Vous avez perdu le mot de passe Administrator d'un Windows sur AWS : que pouvez-vous faire

Imaginez que demain il faille mettre à jour l'application d'un client sur son serveur Windows et qu'en ouvrant le Bureau à distance, le mot de passe Administrator ne passe pas. C'est un technicien qui ne collabore plus qui l'avait défini, ou il a été changé « temporairement » et personne n'a noté le nouveau. La machine continue de servir le site, mais personne ne peut y entrer pour y toucher : ni mettre à jour, ni regarder une erreur, ni redémarrer un service. Et dans AWS, il n'y a pas de bouton « mot de passe oublié ? » ni de support qui entre à votre place : la machine est à vous, et la clé aussi.

Ce guide parcourt les issues dont vous disposez, de la plus facile à la plus laborieuse, et se termine par la seule qui fonctionne toujours : avoir laissé une porte de secours avant.

Pas à pas

1. Vérifiez d'abord si Lightsail connaît encore le mot de passe

   Quand Lightsail crée une machine Windows, il génère le mot de passe Administrator et le conserve. Dans la console Lightsail, dans la machine, onglet Se connecter, il y a un bouton pour afficher le mot de passe par défaut. Si personne ne l'a jamais changé, le voilà et le problème est réglé.

   Si quelqu'un l'a changé depuis l'intérieur de Windows, Lightsail ne le sait pas : il continuera d'afficher l'ancien, qui ne vaut plus. Vous le saurez parce que le Bureau à distance le refuse.

2. Dans EC2 : la procédure officielle de réinitialisation

   Dans EC2, il existe une procédure automatique d'AWS, AWSSupport-ResetAccess, dans Systems Manager. Vous la trouvez dans Systems Manager → Automation → Execute automation, vous cherchez ce nom, vous indiquez la machine et vous la lancez. Ce qu'elle fait, en résumé : elle arrête la machine, lui détache le disque, l'attache à une machine auxiliaire temporaire, y prépare un programme qui génère un nouveau mot de passe au démarrage, remonte le disque et démarre. Le nouveau mot de passe se récupère ensuite avec la clé privée (.pem) de la machine, dans la console EC2 → Obtenir le mot de passe Windows.

   Deux choses à garder à l'esprit : la machine sera arrêtée quelques minutes, et il faut la clé .pem avec laquelle elle a été créée. Si vous n'avez pas non plus la .pem, la procédure peut en créer une nouvelle, mais le chemin s'allonge.

3. Si vous avez un autre utilisateur administrateur, utilisez-le

   Avant d'arrêter quoi que ce soit, demandez-vous si quelqu'un d'autre a un utilisateur avec des droits d'administrateur sur cette machine. Avec lui, dans PowerShell en tant qu'administrateur :

   net user Administrator NuevaContraseña-Larga-2026

   Et c'est fait. C'est l'issue la plus rapide et la raison pour laquelle il convient d'avoir toujours un second administrateur. Mais attention au remède : si ce second utilisateur a un mot de passe noté dans un document partagé, vous avez échangé un problème contre un autre.

4. Si rien de ce qui précède ne marche : instantané et nouvelle machine

   Le dernier recours dans Lightsail quand le mot de passe a changé et qu'il n'y a pas d'autre utilisateur : créer un instantané de la machine et, à partir de lui, une nouvelle machine. Lightsail génère un nouveau mot de passe Administrator pour la machine créée depuis l'instantané, et les données et programmes viennent de la copie. Vous déplacez ensuite l'IP statique vers la nouvelle machine et, quand vous avez vérifié que tout va bien, vous supprimez l'ancienne.

   Ce n'est pas gratuit en temps : l'instantané prend du temps, la nouvelle machine met du temps à démarrer, et il faut vérifier que les services démarrent et que le DNS ou l'IP pointent où il faut. Comptez une bonne heure et une fenêtre d'arrêt, et faites-le calmement : c'est le moment où il est le plus facile de casser autre chose.

5. Et s'il n'y a pas non plus d'instantané : ce qu'il faut savoir avant que ça arrive

   Il faut le regarder en face. L'étape précédente ne fonctionne que s'il existe un instantané ou qu'on peut en créer un depuis la console AWS. Si la machine a été supprimée, si le disque est endommagé ou si l'accès au compte AWS lui-même a aussi été perdu, il n'y a rien à récupérer : ni AWS ni personne ne peut entrer dans une machine dont il n'existe pas de copie. On perd l'application, la base de données, les e-mails, les configurations et les années de fichiers qu'il y avait dedans. Il n'y a pas de service technique à appeler.

   Ce n'est ni une exagération ni un cas rare : c'est ce qui arrive chaque année à des entreprises qui considéraient la machine comme « quelque chose qui fonctionne tout seul ». C'est pourquoi les deux points suivants ne sont pas facultatifs.

6. Accès récupéré : préparez ce qui vous aurait évité tout cela

   Trois choses, par ordre d'importance :

   1. Une porte de secours sans mot de passe. Activez le serveur OpenSSH de Windows (Paramètres → Applications → Fonctionnalités facultatives → Serveur OpenSSH ; Windows Server 2025 l'a déjà installé) et créez un utilisateur administrateur de secours qui n'accepte que des certificats signés par une autorité à vous, comme l'explique le guide de la clé de rechange. Cet utilisateur n'a pas de mot de passe à perdre ni à se faire voler.
   2. Un gestionnaire de mots de passe pour celui d'Administrator, partagé avec qui doit le connaître, au lieu d'un document ou d'un e-mail.
   3. Des instantanés automatiques, chaque nuit, et si possible une copie dans une autre région. Quand tout le reste échoue, c'est la seule différence entre une heure de travail et tout perdre.

Ce qui peut mal tourner