AWS折扣充值 AWS EC2重置登录密码与更换密钥对的解决办法
AWS折扣充值 先说结论：根据你的场景快速选方案
- Windows 忘记管理员密码：
- 手里还保留实例最初的密钥对：控制台“获取Windows密码”解密即可，几分钟内解决。
- 没有原始密钥对：优先用 SSM Run Command 重置；若未装SSM/无权限，使用 EC2Rescue 脱机修复法（停机约10–30分钟）。
- Linux 丢失SSH私钥或要更换密钥：
- 实例已装 SSM Agent 且在线：用 Session Manager 登录，直接写入新公钥到 authorized_keys，零停机。
- Amazon Linux 2/Ubuntu 且支持 EC2 Instance Connect：临时接入后替换密钥，零停机。
- 无SSM/无EIC：停机，挂载根卷到救援机，离线编辑 authorized_keys 或启用密码登录，10–30分钟。
- 成规模密钥轮换（几十台以上）：优先 SSM 批量下发新公钥+灰度验证；预留回滚。
Windows 实例：重置密码的三条路径
1) 控制台“获取Windows密码”（前提是保留了原始密钥对）
- 适用：官方/主流AMI创建、未改动 EC2Launch/EC2Config、仍持有创建时的密钥对私钥。
- 步骤：选中实例 → 操作 → 安全 → 获取Windows密码 → 上传私钥 → 获得管理员密码。
- 陷阱：密钥对遗失、Cloudbase-Init 自定义镜像、域加入，都会导致获取失败。
2) 使用 SSM Run Command 重置
- AWS折扣充值 前提：实例已装 SSM Agent、IAM 角色有 ssm:SendCommand、网络可到 SSM 端点。
- 思路：发脚本创建/重置本地管理员密码，并确保 RDP 可用。
- 关键点：
- 脚本设置强口令，必要时关闭 NLA 或同步 RDP 策略。
- 执行前先用一个非生产实例演练，避免策略冲突锁死。
- 优势：零停机、可批量、可审计。
3) EC2Rescue 脱机修复（无SSM/无密钥对）
- 步骤要点：
- 停止目标实例，分离根卷。
- 在同可用区新建一台救援Windows（t3.micro足够），挂载目标根卷为数据盘。
- 在救援机运行 EC2Rescue for Windows，指向挂载盘，执行“密码重置/修复RDP/修复启动项”。
- 卸载并将根卷挂回原实例为 /dev/sda1，启动，使用新密码RDP。
- 注意：
- 加密根卷需确保救援机具备相同KMS密钥权限。
- 自定义镜像可能有域策略阻断，必要时先脱域或新建本地管理员。
- 执行前创建快照，避免翻车无回退。
Linux 实例：丢钥匙、改密钥与重置密码
1) SSM Session Manager（首选）
- 适用：Amazon Linux 2/2023、Ubuntu、RHEL等已装SSM Agent的实例。
- 操作：
- 用Session Manager登录后，执行：
- 创建用户（如需）：sudo useradd -m -s /bin/bash devops
- 创建 .ssh 目录：sudo mkdir -p ~ec2-user/.ssh && sudo chmod 700 ~ec2-user/.ssh
- 写入新公钥：echo "ssh-ed25519 AAAA..." | sudo tee -a ~ec2-user/.ssh/authorized_keys
- 权限：sudo chmod 600 ~ec2-user/.ssh/authorized_keys && sudo chown -R ec2-user:ec2-user ~ec2-user/.ssh
- 若需开启密码登录：编辑 /etc/ssh/sshd_config，将 PasswordAuthentication yes，sudo systemctl reload sshd。
- 用Session Manager登录后，执行：
- 优势：零停机、可审计、支持批量。
2) EC2 Instance Connect（次选）
- 适用：Amazon Linux 2/Ubuntu 官方镜像，目标子网/安全组已开放。
