Piensa un momento en qué pasaría si mañana no pudieras entrar en una de tus máquinas. La clave SSH estaba en el portátil de alguien que ya no está. La contraseña de Administrator la cambió un técnico "temporalmente" y nadie la apuntó. Un cambio en la configuración de SSH salió mal y la puerta se cerró contigo fuera. La máquina sigue funcionando y la web sigue abierta, pero ya no mandas en ella, y en AWS no hay un "he olvidado la contraseña" ni un soporte que entre por ti.
Las salidas que quedan no son cómodas. En Linux, Lightsail te deja su consola web; en Windows, solo si nadie cambió nunca la contraseña. Cuando eso no sirve, toca parar la máquina, hacer una instantánea y levantar otra: horas de trabajo y de parada, en el peor momento, con la aplicación de un cliente dando servicio. Y si tampoco hay instantánea, se pierde todo lo que había dentro: no hay a quién llamar. La llave de repuesto de Simplio es exactamente lo que su nombre dice: una copia de la llave que dejas guardada antes de necesitarla. Se crea con un botón en la tarjeta de la máquina y, a partir de ahí, Simplio comprueba cada día que sigue abriendo. El día que te quedes fuera, desde esa misma tarjeta pones una contraseña nueva al administrador, le añades tu clave pública o lo desbloqueas. Con tu código del doble factor, en un minuto, sin parar nada.
So funktioniert es
Sie klicken auf der Karte der Maschine auf „Ersatzschlüssel erstellen“
En una máquina Linux, Simplio entra una sola vez con la clave temporal que da Lightsail y deja preparado el usuario
simplio-rescate. En Windows, Simplio te da un guion de PowerShell para pegar una vez por Escritorio remoto: activa el servidor OpenSSH que ya trae Windows, crea el usuario y abre el puerto 22 solo para la IP de Simplio. No se instala nada de Simplio en la máquina.Der Benutzer hat kein verwendbares Passwort und akzeptiert nur Zertifikate mit fünf Minuten Gültigkeit
simplio-rescateno tiene una contraseña que se pueda adivinar ni robar: en Linux no tiene ninguna; en Windows lleva una aleatoria de 40 caracteres que se genera, se aplica y se descarta en el mismo instante, sin guardarse ni mostrarse. La única forma de entrar es un certificado SSH firmado por Simplio, que caduca a los cinco minutos y que la máquina solo acepta si viene desde la IP del servidor de Simplio.Simplio prüft jeden Tag, ob der Schlüssel noch öffnet
Una conexión de prueba diaria. Si alguien borra el usuario, cambia la configuración de SSH o cierra el puerto, lo ves en la tarjeta (la pastilla pasa a "Llave de repuesto perdida") y recibes un aviso, mientras todavía tienes acceso normal para rehacerla. Puedes comprobarlo a mano cuando quieras con "Comprobar ahora".
An dem Tag, an dem Sie ausgesperrt sind: „Mit dem Ersatzschlüssel retten“
Escribes el usuario que quieres recuperar (bitnami, ubuntu, ec2-user, Administrator…) o, si no lo sabes, eliges "Ver qué usuarios hay en la máquina" y Simplio te los lista con su carpeta, si son administradores y cuándo entraron por última vez. Después eliges qué hacer:
- Ponerle una contraseña nueva. Simplio genera una, la aplica y te la muestra una sola vez. No se guarda en ningún sitio. En Linux puedes marcar que SSH admita además entrar con contraseña, porque muchas máquinas solo aceptan clave.
- Añadirle tu clave pública SSH. Pegas la pública de tu clave nueva y vuelves a entrar como siempre.
- Desbloquearlo. Para cuentas bloqueadas por intentos fallidos o caducadas.
- Consola como simplio-rescate. Para el técnico: una terminal con permisos de administrador, en el navegador, para arreglar lo que haga falta a mano. En Windows es una consola PowerShell, y es la que abre el botón Terminal de la tarjeta cuando Lightsail ya no puede dar la contraseña de administrador.
Todo pide el código del doble factor, también si eres administrador de Simplio, y todo queda en el registro de actividad: quién, qué, cuándo y desde qué IP.
Wenn Sie ihn eines Tages nicht mehr wollen, entfernen Sie ihn
"Quitar la llave de repuesto" borra el usuario, sus ficheros y las líneas de configuración que Simplio dejó. La máquina queda como antes.
