Cosa fare se hai perso la chiave SSH della tua macchina Lightsail

Per entrare in un server Linux da un terminale non si usa una password ma una chiave SSH: un file che hai sul tuo computer e che la macchina riconosce. È più sicuro di una password, e proprio per questo, quando si perde il file, non c'è nessun "hai dimenticato la password?". Hai formattato il portatile, il tecnico che la aveva non c'è più, il file è rimasto su un disco vecchio: la macchina continua a funzionare ma nessuno può entrare.

Pensa a cosa succederebbe se fosse domani, con il sito di un cliente in produzione: su AWS non c'è un'assistenza che entri al posto tuo, la macchina è tua e anche la chiave. In Lightsail di solito c'è una via d'uscita, perché la sua console può aprire un terminale nella macchina senza la tua chiave e da lì se ne mette una nuova. Ma quella via d'uscita fallisce più spesso di quanto sembri (un firewall interno, una configurazione SSH rotta, la casella sbagliata in Rete), su EC2 semplicemente non esiste, e allora la strada passa per istantanee e macchine nuove, o per il nulla. Questa guida percorre tutte le vie d'uscita, dalla più facile all'ultima, e finisce con quello che conviene lasciare pronto per non ripassare da qui.

Passo dopo passo

1. Verifica se la macchina usa la chiave predefinita

   Nella console di Lightsail, apri la macchina. Nella scheda Connetti dice quale chiave usa: se c'è scritto "chiave predefinita" della tua regione, sei fortunato: vai al menu del tuo account (in alto a destra), Account, scheda Chiavi SSH, e scarica la chiave predefinita di quella regione. Con quel file puoi già entrare come sempre. Se la macchina usava una chiave che hai caricato tu o creato con un nome tuo, continua a leggere.

2. Entra con il terminale del browser

   Clicca il pulsante Connetti tramite SSH della macchina. Si apre un terminale in una finestra del browser, già dentro la macchina, senza chiederti nulla: Lightsail usa per questo una sua chiave temporanea. Se si apre, il problema è risolto a metà; ora metterai una chiave tua per rientrare dal tuo computer.

3. Crea una chiave nuova sul tuo computer

   Su Windows (PowerShell), Mac o Linux, scrivi in un terminale del tuo computer:

   ssh-keygen -t ed25519 -f ~/.ssh/lightsail-nueva

   Ti chiede una password per proteggere la chiave (consigliabile). Crea due file: lightsail-nueva (privata, non condividerla) e lightsail-nueva.pub (pubblica). Apri il .pub con un editor di testo e copia la sua unica riga, che inizia con ssh-ed25519.

4. Aggiungi la chiave pubblica nella macchina

   Torna al terminale del browser e scrivi, incollando la tua riga tra le virgolette:

   echo "ssh-ed25519 AAAA...tu-clave... comentario" >> ~/.ssh/authorized_keys
   chmod 600 ~/.ssh/authorized_keys

   Nel terminale del browser si incolla con l'icona degli appunti della finestra stessa (premere Ctrl+V lì non sempre funziona). Verifica con tail -1 ~/.ssh/authorized_keys che la riga sia rimasta intera.

5. Prova dal tuo computer

   Dal terminale del tuo computer:

   ssh -i ~/.ssh/lightsail-nueva bitnami@IP-de-la-maquina

   L'utente è bitnami nei modelli di applicazioni, ubuntu su Ubuntu, ec2-user su Amazon Linux o admin su Debian. Se entri, conserva la chiave privata in un posto sicuro (un gestore di password accetta file) e, questa volta, annota dove sta.

6. Se nemmeno il terminale del browser entra: istantanea

   A volte un firewall interno della macchina o una configurazione SSH rotta impediscono anche il terminale del browser. Allora: scheda Snapshot, creane una (o usa l'automatica più recente), e da essa Crea nuova istanza. Nel modulo di creazione, nella sezione della chiave SSH, scegli quella predefinita o una nuova. La macchina nuova è una copia esatta con una chiave che hai davvero. Sposta l'IP statico sulla nuova (guida in questa sezione) e cancella la vecchia quando hai verificato che tutto va bene. Metti in conto un'ora abbondante e un'interruzione, e fallo con calma: è il momento in cui è più facile rompere qualcos'altro.

7. Su EC2 non c'è il terminale del browser: la procedura ufficiale

   Su EC2 la console di AWS non può entrare al posto tuo. Le vie d'uscita sono due. Quella automatica: AWSSupport-ResetAccess, in Systems Manager → Automation, che ferma la macchina, lavora sul suo disco da una macchina ausiliaria e la riavvia con una chiave nuova (la macchina resterà ferma qualche minuto). Quella manuale, per chi se la cava: fermare la macchina, scollegare il suo disco radice, agganciarlo a un'altra macchina EC2, montare il disco e aggiungere la tua chiave pubblica all'authorized_keys dell'utente, e rimettere il disco al suo posto. Se la macchina ha l'agente di Systems Manager e un ruolo IAM, Session Manager apre un terminale senza chiave e ti risparmia tutto quanto sopra.

8. E se non c'è nemmeno un'istantanea

   È la fine della catena e conviene guardarla in faccia. Se il terminale del browser non entra, se non è Lightsail, se la macchina è stata cancellata o il disco è danneggiato, e non esiste nessuna copia, non c'è niente da recuperare: l'applicazione, il database, i file, le configurazioni e gli anni di lavoro che c'erano dentro si perdono. AWS non può recuperare quello che non è stato copiato, e non c'è un servizio tecnico da chiamare. Non è un caso raro: succede ogni anno ad aziende che consideravano la macchina "una cosa che semplicemente funziona".

9. Recuperato l'accesso: lascia pronto quello che ti avrebbe risparmiato tutto questo

   1. Istantanee automatiche, ogni notte, e se possibile una copia in un'altra regione. È l'unica differenza tra un'ora di lavoro e perdere tutto.
   2. Una porta di emergenza che non dipenda da file su portatili né dalla console di AWS: un utente di soccorso che accetti solo certificati firmati da te, come spiega la guida della chiave di riserva.
   3. La chiave privata in un gestore di password, condivisa con chi deve averla, e annotato dove sta.

Cosa può andare storto