Ouvrir un terminal de votre machine AWS depuis le navigateur, sous Linux et Windows

Tôt ou tard, il faut « entrer » dans le serveur : redémarrer un service, voir pourquoi le disque s'est rempli, lire un journal. Et là surgit l'éternelle question : qui a la clé ? Un terminal dans le navigateur écarte le problème : rien à installer sur l'ordinateur de celui qui entre, pas de clé à lui envoyer par e-mail, et il reste une trace de qui est entré. Ce guide explique ce qu'AWS vous offre pour cela dans chaque cas et quelles en sont les étapes.

Pas à pas

1. Linux sur Lightsail : la console web

   Dans la console Lightsail, chaque machine Linux a le bouton Se connecter à l'aide de SSH. Un terminal s'ouvre dans le navigateur sans rien configurer : Lightsail génère une clé temporaire, la place dans la machine quelques minutes et entre comme l'utilisateur de l'image (bitnami, ubuntu, ec2-user…). C'est pratique et sûr. Ce qu'il ne vous donne pas : des permissions par personne (qui entre dans la console AWS entre dans toutes les machines), un journal de qui a ouvert quoi, ni un moyen de la donner à un technicien externe sans lui donner votre compte AWS.

2. Linux sur EC2 : Session Manager

   Dans EC2, cette clé temporaire n'existe pas. L'option sans client est Session Manager, de Systems Manager : la machine porte un agent (les images d'Amazon l'incluent) et un rôle IAM qui lui permet de parler à Systems Manager ; depuis la console EC2, Se connecter → Session Manager ouvre un terminal. Avantages : pas besoin d'ouvrir le port 22 et il reste une trace. En échange : le rôle IAM, les permissions et, si vous voulez enregistrer les sessions, un bucket S3 ou CloudWatch. C'est la voie recommandée par AWS pour EC2.

3. Windows : PowerShell par OpenSSH

   La console Lightsail pour Windows est un Bureau à distance dans le navigateur, lourd et avec le mot de passe Administrator au milieu. L'alternative légère est le serveur OpenSSH de Windows : dans PowerShell en tant qu'administrateur,

   Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0
   Set-Service sshd -StartupType Automatic; Start-Service sshd
   New-ItemProperty -Path HKLM:\SOFTWARE\OpenSSH -Name DefaultShell -Value "$env:SystemRoot\System32\WindowsPowerShell\v1.0\powershell.exe" -PropertyType String -Force

   Avec cela, une connexion SSH au port 22 ouvre PowerShell. Ouvrez le 22 dans le pare-feu de Windows et dans celui de Lightsail seulement pour les IP qui doivent entrer. Sous Windows Server 2025, le serveur est déjà installé et il suffit de le démarrer.

4. Vérifiez l'empreinte la première fois

   La première connexion à une machine affiche son empreinte et demande si vous l'acceptez. Si vous le pouvez, comparez-la avec celle que donne la machine elle-même (ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub sous Linux ; sous Windows la même commande sur C:\ProgramData\ssh\ssh_host_ed25519_key.pub). À partir de là, votre client s'en souvient et prévient si elle change. Un avertissement d'empreinte changée sans raison est sérieux : ne continuez pas avant d'avoir compris pourquoi.

5. Donner la console à un technicien sans lui donner votre compte

   Ici, AWS reste court. Les options sont de créer un utilisateur IAM pour lui avec des permissions très restreintes (et de les maintenir), ou de lui donner une clé SSH à lui et de la copier sur les machines concernées (et de penser à la retirer). Aucune n'est terrible ; les deux sont du travail qui s'accumule avec chaque technicien et chaque machine, et ce qui finit par arriver, c'est qu'on partage « la clé habituelle ».

Ce qui peut mal tourner