Windows no Lightsail: ambiente de trabalho remoto seguro e cópias

Nem tudo o que se põe na nuvem é Linux. Um programa de gestão que só corre em Windows, uma base de dados SQL Server, um ambiente de trabalho para que duas pessoas trabalhem a partir de casa com o mesmo programa: para isso o Lightsail oferece máquinas Windows Server com preço fixo por mês, licença incluída, e uma consola que não obriga a perceber de redes.

A diferença em relação a uma máquina Linux é a forma de entrar: em vez de um terminal, um ambiente de trabalho remoto (RDP), com ecrã, rato e teclado como se estivesse à frente dela. E aí está o perigo: um Windows com o ambiente de trabalho remoto aberto a toda a internet recebe milhares de tentativas de palavra-passe por dia desde o primeiro minuto. Este guia cria a máquina, liga-o a partir de Windows e de Mac, fecha a porta para que só você entre e termina com atualizações, cópias e que parte do preço é licença.

Passo a passo

1. Crie a máquina Windows

   Na consola do Lightsail, clique em Criar instância. Escolha a região próxima (para Espanha, Paris ou Irlanda). Na plataforma, marque Microsoft Windows. Nos modelos verá Apenas SO com Windows Server (2022 e 2025, conforme a região) e Aplicações + SO com SQL Server já instalado. Para um servidor de aplicação ou um ambiente de trabalho partilhado, o Windows Server mais recente em Apenas SO.

   Escolha o plano. O Windows precisa de mais do que o Linux: para um uso normal, um com 4 GB de memória é o mínimo confortável; com SQL Server, 8 GB. Os preços são mais altos do que os de Linux do mesmo tamanho: é a licença (explicamos no fim). Dê-lhe um nome (gestion-oficina) e clique em Criar instância. O Windows demora a ficar pronto: conte com dez minutos até poder entrar.

2. Obtenha a palavra-passe de administrador

   Clique na máquina e vá ao separador Ligar. Em baixo há uma secção com o utilizador (Administrator) e um botão Mostrar palavra-passe predefinida (ou "Obter palavra-passe predefinida"). O Lightsail gera-a ao criar a máquina e decifra-a com a chave da sua conta, por isso não tem de descarregar nada. Se o botão diz que ainda não está disponível, é porque o Windows ainda se está a instalar: espere uns minutos e recarregue.

   Guarde-a num gestor de palavras-passe, não num papel nem num e-mail. É provisória: vai mudá-la no passo 5. Antes de continuar, no separador Rede, Criar IP estático e atribua-o à máquina. Se não, o IP muda ao reiniciar e a sua ligação guardada deixará de funcionar.

3. Ligue-se por ambiente de trabalho remoto a partir de Windows ou Mac

   A forma mais rápida de experimentar é o botão Ligar através de RDP na própria consola: abre um ambiente de trabalho dentro do navegador. Serve para desenrascar, mas é lento e não copia bem ficheiros. Para trabalhar, use um cliente a sério:

   • A partir de Windows: clique em Iniciar, escreva Ligação ao Ambiente de Trabalho Remoto (ou mstsc) e abra-a. Em "Computador" cole o IP estático, clique em Mostrar opções e em "Nome de utilizador" escreva Administrator. Guarde a ligação com Guardar como. Ao ligar avisará que o certificado não é fidedigno: é normal numa máquina nova, aceite. Cole a palavra-passe.
   • A partir de Mac: instale a Windows App da Microsoft a partir da App Store (o antigo Microsoft Remote Desktop). Clique em +, Adicionar PC, escreva o IP estático e crie uma conta de utilizador com Administrator e a palavra-passe. Duplo clique para ligar; aceite o aviso do certificado.

   Se vir um erro de tempo de espera esgotado, é a firewall: verifique-a em Rede. Se entrar, o Windows abre o Gestor de Servidor; pode fechá-lo.

4. Feche a 3389 a toda a gente menos a si

   Este é o passo que quase ninguém dá e o que mais problemas evita. Vá ao separador Rede da máquina, secção Regras de firewall IPv4. Verá a regra RDP, porta 3389, com origem "Qualquer endereço IPv4". Clique no lápis para a editar, marque Restringir a endereço IP e escreva o seu IP público (vê-o procurando "qual é o meu IP" no navegador). Pode pôr vários: o escritório, a sua casa. Deixe marcada a caixa de permitir o cliente RDP do navegador do Lightsail, para poder entrar a partir da consola se um dia mudar de IP e ficar de fora. Guarde.

