Hai perso la password di Administrator di un Windows su AWS: cosa puoi fare

Immagina che domani bisogni aggiornare l'applicazione di un cliente sul suo server Windows e, aprendo Desktop remoto, la password di Administrator non entra. L'ha messa un tecnico che non collabora più, oppure è stata cambiata "temporaneamente" e nessuno ha annotato quella nuova. La macchina continua a servire il sito, ma nessuno può entrare a toccarla: né aggiornare, né guardare un errore, né riavviare un servizio. E su AWS non c'è un pulsante "hai dimenticato la password?" né un supporto che entri al posto tuo: la macchina è tua, e anche la chiave.

Questa guida percorre le vie d'uscita che hai, dalla più facile alla più laboriosa, e finisce con l'unica che funziona sempre: aver lasciato prima una porta di emergenza.

Passo dopo passo

1. Controlla prima se Lightsail conosce ancora la password

   Quando Lightsail crea una macchina Windows, genera la password di Administrator e la conserva. Nella console di Lightsail, dentro la macchina, scheda Connetti, c'è un pulsante per mostrare la password predefinita. Se nessuno l'ha mai cambiata, eccola lì e il problema è finito.

   Se qualcuno l'ha cambiata da dentro Windows, Lightsail non lo sa: continuerà a mostrare quella vecchia, che non vale più. Lo capirai perché Desktop remoto la rifiuta.

2. In EC2: la procedura ufficiale di reimpostazione

   In EC2 esiste una procedura automatica di AWS, AWSSupport-ResetAccess, dentro Systems Manager. La trovi in Systems Manager → Automation → Execute automation, cerchi quel nome, indichi la macchina e la avvii. Quello che fa, in sintesi: ferma la macchina, le scollega il disco, lo aggancia a una macchina ausiliaria temporanea, lascia pronto un programma che all'avvio genera una password nuova, rimonta il disco e riavvia. La nuova password si recupera poi con la chiave privata (.pem) della macchina, nella console di EC2 → Ottieni password di Windows.

   Tieni conto di due cose: la macchina resterà ferma per qualche minuto, e serve la chiave .pem con cui è stata creata. Se non hai nemmeno la .pem, la procedura può crearne una nuova, ma la strada si allunga.

3. Se hai un altro utente amministratore, usalo

   Prima di fermare qualsiasi cosa, pensa se qualcun altro ha un utente con permessi di amministratore su quella macchina. Con quello, in PowerShell come amministratore:

   net user Administrator NuevaContraseña-Larga-2026

   E fatto. È la via d'uscita più rapida e il motivo per cui conviene avere sempre un secondo amministratore. Ma attenzione al rimedio: se quel secondo utente ha una password annotata in un documento condiviso, hai scambiato un problema con un altro.

4. Se niente di tutto questo serve: istantanea e macchina nuova

   L'ultima risorsa in Lightsail quando la password è cambiata e non c'è un altro utente: creare un'istantanea della macchina e, a partire da quella, una macchina nuova. Lightsail genera una password di Administrator nuova per la macchina creata dall'istantanea, e dati e programmi vengono dalla copia. Poi sposti l'IP statico sulla macchina nuova e, quando hai verificato che tutto va, cancelli quella vecchia.

   Non è gratis in termini di tempo: l'istantanea ci mette un po', la macchina nuova ci mette un po' ad avviarsi, e bisogna ricontrollare che i servizi partano e che il DNS o l'IP puntino dove devono. Conta un'ora abbondante e una finestra di fermo, e fallo con calma: è il momento in cui è più facile rompere qualcos'altro.

5. E se non c'è nemmeno un'istantanea: quello che bisogna sapere prima che succeda

   Conviene guardarlo in faccia. Il passo precedente funziona solo se esiste un'istantanea o se ne può creare una dalla console di AWS. Se la macchina è stata cancellata, se il disco è danneggiato o se anche l'accesso all'account AWS stesso è andato perso, non c'è nulla da recuperare: né AWS né nessun altro può entrare in una macchina di cui non esiste copia. Si perdono l'applicazione, il database, le e-mail, le configurazioni e gli anni di file che c'erano dentro. Non c'è un servizio tecnico da chiamare.

   Non è un'esagerazione né un caso raro: è quello che succede ogni anno ad attività che consideravano la macchina "una cosa che semplicemente funziona". Per questo i due punti successivi non sono facoltativi.

6. Recuperato l'accesso: lascia pronto ciò che ti avrebbe risparmiato tutto questo

   Tre cose, in ordine di importanza:

   1. Una porta di emergenza senza password. Attiva il server OpenSSH di Windows (Impostazioni → App → Funzionalità facoltative → Server OpenSSH; Windows Server 2025 lo ha già installato) e crea un utente amministratore di emergenza che accetti solo certificati firmati da un'autorità tua, come spiega la guida della chiave di riserva. Quell'utente non ha una password da perdere né da rubare.
   2. Un gestore di password per quella di Administrator, condiviso con chi deve conoscerla, invece di un documento o un'e-mail.
   3. Istantanee automatiche, ogni notte, e possibilmente una copia in un'altra regione. Quando tutto il resto fallisce, è l'unica differenza tra un'ora di lavoro e perdere tutto.

Cosa può andare storto