Proteja las instancias de Amazon EC2 lanzadas a partir de instantáneas de Lightsail

Amazon Lightsail y Amazon Elastic Compute Cloud (Amazon EC2) Compute Cloud utilizan criptografía de clave pública para cifrar y descifrar la información de inicio de sesión. En la criptografía de clave pública, se utiliza una clave pública para cifrar determinados datos, como, por ejemplo, una contraseña; a continuación, el destinatario utiliza la clave privada para descifrar los datos. El conjunto de clave pública y clave privada se denomina par de claves.

Al exportar una instancia de Lightsail de Linux o Unix a EC2, la nueva instancia de EC2 contendrá claves residuales del servicio Lightsail. Como práctica recomendada de seguridad, debe eliminar las claves sin utilizar de la instancia.

Para mejorar la seguridad de una instancia de Linux o Unix en EC2 que se creó a partir de una instantánea de Lightsail, le recomendamos que realice las siguientes acciones después de crear la instancia:

• Elimine y reemplace la clave predeterminada de Lightsail si la usó para conectarse a la instancia de origen en Lightsail. La clave predeterminada de Lightsail no está presente en la instancia de Amazon EC2 si utilizó su propia clave para conectarse a la instancia o si creó una clave para la instancia en la consola de Lightsail.

• Extraiga la llave del sistema Lightsail, también conocida como llave. lightsail_instance_ca.pub Esta clave en las instancias de Linux y Unix permite la conexión del cliente SSH basado en el navegador Lightsail. La lightsail_instance_ca.pub clave se elimina automáticamente cuando se crea una instancia de EC2 mediante la página Crear una instancia de Amazon EC2 de la consola de Lightsail o la API de Lightsail.

Contenido

• Creación de un par de claves privado mediante Amazon EC2

• Crear la clave pública con PuTTYgen

• Conexión a una instancia de Linux o Unix en Amazon EC2

• Añadir la clave pública a la instancia y probar la conexión

• Eliminar la clave predeterminada de Lightsail

• Extraiga la clave del sistema Lightsail

Creación de un par de claves privado mediante Amazon EC2

Utilice la consola Amazon EC2 para crear un nuevo par de claves que pueda utilizar para sustituir el par de claves predeterminado de Lightsail.

Para crear un par de claves privado mediante Amazon EC2

1. Inicie sesión en la consola de Amazon EC2.

2. En el panel de navegación izquierdo, elija Key Pairs (Pares de claves).

3. Elija Crear par de claves.

   

4. Escriba un nombre para la clave en el cuadro de texto Key pair name (Nombre de par de claves) y, a continuación, elija Create (Crear).

   La nueva clave privada se descarga automáticamente. Anote dónde se guarda la clave privada. La necesita en la siguiente sección Crear la clave pública con PuTTYgen de esta guía para crear una clave pública.

   

Crear la clave pública con PuTTYgen

PuTTYgen es una herramienta que se incluye con PuTTY. Utilice PuTTYgen para generar el texto de clave pública que se añade a la instancia más adelante en esta guía.

nota

Para obtener más información sobre cómo configurar PuTTY para que se conecte a su instancia de Linux o Unix, consulte Conectarse a una instancia Amazon EC2 de Linux o Unix creada a partir de una instantánea de Lightsail.

Para crear la clave pública con PuTTYgen

1. Inicie PuTTYgen.

   Por ejemplo, elija el menú Inicio de Windows, elija Todos los programas, elija PuTTY y seleccione PuTTYgen.

   

2. Elija Load (Cargar).

   De forma predeterminada, PuTTYgen muestra solo archivos con la extensión .PPK. Para localizar el archivo .PEM, seleccione la opción de mostrar todos los tipos de archivo.

   

3. Vaya a la ubicación de la clave privada que se creó anteriormente en esta guía. Elija la clave privada y, a continuación, elija Open (Abrir)

4. Una vez que PuTTYgen confirma que ha importado la clave correctamente, elija OK (Aceptar).

5. Resalte el contenido del cuadro de texto Public key (Clave pública) y cópielo en el portapapeles pulsando Ctrl+C si está usando Windows o Cmd+C si está usando macOS.

   Abre un editor de texto, como el Bloc de notas o TextEdit, y pega el texto de clave pública en él pulsando Ctrl+V si utilizas Windows o Cmd+V si utilizas macOS. Guarde el archivo con el texto de la clave pública; lo necesitará más adelante en esta guía.

   

6. Continúe a la sección Conexión a una instancia de Linux o Unix en Amazon EC2 de esta guía para conectarse a su instancia de EC2 y agregar la clave pública.

Conexión a una instancia de Linux o Unix en Amazon EC2

Conéctese a su instancia de Linux o Unix en Amazon EC2 mediante SSH para eliminar la clave predeterminada y la clave del sistema de Lightsail. Para obtener más información, consulte Conectarse a una instancia de Linux o Unix en Amazon EC2 creada a partir de una instantánea de Amazon Lightsail.