Welche Sicherheit es bietet
Kein Passwort, das man stehlen könnte
Der Benutzer des Schlüssels hat kein verwendbares Passwort. Selbst wenn jemand den Namen simplio-rescate kennt, gibt es nichts auszuprobieren: weder Brute Force noch Wörterbuch noch ein abgeflossenes Passwort.
Zertifikate, die von selbst ablaufen
Jede Anmeldung verwendet ein von Simplio signiertes SSH-Zertifikat, das fünf Minuten gilt. Es muss nichts widerrufen und danach nichts aufgeräumt werden: Nach dieser Zeit verliert es von selbst seine Gültigkeit.
Nur von der IP von Simplio aus
Die Maschine akzeptiert das Zertifikat nur, wenn die Verbindung vom Simplio-Server kommt. Ein kopiertes Zertifikat oder die signierende Instanz selbst nützen außerhalb dieses Servers nichts für den Zugang.
Die signierende Instanz, außerhalb der Datenbank
Der Schlüssel, mit dem Simplio die Zertifikate signiert, liegt in der Geheimnisdatei des Servers, außerhalb der Datenbank und der Sicherungen, ebenso wie der Hauptschlüssel, der die übrigen Geheimnisse verschlüsselt.
Simplio speichert keinen Schlüssel Ihrer Maschine
Weder den SSH-Schlüssel von Lightsail noch das Administrator-Passwort noch das neue Passwort, das es erzeugt: Dieses wird einmal angezeigt und vergessen. Das Einzige, was in Simplio bleibt, ist der Fingerabdruck des SSH-Servers der Maschine, um bei jeder Verbindung zu prüfen, dass es mit der richtigen Maschine spricht.
Immer Zwei-Faktor-Authentifizierung, und zwei verschiedene Berechtigungen
Den Schlüssel zu erstellen und ihn zu verwenden sind getrennte Berechtigungen: Sie können einen Techniker ihn auf allen Maschinen erstellen lassen, ohne dass er ihn nutzen kann, oder umgekehrt. Und jede Nutzung verlangt den Handy-Code, ohne Ausnahmen für Administratoren.
Alles im Aktivitätsprotokoll
Jede Erstellung, Prüfung, Rettung und Löschung des Schlüssels wird festgehalten, mit Wer, welcher Maschine, welcher Aktion, Wann und von welcher IP. Das neue Passwort nicht: Es wird nie in ein Protokoll geschrieben.
Koexistiert mit dem, was die Maschine bereits hat
Unter Linux stützt sich der Schlüssel auf den Standardmechanismus von OpenSSH (Benutzerzertifikate), ohne die globale SSH-Konfiguration anzutasten, und koexistiert so mit der Zertifizierungsstelle, die Lightsail für seine Web-Konsole nutzt. Unter Windows verwendet er den OpenSSH-Server von Microsoft, den das System selbst mitbringt.
Dasselbe, in AWS und in Simplio
| Auf eigene Faust in AWS | In Simplio | |
|---|---|---|
| Die Tür vorbereitet halten | Auf jeder Maschine von Hand eine Zertifizierungsstelle, einen Benutzer, sudo, Principals-Dateien und SSH-Direktiven einrichten; unter Windows OpenSSH installieren und konfigurieren | Eine Schaltfläche unter Linux; unter Windows einmal ein Skript einfügen |
| Den Schlüssel aufbewahren | Sie selbst, in einem Passwort-Manager, und sich merken, wo | Auf dem Simplio-Server, außerhalb der Datenbank; die Maschine akzeptiert ihn nur von der IP von Simplio aus |
| Wissen, dass es weiterhin funktioniert | Daran denken, ihn ab und zu zu testen | Automatische tägliche Prüfung und Benachrichtigung, falls er nicht mehr öffnet |
| Den Zugang wiederherstellen | Ein Zertifikat von Hand signieren, per SSH anmelden, Passwort oder Schlüssel per Befehl ändern | Zwei-Faktor-Authentifizierung, Benutzer und Aktion wählen, und das neue Passwort einmalig auf dem Bildschirm |
| Den Benutzer nicht kennen | Irgendwie hineinkommen und /home oder die Kontenliste ansehen | „Vorhandene Benutzer auf der Maschine anzeigen“: Liste mit Ordner, Administratorstatus und letztem Zugriff |
| Wenn es keine Tür gab | Linux: Web-Konsole von Lightsail. Windows: nur, wenn niemand das Passwort geändert hat; sonst Snapshot und neue Maschine | Genauso: Der Schlüssel muss vorher hinterlegt werden. Deshalb benachrichtigt Simplio Sie, wenn eine Maschine ihn nicht hat |
| Wenn es auch keinen Snapshot gibt | Alles, was auf der Maschine war, geht verloren | Jede Nacht geplante Snapshots, auch in einer anderen Region, mit Benachrichtigung bei Fehlschlag |
Häufige Fragen
Kann Simplio jederzeit auf meine Maschine zugreifen?
