Piensa un momento en qué pasaría si mañana no pudieras entrar en una de tus máquinas. La clave SSH estaba en el portátil de alguien que ya no está. La contraseña de Administrator la cambió un técnico "temporalmente" y nadie la apuntó. Un cambio en la configuración de SSH salió mal y la puerta se cerró contigo fuera. La máquina sigue funcionando y la web sigue abierta, pero ya no mandas en ella, y en AWS no hay un "he olvidado la contraseña" ni un soporte que entre por ti.
Las salidas que quedan no son cómodas. En Linux, Lightsail te deja su consola web; en Windows, solo si nadie cambió nunca la contraseña. Cuando eso no sirve, toca parar la máquina, hacer una instantánea y levantar otra: horas de trabajo y de parada, en el peor momento, con la aplicación de un cliente dando servicio. Y si tampoco hay instantánea, se pierde todo lo que había dentro: no hay a quién llamar. La llave de repuesto de Simplio es exactamente lo que su nombre dice: una copia de la llave que dejas guardada antes de necesitarla. Se crea con un botón en la tarjeta de la máquina y, a partir de ahí, Simplio comprueba cada día que sigue abriendo. El día que te quedes fuera, desde esa misma tarjeta pones una contraseña nueva al administrador, le añades tu clave pública o lo desbloqueas. Con tu código del doble factor, en un minuto, sin parar nada.
Como funciona
Prime "Criar chave de reserva" no cartão da máquina
En una máquina Linux, Simplio entra una sola vez con la clave temporal que da Lightsail y deja preparado el usuario
simplio-rescate. En Windows, Simplio te da un guion de PowerShell para pegar una vez por Escritorio remoto: activa el servidor OpenSSH que ya trae Windows, crea el usuario y abre el puerto 22 solo para la IP de Simplio. No se instala nada de Simplio en la máquina.O utilizador fica sem palavra-passe utilizável e só admite certificados de cinco minutos
simplio-rescateno tiene una contraseña que se pueda adivinar ni robar: en Linux no tiene ninguna; en Windows lleva una aleatoria de 40 caracteres que se genera, se aplica y se descarta en el mismo instante, sin guardarse ni mostrarse. La única forma de entrar es un certificado SSH firmado por Simplio, que caduca a los cinco minutos y que la máquina solo acepta si viene desde la IP del servidor de Simplio.O Simplio verifica todos os dias que a chave continua a abrir
Una conexión de prueba diaria. Si alguien borra el usuario, cambia la configuración de SSH o cierra el puerto, lo ves en la tarjeta (la pastilla pasa a "Llave de repuesto perdida") y recibes un aviso, mientras todavía tienes acceso normal para rehacerla. Puedes comprobarlo a mano cuando quieras con "Comprobar ahora".
No dia em que ficar de fora: "Resgatar com a chave de reserva"
Escribes el usuario que quieres recuperar (bitnami, ubuntu, ec2-user, Administrator…) o, si no lo sabes, eliges "Ver qué usuarios hay en la máquina" y Simplio te los lista con su carpeta, si son administradores y cuándo entraron por última vez. Después eliges qué hacer:
- Ponerle una contraseña nueva. Simplio genera una, la aplica y te la muestra una sola vez. No se guarda en ningún sitio. En Linux puedes marcar que SSH admita además entrar con contraseña, porque muchas máquinas solo aceptan clave.
- Añadirle tu clave pública SSH. Pegas la pública de tu clave nueva y vuelves a entrar como siempre.
- Desbloquearlo. Para cuentas bloqueadas por intentos fallidos o caducadas.
- Consola como simplio-rescate. Para el técnico: una terminal con permisos de administrador, en el navegador, para arreglar lo que haga falta a mano. En Windows es una consola PowerShell, y es la que abre el botón Terminal de la tarjeta cuando Lightsail ya no puede dar la contraseña de administrador.
Todo pide el código del doble factor, también si eres administrador de Simplio, y todo queda en el registro de actividad: quién, qué, cuándo y desde qué IP.
Se um dia não a quiser, retira-a
"Quitar la llave de repuesto" borra el usuario, sus ficheros y las líneas de configuración que Simplio dejó. La máquina queda como antes.
Que segurança tem
Sem palavra-passe para roubar
O utilizador da chave não tem palavra-passe utilizável. Mesmo que alguém conheça o nome simplio-rescate, não há nada para tentar: nem força bruta, nem dicionário, nem palavra-passe vazada.
Certificados que expiram sozinhos
Cada entrada usa um certificado SSH assinado pelo Simplio que vale cinco minutos. Não é preciso revogar nem limpar nada depois: passado esse tempo, deixa de valer por si só.
Só a partir do IP do Simplio
O certificado só é aceite pela máquina se a ligação chegar do servidor do Simplio. Um certificado copiado ou a própria autoridade de assinatura, fora desse servidor, não servem para entrar.
A autoridade de assinatura, fora da base de dados
A chave com que o Simplio assina os certificados vive no ficheiro de segredos do servidor, fora da base de dados e das cópias de segurança, tal como a chave mestra que cifra os restantes segredos.