- AWS折扣充值 步骤：控制台“连接”→“EC2 Instance Connect”→输入用户名（ec2-user/ubuntu）→连接后写入新公钥。
- 限制：非所有镜像/私有网络均可用；会受IAM策略和区域支持影响。
3) 脱机挂载根卷（无SSM/无EIC时）
- 步骤要点：
- 停止目标实例，分离根卷。
- 同可用区创建救援Linux实例并挂载该根卷（记住设备名，如 /dev/xvdf）。
- 在救援机上：
- sudo mkdir -p /mnt/recovery && sudo mount /dev/xvdf1 /mnt/recovery（分区名可能是 nvme0n1p1）。
- 确认登录用户目录（/home/ec2-user 或 /home/ubuntu）。
- AWS折扣充值 创建 .ssh 并写入新公钥，设置权限为700/600，chown给对应用户。
- 若启用SELinux：sudo restorecon -Rv /mnt/recovery/home/…/.ssh。
- 若要启用密码登录：编辑 /mnt/recovery/etc/ssh/sshd_config；可 chroot 设置用户密码：sudo chroot /mnt/recovery passwd ec2-user。
- 卸载并挂回原实例，启动测试。
- 注意：
- LVM/RAID场景先 pvscan/vgchange -ay，确保能挂载根分区。
- 云初始化 cloud-init 在少数自定义配置下会覆盖authorized_keys，必要时禁用对应模块或固定权限。
- 实例存储型卷（非EBS）停止即数据丢失，确认机型再操作。
4) EC2 串行控制台（Nitro专用）
- 若启用了串行控制台并已设置本地密码账户，可直接进系统修复SSH配置。
- AWS折扣充值 新建密码账户可通过前述脱机或SSM完成，再用串行控制台复位服务。
批量更换密钥对：低风险流程
- 准备：
- 为实例绑定具备 SSM 权限的 IAM Role；确认所有实例 SSM 在线率≥95%。
- 新建ED25519或RSA-4096密钥，公钥集中管理（Git+加密、或Secrets Manager）。
- 灰度步骤（示例）：
- AWS折扣充值 SSM 文档分批（10%→50%→100%）追加新公钥，不删除旧钥。
- 随机抽样人工SSH验证。
- 一周后再批量移除旧公钥。
- 回滚策略：保留旧公钥有效期≥7天；任一批次失败率>2%立即暂停并改走脱机修复。
方法对比：停机/成本/前置条件
| 方法 | 停机 | 额外成本（us-east-1 参考） | 前置条件 | 适用场景/风险 |
|---|---|---|---|---|
| Windows 控制台解密密码 | 无 | 无 | 持有原始密钥对 | 最快；但很多案例因密钥遗失不可用 |
| Windows SSM 重置 | 无 | 无 | SSM可用，IAM权限 | 推荐；注意脚本安全与审计 |
| Windows EC2Rescue 脱机 | 10–30分钟 | 救援机约$0.01/时；快照$0.05/GB·月（可删除） | 同AZ救援机、KMS权限 | 通用；需事前快照防翻车 |
| Linux SSM 写入公钥 | 无 | 无 | SSM可用 | 批量轮换首选 |
| Linux Instance Connect | 无 | 无 | 受限于AMI/区域/网络 | 临时接入；兼容性需验证 |
| Linux 脱机挂载根卷 | 10–30分钟 | 救援机约$0.01/时 | 同AZ救援机，正确挂载/权限 | 通杀；对新人易误操作 |
注：实例停机不收费计算费用，但EBS仍计费；不同区域价格不同，上述为数量级参考。
账号与支付：购买、认证、续费、限制、风控
- 账号购买风险：第三方转售账号常被合规团队复审，轻则限制新建资源，重则冻结。涉及生产时别买号，自己注册或走合规代理。
- 实名认证/验证：
- 全球站：注册需信用卡和手机号，有时要补充账单地址证明。名称、地址与卡信息保持一致，能显著降低风控拦截。
- 中国区（北京/宁夏）为独立账号与合同体系，涉及备案与本地合规，不建议与全球站混用资源设计。
