Que faire si vous avez perdu la clé SSH de votre machine Lightsail

Pour entrer sur un serveur Linux depuis un terminal, on n'utilise pas un mot de passe mais une clé SSH : un fichier que vous avez sur votre ordinateur et que la machine reconnaît. C'est plus sûr qu'un mot de passe, et justement pour cela, quand le fichier est perdu, il n'y a pas de « mot de passe oublié ? ». Vous avez formaté le portable, le technicien qui l'avait n'est plus là, le fichier est resté sur un vieux disque : la machine continue de tourner mais personne ne peut y entrer.

Pensez à ce qui se passerait si c'était demain, avec le site d'un client en service : chez AWS, il n'y a pas de support qui entre à votre place, la machine est à vous et la clé aussi. Dans Lightsail, il y a en général une issue, parce que sa console peut ouvrir un terminal sur la machine sans votre clé et, de là, on en met une nouvelle. Mais cette issue échoue plus souvent qu'il n'y paraît (un pare-feu interne, une configuration SSH cassée, la mauvaise case dans Mise en réseau), sur EC2 elle n'existe tout simplement pas, et alors le chemin passe par des instantanés et de nouvelles machines, ou par rien du tout. Ce guide parcourt toutes les issues, de la facile à la dernière, et se termine par ce qu'il convient de laisser prêt pour ne plus jamais en passer par là.

Pas à pas

1. Vérifiez si la machine utilise la clé par défaut

   Dans la console Lightsail, ouvrez la machine. L'onglet Se connecter indique quelle clé elle utilise : s'il est écrit « clé par défaut » de votre région, vous avez de la chance : allez dans le menu de votre compte (en haut à droite), Compte, onglet Clés SSH, et téléchargez la clé par défaut de cette région. Avec ce fichier, vous pouvez déjà entrer comme d'habitude. Si la machine utilisait une clé que vous aviez téléversée vous-même ou créée avec un nom propre, continuez à lire.

2. Entrez avec le terminal du navigateur

   Cliquez sur le bouton Se connecter via SSH de la machine. Un terminal s'ouvre dans une fenêtre du navigateur, déjà dans la machine, sans rien vous demander : Lightsail utilise pour cela une clé temporaire à lui. S'il s'ouvre, le problème est à moitié résolu ; vous allez maintenant mettre une clé à vous pour pouvoir rentrer depuis votre ordinateur.

3. Créez une nouvelle clé sur votre ordinateur

   Sous Windows (PowerShell), Mac ou Linux, tapez dans un terminal de votre ordinateur :

   ssh-keygen -t ed25519 -f ~/.ssh/lightsail-nueva

   Il vous demande un mot de passe pour protéger la clé (recommandé). Il crée deux fichiers : lightsail-nueva (privée, ne la partagez pas) et lightsail-nueva.pub (publique). Ouvrez le .pub avec un éditeur de texte et copiez son unique ligne, qui commence par ssh-ed25519.

4. Ajoutez la clé publique sur la machine

   Revenez au terminal du navigateur et tapez, en collant votre ligne entre les guillemets :

   echo "ssh-ed25519 AAAA...tu-clave... comentario" >> ~/.ssh/authorized_keys
   chmod 600 ~/.ssh/authorized_keys

   Le collage dans le terminal du navigateur se fait avec l'icône de presse-papiers de la fenêtre elle-même (Ctrl+V ne fonctionne pas toujours là). Vérifiez avec tail -1 ~/.ssh/authorized_keys que la ligne est bien entière.

5. Testez depuis votre ordinateur

   Depuis le terminal de votre ordinateur :

   ssh -i ~/.ssh/lightsail-nueva bitnami@IP-de-la-maquina

   L'utilisateur est bitnami sur les modèles d'applications, ubuntu sur Ubuntu, ec2-user sur Amazon Linux ou admin sur Debian. Si vous entrez, rangez la clé privée dans un endroit sûr (un gestionnaire de mots de passe accepte des fichiers) et, cette fois, notez où elle est.

6. Si le terminal du navigateur n'entre pas non plus : instantané

   Parfois, un pare-feu interne de la machine ou une configuration SSH cassée empêchent même le terminal du navigateur. Alors : onglet Instantanés, créez-en un (ou utilisez l'automatique le plus récent), et depuis lui Créer une nouvelle instance. Dans le formulaire de création, à la rubrique clé SSH, choisissez la clé par défaut ou une nouvelle. La nouvelle machine est une copie exacte avec une clé que vous avez bien. Déplacez l'IP statique vers la nouvelle (guide dans cette section) et supprimez l'ancienne quand vous aurez vérifié que tout va bien. Comptez une bonne heure et une interruption, et faites-le calmement : c'est le moment où il est le plus facile de casser autre chose.

7. Sur EC2, il n'y a pas de terminal du navigateur : la procédure officielle

   Sur EC2, la console AWS ne peut pas entrer à votre place. Il y a deux issues. L'automatique : AWSSupport-ResetAccess, dans Systems Manager → Automation, qui arrête la machine, travaille sur son disque depuis une machine auxiliaire et la redémarre avec une nouvelle clé (la machine sera arrêtée quelques minutes). La manuelle, pour qui s'y connaît : arrêter la machine, détacher son disque racine, l'attacher à une autre machine EC2, monter le disque et ajouter votre clé publique à l'authorized_keys de l'utilisateur, puis remettre le disque à sa place. Si la machine a l'agent Systems Manager et un rôle IAM, Session Manager ouvre un terminal sans clé et vous épargne tout ce qui précède.

8. Et s'il n'y a pas d'instantané non plus

   C'est le bout de la chaîne et il vaut mieux le regarder en face. Si le terminal du navigateur n'entre pas, si ce n'est pas Lightsail, si la machine a été supprimée ou si le disque est endommagé, et qu'il n'existe aucune copie, il n'y a rien à récupérer : l'application, la base de données, les fichiers, les configurations et les années de travail qu'il y avait dedans sont perdus. AWS ne peut pas récupérer ce qui n'a pas été copié, et il n'y a pas de service technique à appeler. Ce n'est pas un cas rare : cela arrive chaque année à des entreprises qui voyaient la machine comme « quelque chose qui marche, tout simplement ».

9. Accès récupéré : laissez prêt ce qui vous aurait épargné tout cela

   1. Des instantanés automatiques, chaque nuit, et si possible une copie dans une autre région. C'est la seule différence entre une heure de travail et tout perdre.
   2. Une porte de secours qui ne dépende ni de fichiers sur des portables ni de la console AWS : un utilisateur de secours qui n'accepte que des certificats signés par vous, comme l'explique le guide de la clé de rechange.
   3. La clé privée dans un gestionnaire de mots de passe, partagée avec qui doit l'avoir, et notée l'endroit où elle se trouve.

Ce qui peut mal tourner