Technisch gesehen ist der Ersatzschlüssel eine Tür, die Simplio öffnet. Deshalb ist er so gebaut, dass jede Nutzung Spuren hinterlässt und eine Person erfordert: Es braucht einen Benutzer Ihres Kontos mit der Berechtigung, ihn zu verwenden, dessen Zwei-Faktor-Code in diesem Moment, und alles landet in Ihrem Aktivitätsprotokoll. Niemand bei Simplio kann ihn ohne das nutzen, und Sie können ihn jederzeit von jeder Maschine entfernen.
Funktioniert es, wenn die Maschine SSH-Zertifikate bereits für etwas anderes nutzt?
Ja. Unter Linux berührt der Schlüssel die globale SSH-Konfiguration nicht: Er stützt sich auf die Datei der autorisierten Schlüssel des Benutzers simplio-rescate selbst und koexistiert so mit der Zertifizierungsstelle von Lightsail oder jeder anderen. Wenn unter Windows im OpenSSH-Server bereits eine andere Zertifizierungsstelle konfiguriert war, hält das Skript an und sagt es Ihnen, damit Sie es von Hand prüfen.
Und was braucht man unter Windows?
Windows Server 2019 und neuer bringen den OpenSSH-Server von Microsoft als optionales Feature mit (2025 bringt ihn bereits installiert mit). Das Skript aktiviert ihn, legt den Benutzer mit einem zufälligen, nicht gespeicherten Passwort an, hinterlegt die Zertifizierungsstelle von Simplio in der OpenSSH-Konfiguration und öffnet Port 22 in der Windows-Firewall. In der Lightsail-Firewall öffnen Sie Port 22 nur für die IP von Simplio. Für Sie bleibt der Remotedesktop unverändert.
Was passiert, wenn jemand den Benutzer simplio-rescate löscht?
Wer Administrator der Maschine ist, kann das tun, das ist unvermeidlich. Deshalb prüft Simplio es jeden Tag: Die Karte wechselt zu „Ersatzschlüssel verloren“ und Sie erhalten eine Benachrichtigung, sodass Sie ihn neu einrichten, solange Sie noch Zugang haben.
Wird das von Simplio erzeugte neue Passwort gespeichert?
Nein. Es wird im Moment erzeugt, auf der Maschine angewendet und nur ein einziges Mal auf dem Bildschirm angezeigt. Es gelangt weder in die Datenbank noch ins Aktivitätsprotokoll noch in irgendeine E-Mail. Wenn Sie es verlieren, fordern Sie ein neues an.
Funktioniert es für EC2?
Derzeit ist der Ersatzschlüssel für Lightsail-Maschinen gedacht, bei denen Simplio sich beim ersten Mal mit dem temporären Schlüssel von AWS anmelden kann. Für EC2 ist der offizielle AWS-Weg das Verfahren AWSSupport-ResetAccess von Systems Manager, das wir in den Anleitungen erklären.
Verwandte Anleitungen
- Lightsail Ein Ersatzschlüssel, damit Sie nicht aus Ihrer Maschine ausgesperrt werden
- Lightsail Sie haben das Administrator-Passwort eines Windows in AWS verloren: was Sie tun können
- EC2 SSH-Zertifikate von Grund auf erklärt: anmelden, ohne Schlüssel zu verteilen
- Lightsail Was tun, wenn Sie den SSH-Schlüssel Ihrer Maschine verloren haben
- Lightsail Ein Terminal Ihrer AWS-Maschine im Browser öffnen, unter Linux und Windows