Aprire un terminale della tua macchina AWS dal browser, su Linux e su Windows

Prima o poi serve "entrare" nel server: riavviare un servizio, guardare perché il disco si è riempito, leggere un registro. E lì spunta la domanda di sempre: chi ha la chiave? Un terminale nel browser toglie il problema di mezzo: non bisogna installare nulla sul computer di chi entra, né mandargli una chiave per e-mail, e resta registrato chi è entrato. Questa guida spiega cosa ti offre AWS per questo in ogni caso e quali passi comporta.

Passo dopo passo

1. Linux su Lightsail: la console web

   Nella console di Lightsail, ogni macchina Linux ha il pulsante Connetti tramite SSH. Si apre un terminale nel browser senza configurare nulla: Lightsail genera una chiave temporanea, la mette nella macchina per qualche minuto ed entra come l'utente dell'immagine (bitnami, ubuntu, ec2-user…). È comodo e sicuro. Quello che non ti dà: permessi per persona (chi entra nella console di AWS entra in tutte le macchine), registro di chi ha aperto cosa, né un modo di darla a un tecnico esterno senza dargli il tuo account AWS.

2. Linux su EC2: Session Manager

   In EC2 quella chiave temporanea non esiste. L'opzione senza client è Session Manager, di Systems Manager: la macchina ha un agente (le immagini di Amazon lo includono) e un ruolo IAM che le permette di parlare con Systems Manager; dalla console di EC2, Connetti → Session Manager apre un terminale. Vantaggi: non serve aprire la porta 22 e resta un registro. In cambio: il ruolo IAM, i permessi e, se vuoi registrare le sessioni, un bucket S3 o CloudWatch. È la via raccomandata da AWS per EC2.

3. Windows: PowerShell via OpenSSH

   La console di Lightsail per Windows è Desktop remoto nel browser, pesante e con la password di Administrator di mezzo. L'alternativa leggera è il server OpenSSH di Windows: in PowerShell come amministratore,

   Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0
   Set-Service sshd -StartupType Automatic; Start-Service sshd
   New-ItemProperty -Path HKLM:\SOFTWARE\OpenSSH -Name DefaultShell -Value "$env:SystemRoot\System32\WindowsPowerShell\v1.0\powershell.exe" -PropertyType String -Force

   Con questo, una connessione SSH alla porta 22 apre PowerShell. Apri la 22 nel firewall di Windows e in quello di Lightsail solo per gli IP che devono entrare. Su Windows Server 2025 il server è già installato e basta avviarlo.

4. Verifica l'impronta la prima volta

   La prima connessione a una macchina mostra la sua impronta e chiede se la accetti. Se puoi, confrontala con quella che dà la macchina stessa (ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub su Linux; su Windows lo stesso comando su C:\ProgramData\ssh\ssh_host_ed25519_key.pub). Da lì in poi il tuo client la ricorda e avvisa se cambia. Un avviso di impronta cambiata senza motivo è serio: non proseguire finché non capisci perché.

5. Dare la console a un tecnico senza dargli il tuo account

   Qui AWS resta indietro. Le opzioni sono creare per lui un utente IAM con permessi molto limitati (e mantenerli), oppure dargli una chiave SSH propria e copiarla sulle macchine che deve toccare (e ricordarsi di toglierla). Nessuna delle due è terribile; entrambe sono lavoro che si accumula con ogni tecnico e ogni macchina, e quello che di solito succede alla fine è che si condivide "la chiave di sempre".

Cosa può andare storto