Wie setze ich das Administratorpasswort auf einer EC2-Windows-Instance zurück?

Lesedauer: 7 Minute

Ich möchte das Administratorpasswort meiner Windows-Instance der Amazon Elastic Compute Cloud (Amazon EC2) zurücksetzen.

Lösung

Systems Manager führt den Befehl AWSSupport-RunEC2RescueForWindowsTool aus (Online-Methode)

Voraussetzungen:

Du musst AWS Systems Manager konfigurieren und dann den Systems Manager-Agenten auf der Instance installieren. Weitere Informationen findest du unter AWS Systems Manager einrichten.
Die Instance muss über einen Internetzugang verfügen und eine öffentliche IP-Adresse oder ein NAT-Gateway verwenden.
-oder-
Die Instance muss einen Amazon Virtual Private Cloud (Amazon VPC)-Endpunkt verwenden, der für Systems Manager konfiguriert ist.
Weitere Informationen findest du unter AWS PrivateLink-Konzepte.

Gehe wie folgt vor, um den Systems Manager Run Command zum Zurücksetzen des Administratorpassworts zu verwenden:

Hänge die folgende Richtlinie an die AWS-Rolle für Identity and Access Management (IAM) an, die der Instance zugeordnet ist:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:parameter/EC2Rescue/Passwords/i-*"
            ]
        }
    ]
}

Diese Richtlinie schreibt das verschlüsselte Passwort in den Parameter Store.

Öffne die Systems Manager-Konsole.
Wähle im Navigationsbereich die Option Befehl ausführen aus.
Wähle Befehl ausführen aus.
Wähle für das Befehlsdokument die Option AWSSupport-RunEC2RescueForWindowsTool aus.
Stelle für Befehlsparameter sicher, dass Befehl auf ResetAccess gesetzt ist.
Wähle für Ziele die Option Instances manuell auswählen aus und wähle dann deine Instance aus.
Wähle Ausführen aus.
Wähle im Abschnitt Ziele und Outputs die Instance-ID für deine Instance aus.
Wähle Output anzeigen aus, um Anweisungen zum Abrufen des neuen Passworts zu erhalten.

Hinweis: Nachdem du wieder Zugriff auf deine Instance erhalten hast, empfiehlt es sich, das Passwort zu ändern und dann den Parameter aus dem Parameter Store zu löschen.

Weitere Informationen findest du unter Problembehandlung einer beeinträchtigten Windows-Instance mit EC2Rescue und Systems Manager.

Systems Manager Automation mit AWSSupport-ResetAccess (Offline-Methode)

Wichtig: Bevor du die Automatisierung ausführst, überprüfe die folgenden Informationen:

Wenn du keine Elastisch IP-Adresse verwendest, wird die öffentliche IP-Adresse freigegeben, wenn du die Instance beendest.
Wenn die Instance über ein Instance-Speicher-Volume verfügt, gehen alle darauf befindlichen Daten verloren, wenn die Instance beendet wird.
Wenn das Verhalten beim Herunterfahren der Instance auf Terminieren eingestellt ist, wird die Instance beendet, wenn sie stoppt.
Wenn die Instance Teil einer Auto-Scaling-Gruppe ist, trenne die Instance zuerst von der Auto-Scaling-Gruppe. Nachdem du die Instance gestoppt und gestartet hast, füge die Instance wieder der Auto-Scaling-Gruppe hinzu.

AWSSupport-ResetAccess ist ein Systems Manager Automation-Dokument, das die Funktionen AWS CloudFormation und AWS Lambda verwendet, um das Zurücksetzen des EC2Rescue-Offline-Passworts zu automatisieren. Das Automatisierungsdokument führt die folgenden Operationen aus:

Erstellt eine Instance zur Unterstützung der Wiederherstellung in Ihrer Availability Zone.
Hängt Amazon Elastic Block Store (Amazon EBS)-Volumes an und trennt sie.
Führt das EC2Rescue-Tool aus.
Erstellt eine Amazon VPC für EC2Rescue, die von deiner Umgebung isoliert ist.
Erstellt ein Amazon Machine Image (AMI)-Backup der Instance.

Du kannst das AWSSupport-ResetAccess-Dokument in den folgenden Szenarien verwenden:

Du hast dein Amazon EC2-Schlüsselpaar verloren. Du möchtest ein passwortgeschütztes AMI aus deiner EC2-Instance erstellen, um eine neue Instance mit einem vorhandenen Schlüsselpaar zu starten.
Du hast dein lokales Administratorpasswort verloren. Du möchtest ein neues Passwort generieren, das du mit dem aktuellen Amazon-EC2-Schlüsselpaar entschlüsseln kannst.

