Une clé de rechange pour ne pas rester à la porte de votre machine (utilisateur de secours)

Pensez un instant à ce qui se passerait si demain vous ne pouviez plus entrer dans l'une de vos machines. La clé SSH était sur le portable de quelqu'un qui n'est plus là ; le mot de passe Administrator a été changé par un technicien et personne ne l'a noté ; une modification de la configuration SSH a mal tourné et la porte s'est refermée avec vous dehors. La machine continue de fonctionner et le site reste ouvert, mais vous n'en avez plus le contrôle, et chez AWS personne ne vous l'ouvrira : il n'y a pas de « mot de passe oublié » ni de support qui entre à votre place. Lightsail vous tire d'affaire sous Linux (sa console web entre avec une clé temporaire), mais sous Windows seulement si personne n'a jamais touché au mot de passe, et sur EC2 le chemin officiel passe par l'arrêt de la machine. Quand cela ne suffit pas, il reste des heures d'instantanés et de nouvelles machines, au pire moment. Ce guide vous apprend à préparer une porte de secours avant d'en avoir besoin, conçue pour que vous seul puissiez l'utiliser.

Pas à pas

1. Décidez à quoi doit ressembler la porte de secours

   Un utilisateur de secours mal conçu est pire que pas d'utilisateur du tout : un mot de passe noté dans un document partagé est la première porte qu'essaie un attaquant. Ce que nous cherchons : qu'il n'ait pas de mot de passe, qu'il n'accepte que des certificats signés par vous et de courte durée, et si possible qu'il n'accepte les connexions que depuis une IP fixe à vous. Ainsi, même si quelqu'un connaît le nom de l'utilisateur, il n'a rien à essayer.

2. Créez une autorité de certification (une seule fois)

   Sur votre ordinateur, pas sur la machine :

   ssh-keygen -t ed25519 -f ca_rescate -C "CA de rescate"

   Gardez ca_rescate (la clé privée) en lieu sûr : un gestionnaire de mots de passe ou un disque chiffré. Ne la copiez jamais sur les machines. Le fichier ca_rescate.pub est celui qui ira sur chaque machine.

3. Préparez la machine Linux

   Entrez en SSH comme d'habitude (vous le pouvez encore) et, avec sudo :

   sudo useradd -m -s /bin/bash -c "Usuario de rescate" rescate
   sudo usermod -p "*" rescate          # sin contraseña valida, sin bloquear
   echo "rescate ALL=(ALL) NOPASSWD:ALL" | sudo tee /etc/sudoers.d/90-rescate
   sudo chmod 440 /etc/sudoers.d/90-rescate
   sudo cp ca_rescate.pub /etc/ssh/ca_rescate.pub
   echo 'from="TU.IP.FIJA" rescate' | sudo tee /etc/ssh/principales_rescate

   Et dans /etc/ssh/sshd_config (ou un fichier dans /etc/ssh/sshd_config.d/), au début :

   TrustedUserCAKeys /etc/ssh/ca_rescate.pub
   AuthorizedPrincipalsFile /etc/ssh/principales_rescate

   Vérifiez et rechargez : sudo sshd -t && sudo systemctl reload ssh. L'utilisateur rescate n'a pas de mot de passe et n'accepte que les certificats de votre CA, et seulement depuis votre IP si vous avez mis from=.

4. Préparez la machine Windows

   Windows Server 2019 et versions ultérieures incluent OpenSSH comme fonctionnalité facultative. Dans PowerShell en tant qu'administrateur : Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0, démarrez le service sshd et ouvrez le port 22 dans le pare-feu de Windows et dans celui de Lightsail ou d'EC2 (seulement pour votre IP). Créez l'utilisateur avec un mot de passe aléatoire long que vous ne notez nulle part (ne le créez pas sans mot de passe : Windows bloque par défaut l'accès réseau des comptes à mot de passe vide, et OpenSSH compte comme un accès réseau), mettez-le dans Administrators, copiez ca_rescate.pub et le fichier de principaux dans C:\ProgramData\ssh\ et, dans le sshd_config de ce même dossier, mettez les deux mêmes lignes que sous Linux (les chemins avec __PROGRAMDATA__/ssh/). Un détail qui fait perdre des heures : l'OpenSSH de Windows refuse les fichiers d'authentification lisibles par d'autres utilisateurs, alors retirez-leur l'héritage des permissions et ne laissez qu'Administrators et SYSTEM : icacls FICHERO /inheritance:r /grant Administrators:F /grant SYSTEM:F. Redémarrez sshd. Si vous voulez que PowerShell s'ouvre à la connexion au lieu de cmd, réglez la clé de registre HKLM:\SOFTWARE\OpenSSH\DefaultShell sur powershell.exe.

5. Testez la porte avant d'en avoir besoin

   Générez une clé normale et signez-la avec la CA pour cinq minutes :

   ssh-keygen -t ed25519 -f temporal -N ""
   ssh-keygen -s ca_rescate -I "prueba" -n rescate -V +5m temporal.pub
   ssh -i temporal rescate@IP.DE.LA.MAQUINA sudo -n true && echo OK

   Si vous voyez OK, la porte fonctionne. Au bout de cinq minutes, le certificat cesse de valoir tout seul : rien à révoquer ni à supprimer.

6. Si vous avez déjà perdu l'accès : quoi faire une fois la porte ouverte

   Entrez avec un nouveau certificat et réparez l'administrateur : sous Linux sudo passwd ubuntu (ou l'utilisateur concerné) ou ajoutez votre nouvelle clé publique à son ~/.ssh/authorized_keys ; sous Windows net user Administrator NUEVA-CONTRASEÑA. Si le compte était verrouillé, sudo passwd -u usuario ou net user usuario /active:yes.

7. Et si vous n'aviez pas de porte de secours

   Linux sur Lightsail : la console web de Lightsail entre avec une clé temporaire, donc depuis là vous pouvez faire ce qui est décrit à l'étape précédente. Windows sur Lightsail : la console vous donne le mot de passe Administrator seulement si personne ne l'a changé ; sinon, il faut créer un instantané et une nouvelle machine. EC2 : la procédure officielle AWSSupport-ResetAccess de Systems Manager réinitialise le mot de passe ou la clé en arrêtant puis redémarrant la machine.

8. Et s'il n'y a pas d'instantané non plus

   C'est le bout de la chaîne et il vaut mieux le regarder en face : si on ne peut pas entrer et qu'il n'existe aucune copie de la machine, tout ce qu'elle contient est perdu. L'application, la base de données, les fichiers, les configurations. AWS ne peut pas entrer à votre place ni récupérer ce qui n'a pas été copié, et il n'y a pas de service technique à appeler. C'est pourquoi la porte de secours et les instantanés automatiques ne sont pas deux options entre lesquelles choisir : ce sont les deux choses qui séparent une frayeur d'une heure de la perte de l'activité d'un client.

Ce qui peut mal tourner