O Simplio não guarda nenhuma chave da sua máquina
Nem a chave SSH do Lightsail, nem a palavra-passe de Administrator, nem a palavra-passe nova que gera: essa mostra-se uma vez e esquece-se. A única coisa que fica no Simplio é a impressão digital do servidor SSH da máquina, para verificar em cada ligação que fala com a máquina certa.
Duplo fator sempre, e duas permissões distintas
Criar a chave e usá-la são permissões separadas: pode deixar que um técnico a crie em todas as máquinas sem que a possa usar, ou ao contrário. E cada utilização exige o código do telemóvel, sem exceções para administradores.
Tudo no registo de atividade
Cada criação, verificação, resgate e eliminação da chave fica registada com quem, que máquina, que ação, quando e a partir de que IP. A palavra-passe nova, não: nunca se escreve em nenhum registo.
Convive com o que a máquina já tem
No Linux, a chave apoia-se no mecanismo padrão do OpenSSH (certificados de utilizador) sem mexer na configuração global do SSH, pelo que convive com a autoridade de certificados que o Lightsail usa para a sua consola web. No Windows usa o servidor OpenSSH da Microsoft que o próprio sistema traz.
O mesmo, na AWS e no Simplio
| Por sua conta na AWS | No Simplio | |
|---|---|---|
| Deixar a porta preparada | Criar uma autoridade de certificados, um utilizador, sudo, ficheiros de principais e diretivas de SSH em cada máquina, à mão; no Windows, instalar e configurar o OpenSSH | Um botão no Linux; no Windows, colar um script uma vez |
| Guardar a chave | Você, num gestor de palavras-passe, e lembrar-se de onde | No servidor do Simplio, fora da base de dados; a máquina só a aceita a partir do IP do Simplio |
| Saber que continua a funcionar | Lembrar-se de a testar de vez em quando | Verificação diária automática e alerta se deixar de abrir |
| Recuperar o acesso | Assinar um certificado à mão, entrar por SSH, alterar a palavra-passe ou a chave com comandos | Duplo fator, escolher utilizador e ação, e a palavra-passe nova no ecrã uma só vez |
| Não saber o utilizador | Entrar como for e olhar para /home ou a lista de contas | "Ver que utilizadores existem na máquina": lista com pasta, administrador e último acesso |
| Se não havia porta | Linux: consola web do Lightsail. Windows: só se ninguém alterou a palavra-passe; se não, snapshot e máquina nova | Igual: a chave tem de ser deixada antes. Por isso o Simplio avisa-o se uma máquina não a tem |
| Se também não há snapshot | Perde-se tudo o que havia na máquina | Snapshots programados todas as noites, também noutra região, com alerta se falharem |
Perguntas frequentes
O Simplio pode entrar na minha máquina quando quiser?
Tecnicamente, a chave de reserva é uma porta que o Simplio abre. Por isso está feita para que cada utilização deixe rasto e requeira uma pessoa: é preciso um utilizador da sua conta com a permissão de a usar, o seu código do duplo fator nesse momento, e tudo fica no seu registo de atividade. Ninguém do Simplio a pode usar sem isso, e você pode retirá-la de qualquer máquina quando quiser.
Funciona se a máquina já usa certificados SSH para outra coisa?
Sim. No Linux a chave não mexe na configuração global do SSH: apoia-se no ficheiro de chaves autorizadas do próprio utilizador simplio-rescate, pelo que convive com a autoridade de certificados do Lightsail ou com qualquer outra. No Windows, se o servidor OpenSSH já tinha outra autoridade configurada, o script pára e di-lo para que o reveja à mão.
E no Windows, o que é preciso?
O Windows Server 2019 e posteriores trazem o servidor OpenSSH da Microsoft como funcionalidade opcional (o 2025 já o traz instalado). O script ativa-o, cria o utilizador com uma palavra-passe aleatória que não é guardada, deixa a autoridade do Simplio na configuração do OpenSSH e abre a porta 22 na firewall do Windows. Na firewall do Lightsail abre a 22 só para o IP do Simplio. Para si, o Ambiente de Trabalho Remoto continua igual.
O que acontece se alguém apagar o utilizador simplio-rescate?
Quem é administrador da máquina pode fazê-lo, é inevitável. Por isso o Simplio verifica-o todos os dias: o cartão passa a "Chave de reserva perdida" e recebe um alerta, de modo que a refaz enquanto ainda tem acesso.
A palavra-passe nova que o Simplio gera é guardada?
Não. Gera-se no momento, aplica-se na máquina e mostra-se uma só vez no ecrã. Não vai para a base de dados, nem para o registo de atividade, nem para nenhum e-mail. Se a perder, pede outra.
Serve para EC2?
Hoje a chave de reserva está pensada para máquinas Lightsail, onde o Simplio pode entrar a primeira vez com a chave temporária que a AWS dá. Para o EC2 o caminho oficial da AWS é o procedimento AWSSupport-ResetAccess do Systems Manager, que explicamos nos guias.
Guias relacionados
- Lightsail Uma chave suplente para não ficar fora da sua máquina
- Lightsail Perdeu a palavra-passe de Administrator de um Windows na AWS: o que pode fazer
- EC2 Certificados SSH explicados de raiz: entrar sem distribuir chaves
- Lightsail O que fazer se perdeu a chave SSH da sua máquina
- Lightsail Abrir um terminal da sua máquina AWS a partir do navegador, em Linux e em Windows