Perdeu a palavra-passe de Administrator de um Windows na AWS: o que pode fazer

Imagine que amanhã é preciso atualizar a aplicação de um cliente no servidor Windows dele e, ao abrir o Ambiente de Trabalho Remoto, a palavra-passe de Administrator não entra. Foi posta por um técnico que já não colabora, ou foi mudada "temporariamente" e ninguém anotou a nova. A máquina continua a servir o site, mas ninguém consegue entrar para lhe mexer: nem atualizar, nem ver um erro, nem reiniciar um serviço. E na AWS não há botão de "esqueceu-se da palavra-passe?" nem um suporte que entre por si: a máquina é sua, e a chave também.

Este guia percorre as saídas que tem, da mais fácil à mais trabalhosa, e termina com a única que funciona sempre: ter deixado uma porta de emergência antes.

Passo a passo

1. Verifique primeiro se o Lightsail ainda conhece a palavra-passe

   Quando o Lightsail cria uma máquina Windows, gera a palavra-passe de Administrator e guarda-a. Na consola do Lightsail, dentro da máquina, separador Ligar, há um botão para mostrar a palavra-passe predefinida. Se ninguém a mudou nunca, aí a tem e acabou-se o problema.

   Se alguém a mudou a partir de dentro do Windows, o Lightsail não fica a saber: continuará a mostrar a antiga, que já não vale. Sabê-lo-á porque o Ambiente de Trabalho Remoto a rejeita.

2. No EC2: o procedimento oficial de reposição

   No EC2 existe um procedimento automático da AWS, AWSSupport-ResetAccess, dentro do Systems Manager. Encontra-o em Systems Manager → Automation → Execute automation, procura esse nome, indica a máquina e lança-o. O que faz, em resumo: para a máquina, desliga-lhe o disco, liga-o a uma máquina auxiliar temporária, deixa preparado um programa que ao arrancar gera uma palavra-passe nova, volta a montar o disco e arranca. A palavra-passe nova recupera-se depois com a chave privada (.pem) da máquina, na consola do EC2 → Obter palavra-passe do Windows.

   Tenha em conta duas coisas: a máquina estará parada uns minutos, e é precisa a chave .pem com que foi criada. Se também não tem a .pem, o procedimento pode criar uma nova, mas o caminho alonga-se.

3. Se tem outro utilizador administrador, use-o

   Antes de parar o que quer que seja, pense se mais alguém tem um utilizador com permissões de administrador nessa máquina. Com ele, em PowerShell como administrador:

   net user Administrator NuevaContraseña-Larga-2026

   E pronto. É a saída mais rápida e a razão pela qual convém ter sempre um segundo administrador. Mas cuidado com o remédio: se esse segundo utilizador tem uma palavra-passe anotada num documento partilhado, trocou um problema por outro.

4. Se nada do anterior serve: instantâneo e máquina nova

   O último recurso no Lightsail quando a palavra-passe mudou e não há outro utilizador: criar um instantâneo da máquina e, a partir dele, uma máquina nova. O Lightsail gera uma palavra-passe de Administrator nova para a máquina criada a partir do instantâneo, e os dados e programas vêm da cópia. Depois move o IP estático para a máquina nova e, quando confirmar que tudo funciona, apaga a antiga.

   Não é grátis em tempo: o instantâneo demora, a máquina nova demora a arrancar, e há que confirmar que os serviços arrancam e que o DNS ou o IP apontam para onde devem. Conte com uma hora longa e uma janela de paragem, e faça-o com calma: é o momento em que é mais fácil estragar mais alguma coisa.

5. E se também não há instantâneo: o que há que saber antes de acontecer

   Convém olhar para isto de frente. O passo anterior só funciona se existir um instantâneo ou se for possível criar um a partir da consola da AWS. Se a máquina foi apagada, se o disco está danificado ou se o acesso à própria conta da AWS também se perdeu, não há nada a recuperar: nem a AWS nem ninguém pode entrar numa máquina de que não existe cópia. Perdem-se a aplicação, a base de dados, os e-mails, as configurações e os anos de ficheiros que lá houvesse dentro. Não há um serviço técnico a quem ligar.

   Não é um exagero nem um caso raro: é o que acontece todos os anos a negócios que deram a máquina por "algo que simplesmente funciona". Por isso os dois pontos seguintes não são opcionais.

6. Recuperado o acesso: deixe preparado o que lhe teria poupado tudo isto

   Três coisas, por ordem de importância:

   1. Uma porta de emergência sem palavra-passe. Ative o servidor OpenSSH do Windows (Definições → Aplicações → Funcionalidades opcionais → Servidor OpenSSH; o Windows Server 2025 trá-lo instalado) e crie um utilizador administrador de emergência que só aceite certificados assinados por uma autoridade sua, como explica o guia da chave suplente. Esse utilizador não tem palavra-passe que se perca nem que se roube.
   2. Um gestor de palavras-passe para a de Administrator, partilhado com quem deva conhecê-la, em vez de um documento ou um e-mail.
   3. Instantâneos automáticos, todas as noites, e se possível uma cópia noutra região. Quando tudo o resto falha, é a única diferença entre uma hora de trabalho e perder tudo.

O que pode correr mal