AWS Systems Manager Run Command で Winodws サーバーの Local Administrator のパスワードを復旧する方法

こんにちわ！サーバーワークス日本最南端社員の久保玉井（くぼたまい）です。

地道にコツコツとジム通いやウォーキングをすることにより、最近肩こりや腰痛が減った気がします。定期的な運動って大事ですね(^o^)丿

さて今回は、Windows サーバーのパスワード復旧な内容となります。

AWS の EC2 にて Windows サーバーを立ち上げて、Local Administrator のパスワード変更した後にパスワードを忘れた方向けにお役に立てれば幸いです。

実はこのネタは、2022年4月に某先輩に捧げた内容なんですが、記事化されなかったので今回供養した次第です。落合先輩！記事化しましたよ！

EC2Rescure ってご存知でしょうか？
- 悲しい過去の出来事
前提条件
実施手順
注意事項
まとめ

EC2Rescure ってご存知でしょうか？

皆さんご存知の Amazon EC2。仮想サーバーとしてメジャーな AWS サービスですよね？

そんなAmazon EC2 では、EC2Rescue なるツールが提供されています。

EC2Rescue for Windows Server

docs.aws.amazon.com

EC2Rescue for Windows Server は、Amazon EC2 Windows Server インスタンス上で動作し、潜在的な問題の診断とトラブルシューティングを行うことができる使いやすいツールです。

EC2 で準備した仮想サーバー類のトラブルシューティングで利用するツールなのですが、それで復旧作業が可能になります。

ちなみに、過去記事では佐竹さんも紹介されていました。

blog.serverworks.co.jp

悲しい過去の出来事

ちなみに私は過去にオンプレで Windowsサーバーをインストール準備し、パスワードを控えたのにそれが何故か間違っていて、再度 Windowsサーバーをインストールした事があります。

小学生の頃にDQ2で、復活の呪文を間違えて学習ノートに書き写した記憶が鮮明に蘇りましたね。

今回の手順を行えば、Local Administrator 限定ではありますがパスワード復旧できるので助かります。

前提条件

今回の復旧手順ですが、以下 AWS ドキュメントや情報センターを元に手順をご紹介します。

Systems Manager Run Command での EC2Rescue for Windows Server の使用 - Amazon Elastic Compute Cloud

EC2 Windows インスタンスの管理者パスワードをリセットする | AWS re:Post

実施するにあたりいくつかの前提条件がありますので、以下に明記します

Systems Manager の Agent が必要です。
当該インスタンスが Systems Manager へ疎通できる状態が必要 (インターネットアクセスやVPCエンドポイントなどが必要)
パラメーターストアへパスワード内容を書き出すための権限（ポリシー）が必要
上記権限を当該インスタンスが保有する必要がある（IAM ロールの付与）

実施手順

ではさっそくやっていきましょう！

IAM ポリシーおよびロールの準備

まずはパラメーターストアに put できるような IAM ポリシーの準備が必要です。今回はドキュメントを参考に以下の内容にしました。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:parameter/EC2Rescue/Passwords/i-*"
            ]
        }
    ]
}

作成した IAM ポリシー（ PutPalameterstore ）を、IAMロールにアタッチします。今回は Fleet Manager で接続もしたかったので、AWS管理ポリシーの AmazonSSMManagedInstanceCore も付与しました。