Has perdido la contraseña de Administrator de un Windows en AWS: qué puedes hacer

Imagina que mañana hay que actualizar la aplicación de un cliente en su servidor Windows y, al abrir Escritorio remoto, la contraseña de Administrator no entra. La puso un técnico que ya no colabora, o se cambió "temporalmente" y nadie apuntó la nueva. La máquina sigue sirviendo la web, pero nadie puede entrar a tocarla: ni actualizar, ni mirar un error, ni reiniciar un servicio. Y en AWS no hay botón de "¿has olvidado la contraseña?" ni un soporte que entre por ti: la máquina es tuya, y la llave también.

Esta guía recorre las salidas que tienes, de la más fácil a la más laboriosa, y termina con la única que funciona siempre: haber dejado una puerta de emergencia antes.

Paso a paso

1. Comprueba primero si Lightsail todavía conoce la contraseña

   Cuando Lightsail crea una máquina Windows, genera la contraseña de Administrator y la guarda. En la consola de Lightsail, dentro de la máquina, pestaña Conectar, hay un botón para mostrar la contraseña predeterminada. Si nadie la cambió nunca, ahí la tienes y se acabó el problema.

   Si alguien la cambió desde dentro de Windows, Lightsail no se entera: seguirá mostrando la antigua, que ya no vale. Lo sabrás porque Escritorio remoto la rechaza.

2. En EC2: el procedimiento oficial de restablecimiento

   En EC2 existe un procedimiento automático de AWS, AWSSupport-ResetAccess, dentro de Systems Manager. Lo encuentras en Systems Manager → Automation → Execute automation, buscas ese nombre, indicas la máquina y lo lanzas. Lo que hace, en resumen: para la máquina, le desconecta el disco, lo engancha a una máquina auxiliar temporal, deja preparado un programa que al arrancar genera una contraseña nueva, vuelve a montar el disco y arranca. La contraseña nueva se recupera después con la clave privada (.pem) de la máquina, en la consola de EC2 → Obtener contraseña de Windows.

   Ten en cuenta dos cosas: la máquina estará parada unos minutos, y hace falta la clave .pem con la que se creó. Si tampoco tienes la .pem, el procedimiento puede crear una nueva, pero el camino se alarga.

3. Si tienes otro usuario administrador, úsalo

   Antes de parar nada, piensa si alguien más tiene un usuario con permisos de administrador en esa máquina. Con él, en PowerShell como administrador:

   net user Administrator NuevaContraseña-Larga-2026

   Y listo. Es la salida más rápida y la razón por la que conviene tener siempre un segundo administrador. Pero cuidado con el remedio: si ese segundo usuario tiene una contraseña apuntada en un documento compartido, has cambiado un problema por otro.

4. Si nada de lo anterior sirve: instantánea y máquina nueva

   El último recurso en Lightsail cuando la contraseña cambió y no hay otro usuario: crear una instantánea de la máquina y, a partir de ella, una máquina nueva. Lightsail genera una contraseña de Administrator nueva para la máquina creada desde la instantánea, y los datos y programas vienen de la copia. Después mueves la IP estática a la máquina nueva y, cuando compruebes que todo va, borras la antigua.

   No es gratis en tiempo: la instantánea tarda, la máquina nueva tarda en arrancar, y hay que repasar que los servicios arrancan y que el DNS o la IP apuntan donde deben. Cuenta con una hora larga y una ventana de parada, y hazlo con calma: es el momento en que más fácil es romper algo más.

5. Y si tampoco hay instantánea: lo que hay que saber antes de que pase

   Conviene mirarlo de frente. El paso anterior solo funciona si existe una instantánea o se puede crear una desde la consola de AWS. Si la máquina se borró, si el disco está dañado o si el acceso a la propia cuenta de AWS se perdió también, no hay nada que recuperar: ni AWS ni nadie puede entrar en una máquina de la que no existe copia. Se pierden la aplicación, la base de datos, los correos, las configuraciones y los años de ficheros que hubiera dentro. No hay un servicio técnico al que llamar.

   No es una exageración ni un caso raro: es lo que le pasa cada año a negocios que dieron la máquina por "algo que simplemente funciona". Por eso los dos siguientes puntos no son opcionales.

6. Recuperado el acceso: deja preparado lo que te habría ahorrado todo esto

   Tres cosas, por orden de importancia:

   1. Una puerta de emergencia sin contraseña. Activa el servidor OpenSSH de Windows (Configuración → Aplicaciones → Características opcionales → Servidor OpenSSH; Windows Server 2025 lo trae instalado) y crea un usuario administrador de rescate que solo acepte certificados firmados por una autoridad tuya, como explica la guía de la llave de repuesto. Ese usuario no tiene contraseña que perder ni que robar.
   2. Un gestor de contraseñas para la de Administrator, compartido con quien deba conocerla, en lugar de un documento o un correo.
   3. Instantáneas automáticas, cada noche, y a ser posible una copia en otra región. Cuando todo lo demás falla, es la única diferencia entre una hora de trabajo y perderlo todo.

Qué puede salir mal