Un usuario de rescate para no quedarte fuera de tu máquina

Una máquina en la nube no tiene un teclado al que acercarse. Si pierdes la clave SSH, si alguien cambió la contraseña de Administrator y se fue de la empresa, o si un cambio en la configuración de SSH te deja fuera, la máquina sigue funcionando pero tú ya no mandas en ella. Lightsail te saca del apuro en Linux (su consola web entra con una clave temporal), pero en Windows solo si nadie tocó la contraseña, y en EC2 el camino oficial pasa por parar la máquina. Esta guía te enseña a dejar preparada una puerta de emergencia antes de necesitarla, hecha para que solo tú puedas usarla.

Paso a paso

1. Decide cómo quieres que sea la puerta de emergencia

   Un usuario de rescate mal hecho es peor que no tenerlo: una contraseña apuntada en un documento compartido es la primera puerta que prueba un atacante. Lo que buscamos: que no tenga contraseña, que solo admita certificados firmados por ti y de corta duración, y a ser posible que solo acepte conexiones desde una IP fija tuya. Así, aunque alguien conozca el nombre del usuario, no tiene nada que probar.

2. Crea una autoridad de certificados (una sola vez)

   En tu ordenador, no en la máquina:

   ssh-keygen -t ed25519 -f ca_rescate -C "CA de rescate"

   Guarda ca_rescate (la privada) en un sitio seguro: un gestor de contraseñas o un disco cifrado. Nunca la copies a las máquinas. El fichero ca_rescate.pub es el que irá a cada máquina.

3. Prepara la máquina Linux

   Entra por SSH como siempre (todavía puedes) y, con sudo:

   sudo useradd -m -s /bin/bash -c "Usuario de rescate" rescate
   sudo usermod -p "*" rescate          # sin contraseña valida, sin bloquear
   echo "rescate ALL=(ALL) NOPASSWD:ALL" | sudo tee /etc/sudoers.d/90-rescate
   sudo chmod 440 /etc/sudoers.d/90-rescate
   sudo cp ca_rescate.pub /etc/ssh/ca_rescate.pub
   echo 'from="TU.IP.FIJA" rescate' | sudo tee /etc/ssh/principales_rescate

   Y en /etc/ssh/sshd_config (o un fichero en /etc/ssh/sshd_config.d/), al principio:

   TrustedUserCAKeys /etc/ssh/ca_rescate.pub
   AuthorizedPrincipalsFile /etc/ssh/principales_rescate

   Comprueba y recarga: sudo sshd -t && sudo systemctl reload ssh. El usuario rescate no tiene contraseña y solo acepta certificados de tu CA, y solo desde tu IP si pusiste from=.

4. Prepara la máquina Windows

   Windows Server 2019 y posteriores traen OpenSSH como característica opcional. En PowerShell como administrador: Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0, arranca el servicio sshd y abre el puerto 22 en el cortafuegos de Windows y en el de Lightsail o EC2 (solo para tu IP). Crea el usuario sin contraseña con New-LocalUser rescate -NoPassword, mételo en Administrators, y en C:\ProgramData\ssh\sshd_config pon las mismas dos líneas que en Linux (las rutas con __PROGRAMDATA__/ssh/). Reinicia sshd. Si quieres que al entrar salga PowerShell en vez de cmd, fija la clave de registro HKLM:\SOFTWARE\OpenSSH\DefaultShell a powershell.exe.

5. Prueba la puerta antes de necesitarla

   Genera una clave normal y fírmala con la CA por cinco minutos:

   ssh-keygen -t ed25519 -f temporal -N ""
   ssh-keygen -s ca_rescate -I "prueba" -n rescate -V +5m temporal.pub
   ssh -i temporal rescate@IP.DE.LA.MAQUINA sudo -n true && echo OK

   Si ves OK, la puerta funciona. Pasados cinco minutos el certificado deja de valer solo: no hay nada que revocar ni borrar.

6. Si ya has perdido el acceso: qué hacer con la puerta abierta

   Entra con un certificado nuevo y arregla al administrador: en Linux sudo passwd ubuntu (o el usuario que sea) o añade tu clave pública nueva a su ~/.ssh/authorized_keys; en Windows net user Administrator NUEVA-CONTRASEÑA. Si la cuenta estaba bloqueada, sudo passwd -u usuario o net user usuario /active:yes.

7. Y si no tenías puerta de emergencia

   Linux en Lightsail: la consola web de Lightsail entra con una clave temporal, así que desde ahí puedes hacer lo del paso anterior. Windows en Lightsail: la consola te da la contraseña de Administrator solo si nadie la cambió; si no, toca crear una instantánea y una máquina nueva. EC2: el procedimiento oficial AWSSupport-ResetAccess de Systems Manager restablece la contraseña o la clave parando y arrancando la máquina.

Qué puede salir mal