O que fazer se perdeu a chave SSH da sua máquina Lightsail

Para entrar num servidor Linux a partir de um terminal não se usa uma palavra-passe mas sim uma chave SSH: um ficheiro que tem no seu computador e que a máquina reconhece. É mais seguro do que uma palavra-passe, e exatamente por isso, quando o ficheiro se perde, não há "esqueceu-se da palavra-passe?". Formatou o portátil, o técnico que a tinha já lá não está, o ficheiro ficou num disco velho: a máquina continua a funcionar mas ninguém consegue entrar.

Pense no que aconteceria se fosse amanhã, com o site de um cliente em serviço: na AWS não há um suporte que entre por si, a máquina é sua e a chave também. No Lightsail costuma haver saída, porque a sua consola consegue abrir um terminal na máquina sem a sua chave e a partir daí põe-se uma nova. Mas essa saída falha mais do que parece (uma firewall interna, uma configuração de SSH avariada, a caixa errada em Rede), no EC2 simplesmente não existe, e então o caminho passa por instantâneos e máquinas novas, ou por nada. Este guia percorre todas as saídas, da fácil à última, e termina com o que convém deixar preparado para não voltar a passar por isto.

Passo a passo

1. Verifique se a máquina usa a chave predefinida

   Na consola do Lightsail, abra a máquina. No separador Ligar diz que chave usa: se disser "chave predefinida" da sua região, está com sorte: vá ao menu da sua conta (em cima à direita), Conta, separador Chaves SSH, e descarregue a chave predefinida dessa região. Com esse ficheiro já pode entrar como sempre. Se a máquina usava uma chave que você carregou ou criou com nome próprio, continue a ler.

2. Entre com o terminal do navegador

   Clique no botão Ligar através de SSH da máquina. Abre-se um terminal numa janela do navegador, já dentro da máquina, sem lhe pedir nada: o Lightsail usa para isto uma chave temporária própria. Se abrir, o problema está meio resolvido; agora vai pôr uma chave sua para voltar a entrar a partir do seu computador.

3. Crie uma chave nova no seu computador

   Em Windows (PowerShell), Mac ou Linux, escreva num terminal do seu computador:

   ssh-keygen -t ed25519 -f ~/.ssh/lightsail-nueva

   Pede-lhe uma palavra-passe para proteger a chave (recomendável). Cria dois ficheiros: lightsail-nueva (privada, não a partilhe) e lightsail-nueva.pub (pública). Abra o .pub com um editor de texto e copie a sua única linha, que começa por ssh-ed25519.

4. Acrescente a chave pública na máquina

   Volte ao terminal do navegador e escreva, colando a sua linha entre as aspas:

   echo "ssh-ed25519 AAAA...tu-clave... comentario" >> ~/.ssh/authorized_keys
   chmod 600 ~/.ssh/authorized_keys

   Colar no terminal do navegador faz-se com o ícone da área de transferência da própria janela (carregar em Ctrl+V nem sempre funciona aí). Confirme com tail -1 ~/.ssh/authorized_keys que a linha ficou inteira.

5. Teste a partir do seu computador

   A partir do terminal do seu computador:

   ssh -i ~/.ssh/lightsail-nueva bitnami@IP-de-la-maquina

   O utilizador é bitnami nos modelos de aplicações, ubuntu no Ubuntu, ec2-user no Amazon Linux ou admin no Debian. Se entrar, guarde a chave privada num sítio seguro (um gestor de palavras-passe aceita ficheiros) e, desta vez, anote onde está.

6. Se o terminal do navegador também não entra: instantâneo

   Às vezes uma firewall interna da máquina ou uma configuração de SSH avariada impedem até o terminal do navegador. Nesse caso: separador Snapshots, crie um (ou use o automático mais recente), e a partir dele Criar nova instância. No formulário de criação, na secção da chave SSH, escolha a predefinida ou uma nova. A máquina nova é uma cópia exata com uma chave que tem mesmo. Mova o IP estático para a nova (guia nesta secção) e apague a velha quando confirmar que está tudo bem. Conte com uma hora larga e uma paragem, e faça-o com calma: é o momento em que é mais fácil estragar mais alguma coisa.

7. No EC2 não há terminal do navegador: o procedimento oficial

   No EC2 a consola da AWS não consegue entrar por si. As saídas são duas. A automática: AWSSupport-ResetAccess, em Systems Manager → Automation, que para a máquina, trabalha sobre o seu disco a partir de uma máquina auxiliar e volta a arrancá-la com uma chave nova (a máquina vai estar parada uns minutos). A manual, para quem se desenrasca: parar a máquina, desligar o seu disco raiz, ligá-lo a outra máquina EC2, montar o disco e acrescentar a sua chave pública ao authorized_keys do utilizador, e devolver o disco ao seu lugar. Se a máquina tiver o agente do Systems Manager e uma função IAM, o Session Manager abre um terminal sem chave e poupa-lhe tudo o que ficou dito.

8. E se também não houver instantâneo

   É o fim da cadeia e convém olhá-lo de frente. Se o terminal do navegador não entra, se não é Lightsail, se a máquina foi apagada ou o disco está danificado, e não existe nenhuma cópia, não há nada a recuperar: a aplicação, a base de dados, os ficheiros, as configurações e os anos de trabalho que lá estivessem perdem-se. A AWS não consegue recuperar o que não foi copiado, e não há um serviço técnico a quem ligar. Não é um caso raro: acontece todos os anos a negócios que tomavam a máquina por "algo que simplesmente funciona".

9. Recuperado o acesso: deixe preparado o que lhe teria poupado tudo isto

   1. Instantâneos automáticos, todas as noites, e se possível uma cópia noutra região. É a única diferença entre uma hora de trabalho e perder tudo.
   2. Uma porta de emergência que não dependa de ficheiros em portáteis nem da consola da AWS: um utilizador de emergência que só aceite certificados assinados por si, como explica o guia da chave suplente.
   3. A chave privada num gestor de palavras-passe, partilhada com quem deva tê-la, e anotado onde está.

O que pode correr mal