail verwendet dafür einen eigenen temporären Schlüssel. Wenn es sich öffnet, ist das Problem halb gelöst; jetzt hinterlegen Sie einen eigenen Schlüssel, um wieder von Ihrem Computer aus hineinzukommen.

3. Erstellen Sie einen neuen Schlüssel auf Ihrem Computer

   Unter Windows (PowerShell), Mac oder Linux geben Sie in einem Terminal Ihres Computers ein:

   ssh-keygen -t ed25519 -f ~/.ssh/lightsail-nueva

   Es fragt nach einem Passwort zum Schutz des Schlüssels (empfehlenswert). Es erstellt zwei Dateien: lightsail-nueva (privat, nicht weitergeben) und lightsail-nueva.pub (öffentlich). Öffnen Sie die .pub mit einem Texteditor und kopieren Sie ihre einzige Zeile, die mit ssh-ed25519 beginnt.

4. Fügen Sie den öffentlichen Schlüssel in der Maschine hinzu

   Gehen Sie zurück zum Browser-Terminal und geben Sie ein, wobei Sie Ihre Zeile zwischen die Anführungszeichen einfügen:

   echo "ssh-ed25519 AAAA...tu-clave... comentario" >> ~/.ssh/authorized_keys
   chmod 600 ~/.ssh/authorized_keys

   Das Einfügen im Browser-Terminal geschieht über das Zwischenablage-Symbol des Fensters selbst (Strg+V funktioniert dort nicht immer). Prüfen Sie mit tail -1 ~/.ssh/authorized_keys, dass die Zeile vollständig angekommen ist.

5. Testen Sie von Ihrem Computer aus

   Vom Terminal Ihres Computers aus:

   ssh -i ~/.ssh/lightsail-nueva bitnami@IP-de-la-maquina

   Der Benutzer ist bitnami bei den Anwendungsvorlagen, ubuntu unter Ubuntu, ec2-user unter Amazon Linux oder admin unter Debian. Wenn Sie hineinkommen, bewahren Sie den privaten Schlüssel an einem sicheren Ort auf (ein Passwort-Manager nimmt auch Dateien) und notieren Sie diesmal, wo er liegt.

6. Wenn auch das Browser-Terminal nicht hineinkommt: Snapshot

   Manchmal verhindern eine interne Firewall der Maschine oder eine kaputte SSH-Konfiguration sogar das Browser-Terminal. Dann: Registerkarte Snapshots, erstellen Sie einen (oder nehmen Sie den neuesten automatischen) und daraus Neue Instance erstellen. Im Erstellungsformular wählen Sie im Abschnitt SSH-Schlüssel den Standardschlüssel oder einen neuen. Die neue Maschine ist eine exakte Kopie mit einem Schlüssel, den Sie haben. Verschieben Sie die statische IP auf die neue (Anleitung in diesem Bereich) und löschen Sie die alte, sobald Sie geprüft haben, dass alles läuft. Rechnen Sie mit einer guten Stunde und einer Unterbrechung, und machen Sie es in Ruhe: Das ist der Moment, in dem man am leichtesten noch etwas anderes kaputtmacht.

7. In EC2 gibt es kein Browser-Terminal: das offizielle Verfahren

   In EC2 kann die AWS-Konsole nicht für Sie hineingehen. Es gibt zwei Auswege. Der automatische: AWSSupport-ResetAccess unter Systems Manager → Automation, das die Maschine anhält, über eine Hilfsmaschine auf ihrer Festplatte arbeitet und sie mit einem neuen Schlüssel wieder startet (die Maschine ist einige Minuten angehalten). Der manuelle, für Geübte: die Maschine anhalten, ihre Root-Festplatte trennen, an eine andere EC2-Maschine anhängen, die Festplatte einbinden und Ihren öffentlichen Schlüssel in die authorized_keys des Benutzers eintragen, dann die Festplatte zurückhängen. Hat die Maschine den Systems-Manager-Agenten und eine IAM-Rolle, öffnet Session Manager ein Terminal ohne Schlüssel und erspart Ihnen all das.

8. Und wenn es auch keinen Snapshot gibt

   Das ist das Ende der Kette, und man sollte es nüchtern betrachten. Wenn das Browser-Terminal nicht hineinkommt, wenn es nicht Lightsail ist, wenn die Maschine gelöscht wurde oder die Festplatte beschädigt ist, und keine einzige Kopie existiert, gibt es nichts wiederherzustellen: Die Anwendung, die Datenbank, die Dateien, die Konfigurationen und die Jahre an Arbeit, die darin steckten, sind verloren. AWS kann nicht wiederherstellen, was nicht kopiert wurde, und es gibt keinen technischen Dienst, den man anrufen könnte. Das ist kein seltener Fall: Es passiert jedes Jahr Unternehmen, die die Maschine für „etwas, das einfach läuft“ hielten.

9. Zugang wiederhergestellt: Bereiten Sie vor, was Ihnen das alles erspart hätte

   1. Automatische Snapshots, jede Nacht, und möglichst eine Kopie in einer anderen Region. Das ist der einzige Unterschied zwischen einer Stunde Arbeit und dem Verlust von allem.
   2. Eine Notfalltür, die weder von Dateien auf Laptops noch von der AWS-Konsole abhängt: ein Rettungsbenutzer, der nur von Ihnen signierte Zertifikate akzeptiert, wie die Anleitung zum Ersatzschlüssel erklärt.
   3. Der private Schlüssel in einem Passwort-Manager, geteilt mit denen, die ihn haben müssen, und notiert, wo er liegt.

Was schiefgehen kann