Abrir una terminal de tu máquina de AWS desde el navegador, en Linux y en Windows

Tarde o temprano hace falta "entrar" en el servidor: reiniciar un servicio, mirar por qué se llenó el disco, leer un registro. Y ahí aparece la pregunta de siempre: ¿quién tiene la clave? Una terminal en el navegador quita el problema de en medio: no hay que instalar nada en el ordenador de quien entra, ni mandarle una clave por correo, y queda registrado quién entró. Esta guía explica qué te ofrece AWS para eso en cada caso y qué pasos tiene.

Paso a paso

1. Linux en Lightsail: la consola web

   En la consola de Lightsail, cada máquina Linux tiene el botón Conectar mediante SSH. Se abre una terminal en el navegador sin configurar nada: Lightsail genera una clave temporal, la mete en la máquina unos minutos y entra como el usuario de la imagen (bitnami, ubuntu, ec2-user…). Es cómodo y seguro. Lo que no te da: permisos por persona (quien entra en la consola de AWS entra en todas las máquinas), registro de quién abrió qué, ni forma de dársela a un técnico externo sin darle tu cuenta de AWS.

2. Linux en EC2: Session Manager

   En EC2 no existe esa clave temporal. La opción sin cliente es Session Manager, de Systems Manager: la máquina lleva un agente (las imágenes de Amazon lo traen) y un rol de IAM que le permite hablar con Systems Manager; desde la consola de EC2, Conectar → Session Manager abre una terminal. Ventajas: no hace falta abrir el puerto 22 y queda registro. A cambio: el rol de IAM, los permisos y, si quieres grabar sesiones, un bucket S3 o CloudWatch. Es la vía recomendada por AWS para EC2.

3. Windows: PowerShell por OpenSSH

   La consola de Lightsail para Windows es Escritorio remoto en el navegador, pesado y con la contraseña de Administrator de por medio. La alternativa ligera es el servidor OpenSSH de Windows: en PowerShell como administrador,

   Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0
   Set-Service sshd -StartupType Automatic; Start-Service sshd
   New-ItemProperty -Path HKLM:\SOFTWARE\OpenSSH -Name DefaultShell -Value "$env:SystemRoot\System32\WindowsPowerShell\v1.0\powershell.exe" -PropertyType String -Force

   Con eso, una conexión SSH al puerto 22 abre PowerShell. Abre el 22 en el cortafuegos de Windows y en el de Lightsail solo para las IPs que deban entrar. En Windows Server 2025 el servidor ya viene instalado y solo hay que arrancarlo.

4. Comprueba la huella la primera vez

   La primera conexión a una máquina muestra su huella y pregunta si la aceptas. Si puedes, compárala con la que da la propia máquina (ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub en Linux; en Windows el mismo comando sobre C:\ProgramData\ssh\ssh_host_ed25519_key.pub). A partir de ahí tu cliente la recuerda y avisa si cambia. Un aviso de huella cambiada sin motivo es serio: no sigas hasta entender por qué.

5. Dar la consola a un técnico sin darle tu cuenta

   Aquí AWS se queda corto. Las opciones son crear un usuario de IAM para él con permisos muy acotados (y mantenerlos), o darle una clave SSH propia y copiarla a las máquinas que toque (y acordarte de quitarla). Ninguna es terrible; las dos son trabajo que se acumula con cada técnico y cada máquina, y lo que suele pasar al final es que se comparte "la clave de siempre".

Qué puede salir mal