Piensa un momento en qué pasaría si mañana no pudieras entrar en una de tus máquinas. La clave SSH estaba en el portátil de alguien que ya no está. La contraseña de Administrator la cambió un técnico "temporalmente" y nadie la apuntó. Un cambio en la configuración de SSH salió mal y la puerta se cerró contigo fuera. La máquina sigue funcionando y la web sigue abierta, pero ya no mandas en ella, y en AWS no hay un "he olvidado la contraseña" ni un soporte que entre por ti.
Las salidas que quedan no son cómodas. En Linux, Lightsail te deja su consola web; en Windows, solo si nadie cambió nunca la contraseña. Cuando eso no sirve, toca parar la máquina, hacer una instantánea y levantar otra: horas de trabajo y de parada, en el peor momento, con la aplicación de un cliente dando servicio. Y si tampoco hay instantánea, se pierde todo lo que había dentro: no hay a quién llamar. La llave de repuesto de Simplio es exactamente lo que su nombre dice: una copia de la llave que dejas guardada antes de necesitarla. Se crea con un botón en la tarjeta de la máquina y, a partir de ahí, Simplio comprueba cada día que sigue abriendo. El día que te quedes fuera, desde esa misma tarjeta pones una contraseña nueva al administrador, le añades tu clave pública o lo desbloqueas. Con tu código del doble factor, en un minuto, sin parar nada.
Come funziona
Premi "Crea chiave di riserva" sulla scheda della macchina
En una máquina Linux, Simplio entra una sola vez con la clave temporal que da Lightsail y deja preparado el usuario
simplio-rescate. En Windows, Simplio te da un guion de PowerShell para pegar una vez por Escritorio remoto: activa el servidor OpenSSH que ya trae Windows, crea el usuario y abre el puerto 22 solo para la IP de Simplio. No se instala nada de Simplio en la máquina.L'utente resta senza password utilizzabile e ammette solo certificati di cinque minuti
simplio-rescateno tiene una contraseña que se pueda adivinar ni robar: en Linux no tiene ninguna; en Windows lleva una aleatoria de 40 caracteres que se genera, se aplica y se descarta en el mismo instante, sin guardarse ni mostrarse. La única forma de entrar es un certificado SSH firmado por Simplio, que caduca a los cinco minutos y que la máquina solo acepta si viene desde la IP del servidor de Simplio.Simplio verifica ogni giorno che la chiave continui ad aprire
Una conexión de prueba diaria. Si alguien borra el usuario, cambia la configuración de SSH o cierra el puerto, lo ves en la tarjeta (la pastilla pasa a "Llave de repuesto perdida") y recibes un aviso, mientras todavía tienes acceso normal para rehacerla. Puedes comprobarlo a mano cuando quieras con "Comprobar ahora".
Il giorno in cui resti fuori: "Recupera con la chiave di riserva"
Escribes el usuario que quieres recuperar (bitnami, ubuntu, ec2-user, Administrator…) o, si no lo sabes, eliges "Ver qué usuarios hay en la máquina" y Simplio te los lista con su carpeta, si son administradores y cuándo entraron por última vez. Después eliges qué hacer:
- Ponerle una contraseña nueva. Simplio genera una, la aplica y te la muestra una sola vez. No se guarda en ningún sitio. En Linux puedes marcar que SSH admita además entrar con contraseña, porque muchas máquinas solo aceptan clave.
- Añadirle tu clave pública SSH. Pegas la pública de tu clave nueva y vuelves a entrar como siempre.
- Desbloquearlo. Para cuentas bloqueadas por intentos fallidos o caducadas.
- Consola como simplio-rescate. Para el técnico: una terminal con permisos de administrador, en el navegador, para arreglar lo que haga falta a mano. En Windows es una consola PowerShell, y es la que abre el botón Terminal de la tarjeta cuando Lightsail ya no puede dar la contraseña de administrador.
Todo pide el código del doble factor, también si eres administrador de Simplio, y todo queda en el registro de actividad: quién, qué, cuándo y desde qué IP.
Se un giorno non la vuoi più, la rimuovi
"Quitar la llave de repuesto" borra el usuario, sus ficheros y las líneas de configuración que Simplio dejó. La máquina queda como antes.
Che sicurezza ha
Nessuna password da rubare
L'utente della chiave non ha una password utilizzabile. Anche se qualcuno conosce il nome simplio-rescate, non c'è nulla da provare: né forza bruta, né dizionario, né password trapelata.
Certificati che scadono da soli
Ogni accesso usa un certificato SSH firmato da Simplio che vale cinque minuti. Non c'è nulla da revocare né da ripulire dopo: passato quel tempo, smette di valere da solo.
Solo dall'IP di Simplio
Il certificato viene accettato dalla macchina solo se la connessione arriva dal server di Simplio. Un certificato copiato o la stessa autorità di firma, fuori da quel server, non servono per entrare.
L'autorità di firma, fuori dal database
La chiave con cui Simplio firma i certificati vive nel file dei segreti del server, fuori dal database e dai backup, come la chiave master che cifra il resto dei segreti.
Simplio non custodisce nessuna chiave della tua macchina
Né la chiave SSH di Lightsail, né la password di Administrator, né la nuova password che genera: quella si mostra una volta e si dimentica. L'unica cosa che resta in Simplio è l'impronta del server SSH della macchina, per verificare a ogni connessione che stia parlando con la macchina giusta.
