Como redefinir a senha do administrador em uma instância do Windows do EC2?

Resolução

Comando de execução do Systems Manager AWSSupport-RunEC2RescueForWindowsTool (método on-line)

Pré-requisitos:

• É preciso configurar o AWS Systems Manager e, em seguida, instalar o atendente do Systems Manager na instância. Para mais informações, consulte Configuração do AWS Systems Manager.
• A instância deve ter acesso à Internet e usar um endereço IP público ou gateway NAT.
  -ou-
  A instância deve usar um endpoint da Amazon Virtual Private Cloud (Amazon VPC) configurado para o Systems Manager.
  Para obter mais informações, consulte Conceitos do AWS PrivateLink.

Para usar o Systems Manager Run Command para redefinir a senha do administrador, conclua as seguintes etapas:

1. Anexe a seguinte política ao perfil do AWS Identity and Access Management (AWS IAM) associado à instância:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ssm:PutParameter"
               ],
               "Resource": [
                   "arn:aws:ssm:*:*:parameter/EC2Rescue/Passwords/i-*"
               ]
           }
       ]
   }
   

   Essa política grava a senha criptografada no Parameter Store.

2. Abra o console do Systems Manager.

3. No painel de navegação, escolha Run Command (Executar comando).

4. Escolha Executar comando.

5. Em Documento de comando, selecione AWSSupport-RunEC2RescueForWindowsTool.

6. Em Parâmetros de comando, verifique se Comando está definido como ResetAccess.

7. Em Destinos, selecione Escolher instâncias manualmente e selecione sua instância.

8. Escolha Executar.

9. Na seção Destinos e saídas, selecione o ID da instância da sua instância.

10. Escolha Exibir saída para obter instruções sobre como recuperar a nova senha.

Observação: depois de recuperar o acesso à sua instância, é uma prática recomendada alterar a senha e, em seguida, excluir o parâmetro do Parameter Store.

Para mais informações, consulte Solucionar problemas de instância Windows com EC2Rescue e Systems Manager.

Systems Manager Automation com AWSSupport-ResetAccess (método off-line)

Importante: antes de executar a automação, revise as seguintes informações:

• Se você não usa um endereço IP elástico, o endereço IP público é liberado quando você interrompe a instância.
• Se a instância tiver um volume de armazenamento de instâncias, todos os dados nela contidos serão perdidos quando a instância for interrompida.
• Se o comportamento de desligamento da instância estiver definido como Encerrar, a instância será encerrada quando for interrompida.
• Se a instância fizer parte de um grupo do Auto Scaling, primeiro desconecte a instância do grupo do Auto Scaling. Depois de interromper e iniciar a instância, anexe a instância novamente ao grupo do Auto Scaling.

O AWSSupport-ResetAccess é um documento de Systems Manager Automation que usa as funções do AWS CloudFormation e do AWS Lambda para automatizar a redefinição de senha off-line do EC2Rescue. O documento de automação executa as seguintes operações:

• Cria uma instância para ajudar na recuperação em sua zona de disponibilidade.
• Anexa e desanexa volumes do Amazon Elastic Block Store (Amazon EBS).
• Executa a ferramenta EC2Rescue.
• Cria uma Amazon VPC para EC2Rescue que é isolada do seu ambiente.
• Cria um backup da imagem de máquina da Amazon (AMI) da instância.

É possível usar o documento AWSSupport-ResetAccess nos seguintes cenários:

• Você perdeu seu par de chaves do Amazon EC2. Você quer criar uma AMI ativada por senha a partir da sua instância do EC2 para executar uma nova instância com um par de chaves existente.
• Você perdeu sua senha de administrador local. Você deseja gerar uma nova senha que possa ser descriptografada com o par de chaves atual do Amazon EC2.

Importante: não é possível usar o documento AWSSupport-ResetAccess com volumes Amazon EBS raiz criptografados.
Para usar o AWSSupport-ResetAccess para redefinir sua senha, conclua as seguintes etapas:

1. Abra o console do Systems Manager.
2. No painel de navegação, escolha Automação.
3. Selecione Executar automação.
4. Em Documento de automação, escolha AWSSupport-ResetAccess e, em seguida, escolha Próximo.
5. Em Parâmetros de entrada, insira o InstanceID da sua instância do EC2.
6. Selecione Executar.
7. Espere até que o estado mude para Sucesso. Isso pode levar até 25 minutos.
   Observação: na página Detalhes da execução, veja as Etapas executadas para monitorar o progresso. Expanda Saídas para ver a saída da automação. Para voltar a esta página, abra o console do Systems Manager e escolha Automação no painel de navegação. Selecione a automação em execução e escolha Exibir detalhes.
8. Use o par de chaves existente para decodificar a senha recém-gerada no console do Amazon EC2. Para mais informações, consulte Como faço para recuperar minha senha de administrador do Windows depois de executar uma instância do EC2?

