Para arreglar algo en un servidor hace falta, tarde o temprano, una terminal: reiniciar un servicio, mirar un registro, liberar espacio en disco. Y ahí empieza el problema de siempre: ¿quién tiene la clave SSH? ¿Está en el portátil de alguien que ya no trabaja aquí? ¿Se la mandamos por correo al técnico externo? Cada clave que circula es una puerta más que ya no controlas.
La terminal de Simplio abre esa consola dentro del navegador, con la clave temporal que la propia AWS entrega para cada sesión. Nadie recibe ninguna clave, nadie instala nada, y cada apertura pide el código del móvil y queda registrada. En máquinas Linux es una consola Bash; en Windows, una consola PowerShell.
So funktioniert es
Jemand mit Berechtigung klickt auf der Karte der Maschine auf „Terminal“
Tres cosas tienen que ser ciertas: que el plan incluya la terminal, que ese usuario tenga la acción "terminal" y, además, esa máquina concreta concedida; y que la clave de AWS con la que se conectó la cuenta lleve el bloque opcional "Terminal". Si falta cualquiera, el botón no está.
Simplio fordert bei AWS einen temporären Schlüssel für diese Maschine an
En Linux, Lightsail entrega una clave SSH que vale unos minutos (es lo que usa su propia consola web). En Windows, Lightsail no da clave SSH: entrega la contraseña de Administrator que tiene guardada, y Simplio la usa para abrir una sesión PowerShell a través del servidor OpenSSH de Windows. En ninguno de los dos casos la credencial sale del servidor de Simplio: se cifra, vale 60 segundos y un solo uso, y la pestaña del navegador solo recibe un ticket.
Vor dem Öffnen wird geprüft, dass es mit der richtigen Maschine spricht
Simplio exige la huella del servidor SSH de la máquina. En Linux la entrega AWS con la clave. En Windows, AWS no la da, así que Simplio la memoriza la primera vez (o la toma de la llave de repuesto si ya estaba creada) y la exige en todas las siguientes: si un día cambia, la terminal no se abre y te lo dice.
Die Sitzung läuft über den Simplio-Server und wird nicht aufgezeichnet
El navegador habla con un puente en el servidor de Simplio, y el puente con la máquina por SSH. Lo que escribes no se almacena. Lo que sí queda es el registro de actividad: quién abrió qué máquina, cuándo y desde qué IP.
Welche Sicherheit es bietet
Zwei-Faktor-Authentifizierung bei jedem Öffnen
Ohne Ausnahmen. Ein sechsstelliger Handy-Code bei jedem Öffnen eines Terminals, auch für Administratoren.
Niemand erhält einen Schlüssel
Es gibt keine .pem-Datei, die man kopieren, versenden oder verlieren könnte. Die Anmeldeinformation gibt AWS für diese Sitzung aus, sie wird vom Simplio-Server aus genutzt und läuft ab.
Berechtigung pro Person und pro Maschine
„Darf das Terminal nutzen“ genügt nicht: Jede Maschine wird einzeln gewährt. Der externe Techniker sieht die Konsole der Testmaschine und keiner anderen.
Ein Ticket mit 60 Sekunden Gültigkeit und einmaliger Verwendung
Was der Browser zum Öffnen der Sitzung erhält, läuft nach einer Minute ab und wird bei Verwendung verbraucht. Es danach zu kopieren, nützt nichts.
Fingerabdruck des Servers geprüft
Ändert sich der SSH-Fingerabdruck der Maschine (weil es eine andere Maschine ist oder sich jemand dazwischengeschaltet hat), öffnet sich das Terminal nicht.
Port 22 nur für Simplio
Die Maschine muss SSH nur von der IP des Simplio-Servers akzeptieren. Sie können Port 22 für den ganzen Rest der Welt geschlossen lassen, einschließlich Ihres eigenen Computers.
Aktivitätsprotokoll
Jedes Öffnen wird protokolliert: Benutzer, Maschine, Datum, Uhrzeit und Herkunfts-IP. Der Inhalt der Sitzung wird nicht aufgezeichnet.
Dasselbe, in AWS und in Simplio
| Auf eigene Faust in AWS | In Simplio | |
|---|---|---|
| Einem Techniker eine Konsole geben | Ihm den SSH-Schlüssel schicken (oder einen für ihn erstellen und auf die Maschine kopieren) und Port 22 für seine IP öffnen | Ihm die Maschine in Simplio gewähren; nichts zu versenden |
| Ihm den Zugang entziehen | Seinen Schlüssel von der Maschine löschen und seine IP in der Firewall sperren, auf jeder Maschine | Ihm die Maschine in Simplio entziehen |
| Windows-Maschine | Remotedesktop mit dem geteilten Administrator-Passwort | PowerShell im Browser, mit Zwei-Faktor-Authentifizierung und Protokoll |
| Wissen, wer sich angemeldet hat | Die SSH-Protokolle auf jeder Maschine lesen | Aktivitätsprotokoll von Simplio, pro Benutzer und Maschine |
| Etwas installieren | SSH-Client auf jedem Computer; Agent auf dem Server, wenn Sie Sitzungen aufzeichnen möchten | Nichts: ein Browser |
Häufige Fragen
Was braucht eine Windows-Maschine, um ein Terminal zu haben?
Den aktiven OpenSSH-Server von Microsoft (Windows Server 2019 und neuer bringen ihn als optionales Feature mit, 2025 bereits installiert) und den in der Lightsail-Firewall für die IP von Simplio geöffneten Port 22. Wenn Sie den Ersatzschlüssel erstellen, erledigt dessen Skript das bereits. Die Sitzung meldet sich als Administrator mit dem Passwort an, das Lightsail gespeichert hat; wenn Sie es geändert haben, kennt Lightsail es nicht mehr, und das Terminal sagt es Ihnen.
Zeichnet Simplio auf, was ich eingebe?
Nein. Die Sitzung läuft über den Simplio-Server, wird aber nicht gespeichert. Protokolliert wird das Öffnen (wer, welche Maschine, wann, von welcher IP), nicht der Inhalt.
Warum verlangt es jedes Mal die Zwei-Faktor-Authentifizierung?
Weil ein Terminal Vollzugriff auf die Maschine bedeutet. Ein gestohlenes Simplio-Passwort darf nicht ausreichen, um dorthin zu gelangen.
Funktioniert es für EC2?
Derzeit nutzt das Terminal den temporären Schlüssel, den Lightsail für jede Maschine ausgibt. Bei EC2 existiert dieser Mechanismus nicht, daher ist das Terminal für Lightsail-Maschinen verfügbar.
Verwandte Anleitungen
- Lightsail Ein Terminal Ihrer AWS-Maschine im Browser öffnen, unter Linux und Windows
- EC2 SSH-Zertifikate von Grund auf erklärt: anmelden, ohne Schlüssel zu verteilen
- IAM Einem Kollegen Zugang geben, ohne Ihr Passwort zu teilen
- Lightsail Ein Ersatzschlüssel, damit Sie nicht aus Ihrer Maschine ausgesperrt werden