¿Cómo puedo restablecer la contraseña de administrador en una instancia de Windows de EC2?

Resolución

Comando de ejecución de Systems Manager AWSSupport-RunEC2RescueForWindowsTool (método en línea)

Requisitos previos:

• Debes configurar AWS Systems Manager y, a continuación, instalar el agente de Systems Manager en la instancia. Para obtener más información, consulta Configuración de AWS Systems Manager.
• La instancia debe tener acceso a Internet y usar una dirección IP pública o una puerta de enlace de NAT.
  Alternativa:
  La instancia debe usar un punto de enlace de Amazon Virtual Private Cloud (Amazon VPC) configurado para Systems Manager.
  Para obtener más información, consulta Conceptos de AWS PrivateLink.

Para usar el comando de ejecución de Systems Manager para restablecer la contraseña de administrador, sigue estos pasos:

1. Adjunta la siguiente política al rol de AWS Identity and Access Management (IAM) asociado a la instancia:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ssm:PutParameter"
               ],
               "Resource": [
                   "arn:aws:ssm:*:*:parameter/EC2Rescue/Passwords/i-*"
               ]
           }
       ]
   }
   

   Esta política escribe la contraseña cifrada en el Almacén de parámetros.

2. Abre la consola de Systems Manager.

3. En el panel de navegación, selecciona Ejecutar comando.

4. Selecciona Ejecutar un comando.

5. En Documento de comando, elige AWSSupport-RunEC2RescueForWindowsTool.

6. En Parámetros de comando, comprueba que Comando se haya configurado como ResetAccess.

7. En Destinos, selecciona Elegir instancias manualmente y, a continuación, elige tu instancia.

8. Selecciona Ejecutar.

9. En la sección Destinos y salidas selecciona el ID de instancia de tu instancia.

10. Selecciona Ver resultado si deseas ver las instrucciones para recuperar la nueva contraseña.

Nota: Después de recuperar el acceso a la instancia, se recomienda rotar la contraseña y, a continuación, eliminar el parámetro del Almacén de parámetros.

Para obtener más información, consulta Solución de problemas de una instancia de Windows dañada con EC2Rescue y Systems Manager.

Automatización de Systems Manager con AWSSupport-ResetAccess (método sin conexión)

Importante: Antes de ejecutar la automatización, revisa la siguiente información:

• Si no usas una dirección IP elástica, la dirección IP pública se libera cuando se detiene la instancia.
• Si la instancia tiene un volumen de almacén de instancias, todos los datos que contenga se perderán cuando la instancia se detenga.
• Si el comportamiento de apagado de la instancia se ha configurado como Terminar, la instancia terminará cuando se detenga.
• Si la instancia forma parte de un grupo de escalamiento automático, primero desasocia la instancia de dicho grupo. A continuación, después de detener e iniciar la instancia, vuelve a asociarla al grupo de escalamiento automático.

AWSSupport-ResetAccess es un documento de Automatización de Systems Manager que usa funciones de AWS CloudFormation y AWS Lambda para automatizar el restablecimiento de contraseñas sin conexión de EC2Rescue. El documento de automatización realiza las siguientes operaciones:

• Crea una instancia para ayudar a la recuperación en tu zona de disponibilidad.
• Asocia y desasocia los volúmenes de Amazon Elastic Block Store (Amazon EBS).
• Ejecuta la herramienta EC2Rescue.
• Crea una Amazon VPC aislada de tu entorno para EC2Rescue.
• Crea una imagen de máquina de Amazon (AMI) de copia de seguridad de la instancia.

Puedes usar el documento AWSSupport-ResetAccess en los siguientes escenarios:

• Has perdido tu par de claves de Amazon EC2. Quieres crear una AMI con contraseña activada desde tu instancia de EC2 para iniciar una nueva instancia con un par de claves existente.
• Has perdido tu contraseña de administrador local. Quieres generar una nueva contraseña que puedas descifrar con el par de claves actual de Amazon EC2.

Importante: No puedes usar el documento AWSSupport-ResetAccess con volúmenes raíz de Amazon EBS cifrados.
Para usar AWSSupport-ResetAccess para restablecer la contraseña, sigue estos pasos:

1. Abre la consola de Systems Manager.
2. En el panel de navegación, elige Automatización.
3. Selecciona Ejecutar automatización.
4. En Documento de automatización, elige AWSSupport-ResetAccess y, a continuación, selecciona Siguiente.
5. En Parámetros de entrada, introduce el InstanceID de la instancia de EC2.
6. Selecciona Ejecutar.
7. Espera a que el estado cambie a Correcto. Puede tardar hasta 25 minutos.
   Nota: En la página de Detalles de la ejecución, consulta Pasos ejecutados para supervisar el progreso. Expande Resultados para ver el resultado de la automatización. Para volver a esta página, abre la consola de Systems Manager y elige Automatización en el panel de navegación. Elige la automatización en ejecución y, a continuación, selecciona Ver detalles.
8. Utiliza el par de claves existente para descodificar la contraseña recién generada desde la consola de Amazon EC2. Para obtener más información, consulta ¿Cómo recupero mi contraseña de administrador de Windows después de iniciar una instancia de EC2?