Par de chaves do Amazon EC2 perdido

Se você perder seu par de chaves do Amazon EC2, conclua as seguintes etapas:

1. Interrompa a instância.
2. Abra o console do Amazon EC2 e escolha AMIs.
3. Pesquise o ID da sua instância.
4. Selecione a AMI chamada AWSSupport-EC2Rescue-Post-Script-Backup-i-#########_Date e, em seguida, selecione Iniciar.
5. Siga o assistente de execução para especificar a configuração da instância e, em seguida, selecione um par de chaves que você possui.
6. Verifique se é possível se conectar à nova instância e se as aplicações estão funcionando conforme o esperado antes de encerrar a outra instância.

EC2Rescue (método off-line ou on-line)

Para usar o EC2Rescue para redefinir a senha do administrador na próxima inicialização da instância, conclua as seguintes etapas:

1. Crie uma instância auxiliar temporária que esteja na mesma zona de disponibilidade da instância para a qual você deseja redefinir a senha. Ou é possível usar uma instância com acesso ao Remote Desktop Protocol (RDP) que esteja na mesma zona de disponibilidade.
2. Capture um snapshot ou crie um backup da AMI da instância que precisa da redefinição de senha.
3. Interrompa a instância que precisa da redefinição de senha.
4. Separe o volume raiz da instância que precisa da redefinição de senha.
5. Anexe o volume raiz da etapa 4 à instância auxiliar temporária da etapa 1.
6. Faça o download do EC2Rescue e extraia o arquivo zip rodando o executável EC2Rescue.
7. Execute a ferramenta EC2Rescue. Selecione Instância off-line e, em seguida, o volume raiz do EBS que você anexou à instância auxiliar temporária.
8. Escolha Diagnosticar e resgatar. Em Detectar possíveis problemas, marque a caixa de seleção Ec2SetPassword e escolha Próximo.
9. Conclua o assistente de inicialização do EC2Rescue. Em seguida, anexe o volume raiz do EBS de volta à instância original para verificar a nova senha.

Para mais informações, consulte Como uso o EC2Rescue para solucionar problemas com minha instância Windows do Amazon EC2?

Nós gerenciados (método on-line)

É possível redefinir a senha de qualquer usuário em um nó gerenciado de uma instância do EC2. Certifique-se de confirmar que você atende a todos os pré-requisitos antes de usar esta opção:

1. Abra o console do Systems Manager.

2. No painel de navegação, escolha Fleet Manager.

3. Selecione o nó que precisa de uma nova senha.

4. No menu Ações do nó, selecione Configurações do nó. Em seguida, escolha Redefinir senha do usuário do nó.
   Observação: a criptografia é obrigatória para usar o atributo Redefinir senha. Configure a chave do AWS Key Management Service (AWS KMS) na página de Preferências do Gerenciador de Sessões.

5. Anexe a política a seguir ao perfil do IAM associado à instância para fazer a descriptografia:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowKMSDecrypt",
               "Effect": "Allow",
               "Action": [
                   "kms:Decrypt"
               ],
               "Resource": "arn:aws:kms:REGION:AccountID:key/KeyId"
           }
       ]
   }

   O perfil da instância ou o perfil do IAM anexado à instância deve ter a permissão kms:Decrypt para a chave que você especificou ao configurar a criptografia no Gerenciador de Sessões.

6. Em Nome de usuário, selecione um nome de usuário na lista ou insira o nome do usuário para o qual você deseja alterar a senha. Pode ser qualquer nome de usuário que tenha uma conta no nó.

7. Escolha Enviar.

8. Siga os prompts na janela de comando Inserir nova senha para especificar a nova senha.

Informações relacionadas

Identity and Access Management para o Amazon EC2

Solucionar problemas com instâncias Windows do Amazon EC2

Solucionar problemas na instância Windows do Amazon EC2 usando o EC2Rescue

Executar a ferramenta EC2Rescue em instâncias inacessíveis