   Faça o mesmo com a regra de IPv6, se existir. As regras HTTP (80) e HTTPS (443) só devem existir se a máquina servir um site; se não, apague-as.

   Nunca deixe a 3389 aberta a todos "só um bocado": as tentativas de palavra-passe começam em minutos e não param. Se o seu IP muda com frequência (fibra doméstica sem IP fixo), edite a regra quando mudar; a opção robusta é uma VPN, que é outro assunto.

5. Mude a palavra-passe e crie outro utilizador

   Dentro do ambiente de trabalho remoto, prima Ctrl + Alt + End (é o equivalente de Ctrl + Alt + Del numa sessão remota) e escolha Alterar uma palavra-passe. Ponha uma longa, gerada pelo seu gestor de palavras-passe. A partir desse momento o botão "Mostrar palavra-passe predefinida" do Lightsail deixa de valer: guarde-a bem.

   Agora um utilizador para trabalhar. Clique em Iniciar, escreva Gestão de Computadores, abra Utilizadores e Grupos Locais, Utilizadores, botão direito, Novo Utilizador. Nome (maria), palavra-passe, e crie. Depois, botão direito sobre o utilizador, Propriedades, separador Membro de, Adicionar e escreva Utilizadores do Ambiente de Trabalho Remoto; sem esse grupo não conseguirá ligar-se. Se tiver de instalar programas, adicione-o também a Administradores; se não, é melhor não. Cada pessoa devia ter o seu utilizador: partilhar o Administrator é a forma mais fácil de nunca saber quem fez o quê.

6. Mantenha o Windows atualizado

   O Lightsail não atualiza o Windows por si. Clique em Iniciar, Definições, Windows Update, Procurar atualizações. Da primeira vez haverá muitas; instale e reinicie (a máquina volta sozinha em dois minutos e o IP estático não muda). Depois deixe-o em automático com as horas ativas ajustadas para que não reinicie a meio do dia de trabalho: no Windows Update, Opções avançadas, Horas ativas. E antes de qualquer atualização grande, o passo seguinte.

7. Agende os instantâneos

   Separador Instantâneos da máquina. Clique em Criar instantâneo para ter um agora que tudo funciona e está limpo; dê-lhe um nome que diga o que é (gestion-limpio-2026-10). Depois ative os instantâneos automáticos e escolha uma hora de madrugada no seu fuso. O Lightsail guarda os sete últimos e apaga os anteriores; os manuais não se apagam sozinhos.

   Os instantâneos fazem-se com a máquina ligada. Se tem SQL Server ou outra base de dados, faça também cópias a partir do próprio programa: um instantâneo a meio de uma escrita pode deixar a base de dados num estado que seja preciso reparar. Para restaurar, no instantâneo clique em Criar nova instância, escolha o mesmo plano ou um maior, passe-lhe o IP estático e apague a máquina estragada. Cobra-se pelo espaço que ocupam, em GB por mês; pouco comparado com a máquina.

O que se passa com as licenças no preço

Uma máquina Windows no Lightsail custa bastante mais do que uma Linux do mesmo tamanho. A diferença é a licença do Windows Server, que a AWS inclui no plano: não tem de a comprar, ativar nem renovar, e é legal usá-la para o que for enquanto a máquina existir. O mesmo com os modelos de SQL Server: as edições Express são gratuitas e custam o que custa a máquina; as Standard e Web levam a licença incluída e o preço sobe de forma notória.

O que não vai incluído são as licenças de acesso de ambiente de trabalho remoto para vários utilizadores (as CAL de RDS). O Windows Server permite duas sessões administrativas ao mesmo tempo sem mais; se quer que cinco pessoas trabalhem ao mesmo tempo na mesma máquina, precisa de CAL próprias, que se compram à Microsoft ou a um distribuidor. Para uma ou duas pessoas que entram por turnos, não é preciso nada.

Como em qualquer máquina Lightsail, o preço é por pacote mensal e cobra-se enquanto a máquina existir, ligada ou parada. Parar um Windows à noite não poupa; apagá-lo com um instantâneo feito, sim.

O que pode correr mal