Continúe a la sección Agregar la clave pública a la instancia y probar la conexión de esta guía cuando se haya conectado a la instancia en Amazon EC2.

Añadir la clave pública a la instancia y probar la conexión

El contenido de la clave pública se guarda en el archivo ~/.ssh/authorized_keys en las instancias de Linux y Unix. Edite el archivo para eliminar y reemplazar la clave predeterminada de Lightsail de su instancia de Linux o Unix en Amazon EC2.

Para añadir la clave pública a la instancia y probar la conexión

1. Después de establecer una conexión SSH a la instancia, escriba el siguiente comando para editar el archivo authorized_keys con el editor de texto Vim.

   sudo vim ~/.ssh/authorized_keys

   nota

   En estos pasos se usa Vim con fines de demostración. No obstante, puede utilizar cualquier editor de texto para estos pasos.

   

2. Presione la tecla I para introducir el modo de inserción en el editor de Vim.

3. Introduzca una línea adicional después de la clave predeterminada de Lightsail.

4. Copie y pegue el texto de la clave pública que ha guardado anteriormente en esta guía.

   El resultado debe ser similar a lo siguiente:

   

5. Presione la tecla ESC y, a continuación, ingrese :wq! para guardar los cambios y salir de Vim.

6. Escriba el siguiente comando para reiniciar el servidor de Open SSH:

   sudo /etc/init.d/sshd restart

   Debería ver un resultado similar al siguiente:

   

   Su nueva clave pública se ha añadido ahora a la instancia. Para probar el nuevo par de claves, desconéctese de la instancia. Configura PuTTY para que use tu nueva clave privada en lugar de la clave predeterminada de Lightsail. Si puedes conectarte correctamente a tu instancia con el nuevo par de claves, continúa con la sección Eliminar la clave predeterminada de Lightsail de esta guía para eliminar la clave predeterminada de Lightsail.

Eliminar la clave predeterminada de Lightsail

Elimine la clave predeterminada de Lightsail después de añadir una nueva clave pública a la instancia y de conectarse correctamente a ella mediante el nuevo par de claves.

Para eliminar la clave predeterminada de Lightsail

1. Después de establecer una conexión SSH a la instancia, escriba el siguiente comando para editar el archivo authorized_keys file con el editor de texto Vim.

   sudo vim ~/.ssh/authorized_keys

2. Presione la tecla I para introducir el modo de inserción en el editor de Vim.

3. Elimine la línea que termina con LightsailDefaultKeyPair. Esta es la clave predeterminada de Lightsail.

   

4. Presione la tecla ESC y, a continuación, ingrese :wq! para guardar los cambios y salir de Vim.

5. Escriba el siguiente comando para reiniciar el servidor de Open SSH:

   sudo /etc/init.d/sshd restart

   Debería ver un resultado similar al siguiente:

   

   La clave predeterminada de Lightsail ahora se ha eliminado de la instancia. Su instancia ahora rechazará las conexiones que usen la clave predeterminada de Lightsail. Continúe con la sección Extraer la clave del sistema Lightsail de esta guía para quitar la clave del sistema Lightsail.

Extraiga la clave del sistema Lightsail

La clave del sistema Lightsail, también conocida como clave, en las instancias de Linux y Unix permite lightsail_instance_ca.pub la conexión del cliente SSH basado en el navegador Lightsail. Siga estos pasos para eliminar la clave lightsail_instance_ca.pub de su instancia de Linux o Unix en Amazon EC2 y editar el archivo /etc/ssh/sshd_config. El archivo /etc/ssh/sshd_config define los parámetros para las conexiones de SSH a su instancia.

Para quitar la clave del sistema Lightsail

1. En una ventana de terminal de SSH conectada a la instancia, escriba el siguiente comando para eliminar la clave lightsail_instance_ca.pub:

   sudo rm –r /etc/ssh/lightsail_instance_ca.pub

2. Ingrese el siguiente comando para editar el archivo sshd_config con el editor de texto Vim.

   sudo vim /etc/ssh/sshd_config

3. Presione la tecla I para introducir el modo de inserción en el editor de Vim.

4. Elimine el siguiente texto en el archivo, si está presente:

   TrustedUserCAKeys /etc/ssh/lightsail_instance_ca.pub

5. Presione la tecla ESC y, a continuación, ingrese :wq! para guardar los cambios y salir de Vim.

6. Escriba el siguiente comando para reiniciar el servidor de Open SSH:

   sudo /etc/init.d/sshd restart

   Debería ver un resultado similar al siguiente:

   

   La clave lightsail_instance_ca.pub ahora ya se ha eliminado de la instancia. El archivo sshd_config asociado se actualiza para excluir dicha clave.