Par de claves de Amazon EC2 perdido

Si pierdes el par de claves de Amazon EC2, sigue estos pasos:

1. Detén tu instancia.
2. Abre la consola de Amazon EC2 y, a continuación, selecciona AMI.
3. Busca tu ID de instancia.
4. Selecciona la AMI denominada AWSSupport-EC2Rescue-Post-Script-Backup-i-#########_Date y, a continuación, elige Iniciar.
5. Sigue las instrucciones del asistente de inicio para especificar la configuración de la instancia y, a continuación, selecciona uno de tus pares de claves.
6. Comprueba si puedes conectarte a la nueva instancia y si tus aplicaciones funcionan según lo previsto antes de terminar la otra instancia.

EC2Rescue (método sin conexión o en línea)

Para usar EC2Rescue para restablecer la contraseña de administrador en el siguiente arranque de la instancia, sigue estos pasos:

1. Crea una instancia auxiliar temporal que se encuentre en la misma zona de disponibilidad que la instancia cuya contraseña deseas restablecer. O bien, puedes usar una instancia con acceso al Protocolo de escritorio remoto (RDP) que esté en la misma zona de disponibilidad.
2. Toma una instantánea o crea una copia de seguridad de la AMI de la instancia cuya contraseña se debe restablecer.
3. Detén la instancia cuya contraseña se debe restablecer.
4. Desasocia el volumen raíz de la instancia cuya contraseña se debe restablecer.
5. Adjunta el volumen raíz del paso 4 a la instancia auxiliar temporal del paso 1.
6. Descarga EC2Rescue y ejecuta tu archivo ejecutable para extraer el archivo zip.
7. Ejecuta la herramienta EC2Rescue. Elige Instancia sin conexión y, a continuación, selecciona el volumen raíz de EBS que has asociado a la instancia auxiliar temporal.
8. Elige Diagnóstico y rescate. En Detectar posibles problemas, selecciona la casilla Ec2SetPassword y, a continuación, selecciona Siguiente.
9. Completa el asistente de inicio de EC2Rescue. A continuación, vuelve a adjuntar el volumen raíz de EBS a la instancia original para verificar la nueva contraseña.

Para obtener más información, consulta ¿Cómo puedo usar EC2Rescue para solucionar problemas en mi instancia de Windows de Amazon EC2?

Nodos administrados (método en línea)

Puedes restablecer la contraseña de cualquier usuario en un nodo administrado de una instancia de EC2. Asegúrate de confirmar que cumples todos los requisitos previos antes de usar esta opción:

1. Abre la consola de Systems Manager.

2. En el panel de navegación, selecciona Administrador de flotas.

3. Selecciona el nodo que necesita una contraseña nueva.

4. En el menú Acciones del nodo, selecciona Configuración del nodo. A continuación, elige Restablecer la contraseña de usuario del nodo.
   Nota: El cifrado es obligatorio para utilizar la característica de restablecimiento de contraseña. Configura la clave de AWS Key Management Service (AWS KMS) en la página de preferencias del administrador de sesiones.

5. Adjunta la siguiente política al rol de IAM asociado a la instancia para realizar el descifrado:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowKMSDecrypt",
               "Effect": "Allow",
               "Action": [
                   "kms:Decrypt"
               ],
               "Resource": "arn:aws:kms:REGION:AccountID:key/KeyId"
           }
       ]
   }

   El perfil de instancia o el rol de IAM adjunto a la instancia deben tener el permiso kms:Decrypt para la clave que has especificado al configurar el cifrado para el administrador de sesiones.

6. En Nombre de usuario, selecciona un nombre de usuario de la lista o introduce el nombre del usuario cuya contraseña deseas cambiar. Puede ser el nombre de cualquier usuario que tenga una cuenta en el nodo.

7. Selecciona Enviar.

8. Sigue las instrucciones de la ventana del comando Introducir nueva contraseña para especificar la nueva contraseña.

Información relacionada

Identity and Access Management para Amazon EC2

Solución de problemas con las instancias de Windows de Amazon EC2

Solución de problemas de una instancia de Windows de Amazon EC2 dañada con EC2Rescue

Ejecutar la herramienta EC2Rescue en instancias inaccesibles