Wichtig: Du kannst das AWSSupport-ResetAccess-Dokument nicht mit verschlüsselten Amazon-EBS-Root-Volumes verwenden.
Gehe wie folgt vor, um mit AWSSupport-ResetAccess dein Passwort zurückzusetzen:

Öffne die Systems Manager-Konsole.
Wählen Sie im Navigationsbereich Automatisierung aus.
Wähle Automatisierung ausführen aus.
Wähle für das Automatisierungsdokument die Option AWSSupport-ResetAccess und dann Weiter aus.
Gib für Eingabeparameter die InstanceID deiner EC2-Instance ein.
Wähle Ausführen aus.
Warte, bis der Status sich zu Erfolgreich ändert. Dies kann bis zu 25 Minuten dauern.
Hinweis: Sehen Sie sich auf der Seite mit den Ausführungsdetails die ausgeführten Schritte an, um den Fortschritt zu überwachen. Erweitern Sie Outputs, um das Output der Automatisierung anzuzeigen. Um zu dieser Seite zurückzukehren, öffnen Sie die Systems Manager-Konsole und wählen Sie dann im Navigationsbereich Automatisierung aus. Wähle die laufende Automatisierung und dann Details anzeigen aus.
Verwende dein vorhandenes Schlüsselpaar, um das neu generierte Passwort von der Amazon-EC2-Konsole aus zu entschlüsseln. Weitere Informationen findest du unter Wie rufe ich nach dem Start einer EC2-Instance mein Windows-Administratorpasswort ab?

Amazon EC2-Schlüsselpaar verloren

Wenn du dein Amazon EC2-Schlüsselpaar verlierst, führe die folgenden Schritte aus:

Stoppe deine Instance.
Öffne die Amazon-EC2-Konsole und wähle dann AMIs aus.
Suche nach deiner Instance-ID.
Wähle das AMI mit dem Namen AWSSupport-EC2Rescue-Post-Script-Backup-i-#########_Date und dann Starten aus.
Folge den Anweisungen des Launch Wizards, um die Konfiguration deiner Instance anzugeben, und wähle dann ein Schlüsselpaar aus, das dir gehört.
Stelle sicher, dass du eine Verbindung mit der neuen Instance herstellen kannst und dass deine Anwendungen erwartungsgemäß funktionieren, bevor du die andere Instance beendest.

EC2Rescue (Offline- oder Online-Methode)

Gehe wie folgt vor, um EC2Rescue zum Zurücksetzen des Administratorpassworts beim nächsten Start der Instance zu verwenden:

Erstelle eine temporäre Helfer-Instance, die sich in derselben Availability Zone wie die Instance befindet, für die du das Passwort zurücksetzen möchtest. Du kannst auch eine Instance mit RDP-Zugriff (Remote Desktop Protocol) verwenden, die sich in derselben Availability Zone befindet.
Erstelle einen Snapshot oder ein AMI-Backup der Instance, für die das Passwort zurückgesetzt werden muss.
Stoppe die Instance, für die das Passwort zurückgesetzt werden muss.
Trenne das Root-Volume von der Instance, für die das Passwort zurückgesetzt werden muss.
Hänge das Root-Volume aus Schritt 4 an die temporäre Hilfs-Instance aus Schritt 1 an.
Lade EC2Rescue herunter und entpacke die ZIP-Datei, indem du die ausführbare Datei EC2Rescue ausführst.
Führe das EC2Rescue-Tool aus. Wähle Offline-Instance und das EBS-Root-Volume aus, das du an die temporäre Helfer-Instance angehängt hast.
Wähle Diagnose und Rettung aus. Aktiviere unter Mögliche Probleme erkennen das Kontrollkästchen Ec2SetPassword und wähle dann Weiter aus.
Schließe den Launch Wizard für EC2Rescue ab. Hänge dann das Root-EBS-Volume wieder an die ursprüngliche Instance an, um das neue Passwort zu überprüfen.

Weitere Informationen findest du unter Wie verwende ich EC2Rescue, um Probleme in meiner Amazon EC2-Windows-Instance zu beheben?

Verwaltete Knoten (Online-Methode)

Du kannst das Passwort für jeden Benutzer auf einem verwalteten Knoten einer EC2-Instance zurücksetzen. Vergewissere dich, dass du alle Voraussetzungen erfüllen, bevor du diese Option verwendest:

Öffne die Systems Manager-Konsole.
Wähle im Navigationsbereich Fleet Manager aus.
Wähle den Knoten aus, der ein neues Passwort benötigt.
Wähle im Menü Knotenaktionen die Option Knoteneinstellungen aus. Wähle dann Passwort des Knotenbenutzers zurücksetzen aus.
Hinweis: Für die Verwendung der Funktion „Passwort zurücksetzen“ ist eine Verschlüsselung erforderlich. Konfiguriere den AWS Key Management Service (AWS KMS)-Schlüssel auf der Seite „Session Manager-Einstellungen“.

Hänge die folgende Richtlinie an die IAM-Rolle an, die der Instance zugeordnet ist, um die Entschlüsselung durchzuführen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowKMSDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:REGION:AccountID:key/KeyId"
        }
    ]
}

Das Instance-Profil oder die der Instance zugeordnete IAM-Rolle muss über die kms:Decrypt-Berechtigung für den Schlüssel verfügen, den du bei der Konfiguration der Verschlüsselung für Session Manager angegeben haben.

Wähle unter Benutzername einen Benutzernamen aus der Liste aus oder gib den Namen des Benutzers ein, für den du das Passwort ändern möchtest. Dies kann ein beliebiger Benutzername sein, der ein Konto auf dem Knoten hat.
Wähle Absenden aus.
Folge den Anweisungen im Befehlsfenster Neues Passwort eingeben, um das neue Passwort anzugeben.