Ein Terminal Ihrer AWS-Maschine im Browser öffnen, unter Linux und Windows

Früher oder später muss man "in den Server hinein": einen Dienst neu starten, nachsehen, warum die Festplatte voll ist, ein Protokoll lesen. Und da taucht die ewige Frage auf: Wer hat den Schlüssel? Ein Terminal im Browser räumt das Problem aus dem Weg: Auf dem Rechner dessen, der sich anmeldet, muss nichts installiert werden, es muss ihm kein Schlüssel per E-Mail geschickt werden, und es wird protokolliert, wer sich angemeldet hat. Diese Anleitung erklärt, was AWS dafür in jedem Fall bietet und welche Schritte nötig sind.

Schritt für Schritt

1. Linux in Lightsail: die Webkonsole

   In der Lightsail-Konsole hat jede Linux-Maschine die Schaltfläche Über SSH verbinden. Es öffnet sich ein Terminal im Browser, ohne etwas zu konfigurieren: Lightsail erzeugt einen temporären Schlüssel, legt ihn für ein paar Minuten auf der Maschine ab und meldet sich als Benutzer des Images an (bitnami, ubuntu, ec2-user …). Das ist bequem und sicher. Was es nicht bietet: Berechtigungen pro Person (wer in die AWS-Konsole kommt, kommt in alle Maschinen), ein Protokoll, wer was geöffnet hat, und eine Möglichkeit, es einem externen Techniker zu geben, ohne ihm Ihr AWS-Konto zu geben.

2. Linux in EC2: Session Manager

   In EC2 gibt es diesen temporären Schlüssel nicht. Die Option ohne Client ist Session Manager von Systems Manager: Die Maschine hat einen Agenten (die Amazon-Images bringen ihn mit) und eine IAM-Rolle, die ihr erlaubt, mit Systems Manager zu sprechen; in der EC2-Konsole öffnet Verbinden → Session Manager ein Terminal. Vorteile: Port 22 muss nicht geöffnet werden, und es wird protokolliert. Dafür: die IAM-Rolle, die Berechtigungen und, wenn Sie Sitzungen aufzeichnen wollen, ein S3-Bucket oder CloudWatch. Es ist der von AWS empfohlene Weg für EC2.

3. Windows: PowerShell über OpenSSH

   Die Lightsail-Konsole für Windows ist Remotedesktop im Browser, schwerfällig und mit dem Administrator-Passwort dazwischen. Die leichte Alternative ist der OpenSSH-Server von Windows: in PowerShell als Administrator

   Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0
   Set-Service sshd -StartupType Automatic; Start-Service sshd
   New-ItemProperty -Path HKLM:\SOFTWARE\OpenSSH -Name DefaultShell -Value "$env:SystemRoot\System32\WindowsPowerShell\v1.0\powershell.exe" -PropertyType String -Force

   Damit öffnet eine SSH-Verbindung zu Port 22 PowerShell. Öffnen Sie Port 22 in der Windows-Firewall und in der von Lightsail nur für die IPs, die hinein dürfen. Bei Windows Server 2025 ist der Server bereits installiert und muss nur gestartet werden.

4. Prüfen Sie beim ersten Mal den Fingerabdruck

   Die erste Verbindung zu einer Maschine zeigt ihren Fingerabdruck und fragt, ob Sie ihn akzeptieren. Wenn möglich, vergleichen Sie ihn mit dem, den die Maschine selbst ausgibt (ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub unter Linux; unter Windows derselbe Befehl für C:\ProgramData\ssh\ssh_host_ed25519_key.pub). Von da an merkt sich Ihr Client ihn und warnt, wenn er sich ändert. Eine Warnung über einen geänderten Fingerabdruck ohne Grund ist ernst: Machen Sie nicht weiter, bevor Sie verstanden haben, warum.

5. Einem Techniker die Konsole geben, ohne ihm Ihr Konto zu geben

   Hier greift AWS zu kurz. Die Möglichkeiten sind, einen IAM-Benutzer für ihn mit sehr eng gefassten Berechtigungen anzulegen (und zu pflegen), oder ihm einen eigenen SSH-Schlüssel zu geben und ihn auf die betroffenen Maschinen zu kopieren (und daran zu denken, ihn zu entfernen). Keine ist furchtbar; beide sind Arbeit, die sich mit jedem Techniker und jeder Maschine ansammelt, und am Ende passiert meist, dass "der übliche Schlüssel" geteilt wird.

Was schiefgehen kann