Doppio fattore sempre, e due permessi distinti
Creare la chiave e usarla sono permessi separati: puoi lasciare che un tecnico la crei su tutte le macchine senza che possa usarla, o viceversa. E ogni uso richiede il codice del telefono, senza eccezioni per gli amministratori.
Tutto nel registro attività
Ogni creazione, verifica, recupero ed eliminazione della chiave viene registrata con chi, quale macchina, quale azione, quando e da quale IP. La nuova password no: non viene mai scritta in nessun registro.
Convive con ciò che la macchina ha già
Su Linux, la chiave si appoggia al meccanismo standard di OpenSSH (certificati utente) senza toccare la configurazione globale di SSH, quindi convive con l'autorità di certificazione che Lightsail usa per la sua console web. Su Windows usa il server OpenSSH di Microsoft incluso nel sistema.
La stessa cosa, in AWS e in Simplio
| Per conto tuo su AWS | In Simplio | |
|---|---|---|
| Predisporre la porta | Creare un'autorità di certificazione, un utente, sudo, file dei principal e direttive SSH su ogni macchina, a mano; su Windows, installare e configurare OpenSSH | Un pulsante su Linux; su Windows, incollare uno script una volta |
| Custodire la chiave | Tu, in un gestore di password, e ricordarti dove | Sul server di Simplio, fuori dal database; la macchina la accetta solo dall'IP di Simplio |
| Sapere che continua a funzionare | Ricordarti di provarla ogni tanto | Verifica giornaliera automatica e avviso se smette di aprire |
| Recuperare l'accesso | Firmare un certificato a mano, entrare via SSH, cambiare la password o la chiave con comandi | Doppio fattore, scegliere utente e azione, e la nuova password a schermo una sola volta |
| Non sapere l'utente | Entrare in qualche modo e guardare /home o l'elenco degli account | "Vedi quali utenti ci sono nella macchina": elenco con cartella, amministratore e ultimo accesso |
| Se non c'era una porta | Linux: console web di Lightsail. Windows: solo se nessuno ha cambiato la password; altrimenti, snapshot e nuova macchina | Uguale: la chiave va predisposta prima. Per questo Simplio ti avvisa se una macchina non ce l'ha |
| Se non c'è nemmeno uno snapshot | Si perde tutto ciò che c'era nella macchina | Snapshot programmati ogni notte, anche in un'altra regione, con avviso se falliscono |
Domande frequenti
Simplio può entrare nella mia macchina quando vuole?
Tecnicamente, la chiave di riserva è una porta che apre Simplio. Per questo è fatta in modo che ogni uso lasci una traccia e richieda una persona: serve un utente del tuo account con il permesso di usarla, il suo codice del doppio fattore in quel momento, e tutto resta nel tuo registro attività. Nessuno di Simplio può usarla senza questo, e tu puoi rimuoverla da qualsiasi macchina quando vuoi.
Funziona se la macchina usa già certificati SSH per altro?
Sì. Su Linux la chiave non tocca la configurazione globale di SSH: si appoggia al file delle chiavi autorizzate dell'utente simplio-rescate stesso, quindi convive con l'autorità di certificazione di Lightsail o con qualsiasi altra. Su Windows, se il server OpenSSH aveva già configurata un'altra autorità, lo script si ferma e te lo dice perché tu lo controlli a mano.
E su Windows, cosa serve?
Windows Server 2019 e successivi includono il server OpenSSH di Microsoft come funzionalità opzionale (la 2025 lo ha già installato). Lo script lo attiva, crea l'utente con una password casuale che non viene salvata, inserisce l'autorità di Simplio nella configurazione di OpenSSH e apre la porta 22 nel firewall di Windows. Nel firewall di Lightsail apri la 22 solo per l'IP di Simplio. Per te, il Desktop remoto resta com'è.
Cosa succede se qualcuno elimina l'utente simplio-rescate?
Chi è amministratore della macchina può farlo, è inevitabile. Per questo Simplio lo verifica ogni giorno: la scheda passa a "Chiave di riserva persa" e ricevi un avviso, così la rifai mentre hai ancora accesso.
La nuova password generata da Simplio viene salvata?
No. Viene generata sul momento, applicata sulla macchina e mostrata una sola volta a schermo. Non va nel database, né nel registro attività, né in nessuna e-mail. Se la perdi, ne richiedi un'altra.
Va bene per EC2?
Oggi la chiave di riserva è pensata per le macchine Lightsail, dove Simplio può entrare la prima volta con la chiave temporanea fornita da AWS. Per EC2 la via ufficiale di AWS è la procedura AWSSupport-ResetAccess di Systems Manager, che spieghiamo nelle guide.
Guide correlate
- Lightsail Una chiave di riserva per non restare chiuso fuori dalla tua macchina
- Lightsail Hai perso la password di Administrator di un Windows su AWS: cosa puoi fare
- EC2 Certificati SSH spiegati da zero: entrare senza distribuire chiavi
- Lightsail Cosa fare se hai perso la chiave SSH della tua macchina
- Lightsail Aprire un terminale della tua macchina AWS dal browser, su Linux e su Windows