Abrir um terminal da sua máquina AWS a partir do navegador, em Linux e em Windows

Mais cedo ou mais tarde é preciso "entrar" no servidor: reiniciar um serviço, ver porque é que o disco encheu, ler um registo. E aí aparece a pergunta de sempre: quem tem a chave? Um terminal no navegador tira o problema do caminho: não há que instalar nada no computador de quem entra, nem enviar-lhe uma chave por e-mail, e fica registado quem entrou. Este guia explica o que a AWS lhe oferece para isso em cada caso e que passos tem.

Passo a passo

1. Linux no Lightsail: a consola web

   Na consola do Lightsail, cada máquina Linux tem o botão Ligar através de SSH. Abre-se um terminal no navegador sem configurar nada: o Lightsail gera uma chave temporária, mete-a na máquina uns minutos e entra como o utilizador da imagem (bitnami, ubuntu, ec2-user…). É cómodo e seguro. O que não lhe dá: permissões por pessoa (quem entra na consola da AWS entra em todas as máquinas), registo de quem abriu o quê, nem forma de a dar a um técnico externo sem lhe dar a sua conta da AWS.

2. Linux no EC2: Session Manager

   No EC2 não existe essa chave temporária. A opção sem cliente é o Session Manager, do Systems Manager: a máquina leva um agente (as imagens da Amazon trazem-no) e uma função de IAM que lhe permite falar com o Systems Manager; a partir da consola do EC2, Ligar → Session Manager abre um terminal. Vantagens: não é preciso abrir a porta 22 e fica registo. Em troca: a função de IAM, as permissões e, se quiser gravar sessões, um bucket S3 ou o CloudWatch. É a via recomendada pela AWS para o EC2.

3. Windows: PowerShell por OpenSSH

   A consola do Lightsail para Windows é o Ambiente de Trabalho Remoto no navegador, pesado e com a palavra-passe de Administrator pelo meio. A alternativa leve é o servidor OpenSSH do Windows: em PowerShell como administrador,

   Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0
   Set-Service sshd -StartupType Automatic; Start-Service sshd
   New-ItemProperty -Path HKLM:\SOFTWARE\OpenSSH -Name DefaultShell -Value "$env:SystemRoot\System32\WindowsPowerShell\v1.0\powershell.exe" -PropertyType String -Force

   Com isso, uma ligação SSH à porta 22 abre o PowerShell. Abra a 22 na firewall do Windows e na do Lightsail só para os IPs que devam entrar. No Windows Server 2025 o servidor já vem instalado e só há que o arrancar.

4. Verifique a impressão digital da primeira vez

   A primeira ligação a uma máquina mostra a sua impressão digital e pergunta se a aceita. Se puder, compare-a com a que a própria máquina dá (ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub em Linux; em Windows o mesmo comando sobre C:\ProgramData\ssh\ssh_host_ed25519_key.pub). A partir daí o seu cliente lembra-se dela e avisa se mudar. Um aviso de impressão digital alterada sem motivo é sério: não continue até perceber porquê.

5. Dar a consola a um técnico sem lhe dar a sua conta

   Aqui a AWS fica aquém. As opções são criar um utilizador de IAM para ele com permissões muito limitadas (e mantê-las), ou dar-lhe uma chave SSH própria e copiá-la para as máquinas em que vai mexer (e lembrar-se de a retirar). Nenhuma é terrível; as duas são trabalho que se acumula com cada técnico e cada máquina, e o que costuma acontecer no fim é partilhar-se "a chave de sempre".

O que pode correr mal