- 支付方式与续费：
- 按月后付，信用卡自动扣款；不支持预存“充值”概念。需要预算可用预算告警+信用卡限额管理。
- 若担心跨境卡失败：准备带3DS的Visa/Master/Amex；避免临时虚拟卡，失败率高、风控概率高。
- 长期资源建议采购Savings Plans/RI降低账单，和本主题操作无直接阻碍。
- 风控与使用限制：
- 新账号常见限制：vCPU配额低、部分实例族不可用、EIP数量受限。提前提交配额提升工单，避免紧急时无救援机可开。
- 支付失败会触发资源限制，甚至Console只读；此时密码重置等操作可能也受限，优先处理账单工单。
区域与镜像差异对重置路径的影响
- Nitro机型支持串行控制台；老Xen机型无此入口。
- Amazon Linux 2023 与部分精简镜像默认未启用密码登录，仅SSH公钥；重置“密码”需先在sshd中开启。
- Ubuntu用户名为 ubuntu，RHEL为 ec2-user 或 centos，写错用户路径会导致公钥不生效。
- 根卷加密用自定义KMS CMK时，关闭或撤销密钥权限会导致救援机无法挂载，先修复KMS状态再操作。
AWS折扣充值 实际案例
案例A：跨境团队丢失Windows密钥对
- 背景：海外站点的Win2019 Web服务器，原始pem遗失，无法“获取Windows密码”。
- 处理：停机→快照→救援机+EC2Rescue→重置本地管理员→启用RDP。
- 耗时与成本：停机22分钟；救援机运行0.5小时约$0.005；快照保留48小时后删除。
- 改进：统一给所有Windows装SSM、绑定最小权限角色；每月演练一次Run Command。
案例B：120台Linux批量轮换密钥
- 背景：安全稽核要求90天轮换。
- 处理：用SSM分三批下发新公钥；灰度期并存新旧钥7天；最后移除旧钥。
- 结果：一次性成功率98%；2台因SSM离线转用脱机法补救，整体无停机。
- 经验：为所有实例配置SSM自动修复文档，确保在线率＞95%。
案例C：账单风控导致控制台受限
- 背景：注册用虚拟卡，遭到合规复审，许多操作受限。
- 处理：提交账单工单，提供真实信用卡对账单与身份文件，48小时解除限制；其间通过已有SSM维持运维。
- 建议：注册即用实体卡，名称地址一致；启用MFA，降低风控命中率。
常见错误与排查清单
- authorized_keys 权限错误：文件应600，目录700，属主正确，否则SSH拒绝。
- 写错用户家目录：Ubuntu用 /home/ubuntu，Amazon Linux用 /home/ec2-user。
- SELinux 拒绝：离线写入后执行 restorecon，或临时设为permissive排查。
- cloud-init 覆盖公钥：检查 /etc/cloud/cloud.cfg 中的ssh模块设置，必要时禁用覆盖。
- Windows RDP 仍连不上：检查NLA策略、3389安全组、Windows防火墙入站规则。
- 加密卷找不到：NVMe命名变化常见，lsblk确认设备名；KMS密钥禁用会直接挂载失败。
- 实例存储数据丢失：停止会清空本地NVMe实例存储，重要数据只放EBS或S3。
成本与时间评估（实操口径）
- AWS折扣充值 单台脱机修复：准备+快照+恢复约15–30分钟；人力1人次。
- SSM批量轮换：100台以内1小时可完成第一批灰度；验证+收尾1–2天。
- AWS折扣充值 EBS费用：gp3约$0.08/GB·月；快照$0.05/GB·月，完成验证后可删减。
- AWS折扣充值 跨可用区数据传输：无需移动快照则几乎可忽略；跨区复制快照需按GB计费。
决策建议与应急包
- 镜像基线：所有AMI预装SSM、启用SSM快速修复文档、放通必要端点。
- 密钥策略：ED25519优先；公钥集中管理；轮换有灰度期；保留应急“突破口”账户（强密码+MFA+仅串行控制台）。
- 备份：生产实例日快照，关键变更前临时快照；标签标记拥有者与应用。
- 配额：预先提升目标区域vCPU与EIP配额，保证能随时拉起救援机。
- 账单合规：实名与卡信息一致；避免虚拟卡；启用预算和账单告警，防止因欠费导致运维受阻。
