Wie behebe ich Authentifizierungsfehler, wenn ich RDP verwende, um eine Verbindung zu einer EC2-Windows-Instance herzustellen?

Lesedauer: 8 Minute

Ich erhalte Authentifizierungsfehler, wenn ich Remote Desktop Protocol (RDP, Remotedesktopprotokoll) verwende, um mich bei meiner Amazon Elastic Compute Cloud (Amazon EC2)-Windows-Instance anzumelden.

Kurzbeschreibung

Möglicherweise erhältst du die folgenden Authentifizierungsfehler, wenn du RDP verwendest, um dich bei einer Amazon-EC2-Windows-Instance anzumelden:

„An authentication error has occurred. The Local Security Authority cannot be contacted.“

„The remote computer that you are trying to connect to requires Network Level Authentication (NLA), but your Windows domain controller cannot be contacted to perform NLA. If you are an administrator on the remote computer, you can disable NLA by using the options on the Remote tab of the System Properties dialog box.“

Dieser Fehler kann in den folgenden Szenarien auftreten:

Network Layer Authentication (NLA) ist für den Server aktiviert.
Die Vertrauensbeziehung zwischen der Domain und der EC2-Instance, die in dieser Domain integriert ist, schlägt beim Anmelden mit RDP fehl.

Du kannst das AWSSupport-TroubleshootRDP-Runbook verwenden oder die Fehler manuell beheben.

Lösung

NLA ist für den Server aktiviert

NLA-Fehler treten auf, wenn eine Instance die Konnektivität zu einem Domain-Controller verliert, weil die Domain-Anmeldeinformationen nicht authentifiziert werden. Verwende eine der folgenden Methoden, um NLA auf einer nicht erreichbaren Instance zu deaktivieren und so das Problem zu beheben:

Führe die AWSSupport-TroubleshootRDP-Automatisierung von AWS Systems Manager aus, um die Instance-Einstellungen zu ändern.
Verwende Systems Manager Session Manager oder den Befehl aws:runPowerShellscript.
Ändere die Registrierung manuell offline.

Hinweis: Du musst die Registrierung ändern, wenn du die NLA änderst. Bevor du beginnst, erstelle ein Amazon Machine Image (AMI) aus der Instance. Dadurch wird eine Sicherungskopie erstellt, bevor du die Registrierung änderst.

AWSSupport-TroubleshootRDP-Automatisierung ausführen

Voraussetzungen:

Überprüfe die Änderungen an den RDP-Einstellungen, dem RDP-Service und den Windows-Firewallprofilen.
Stelle sicher, dass die Ziel-EC2-Instance über eine Instance-Profilrolle für AWS Identity and Access Management (IAM) verfügt, an die die von Amazon verwaltete Amazon-Richtlinie AmazonSSMManagedInstanceCore angefügt ist.
Stelle sicher, dass dein(e) aktuelle(r) IAM-Benutzer:in oder deine aktuelle IAM-Rolle über die erforderlichen Berechtigungen verfügt. Weitere Informationen findest du im Abschnitt Erforderliche IAM-Berechtigungen von AWSSupport-TroubleshootRDP.
Hinweis: Wenn du die Option AllowOffline auswählst, ruft dieses Runbook das AWSSupport-ExecuteEC2Rescue-Runbook auf, um eine Offline-Korrektur durchzuführen. Um das Runbook zu starten, musst du die verwaltete IAM-Richtlinie AmazonSSMAutomationRole angefügt haben. Weitere Informationen findest du unter AWSSupport-StartEC2RescueWorkflow.

Gehe wie folgt vor, um das Systems-Manager-Runbook auszuführen:

Öffne die Systems-Manager-Konsole.
Wähle im Navigationsbereich Dokumente aus.
Gib in der Suchleiste AWSSupport-TroubleshootRDP ein.
Wähle das Dokument AWSSupport-TroubleshootRDP aus.
Wähle Automatisierung ausführen aus.
Wähle Ausführen aus.

Detaillierte Ergebnisse nach Abschluss der Automatisierung findest du im Abschnitt Ausgaben.

Verwendung von Systems Manager Session Manager

Wichtig: Auf der Instance muss der Systems Manager Agent (SSM Agent) installiert sein und die Instance muss online sein. Die Instance muss außerdem über eine IAM-Rolle verfügen, die Berechtigungen für den Session Manager gewährt. Weitere Informationen findest du unter Vollständige Voraussetzungen für Session Manager.

Gehe wie folgt vor, um Registrierungsschlüssel hinzuzufügen und NLA mit Session Manager zu deaktivieren:

Öffne die Systems-Manager-Konsole.
Wähle im Navigationsbereich Fleet Manager aus.
Wähle die verwaltete Instance aus, zu der du eine Verbindung herstellen möchtest.
Wähle im Menü Knotenaktionen die Option Terminalsitzung starten aus.

Führe die folgenden Befehle in der Terminalsitzung aus:

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v SecurityLayer /t REG_DWORD /d 0 /f  
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v UserAuthentication /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v fAllowSecProtocolNegotiation /t REG_DWORD /d 0 /f

Den Befehl aws:runPowerShellscript verwenden

Wichtig: Auf der Instance muss der SSM Agent installiert sein und die Instance muss online sein. Die Instance muss außerdem über eine IAM-Rolle verfügen, die Berechtigungen für den Session Manager gewährt. Weitere Informationen findest du unter Vollständige Voraussetzungen für Session Manager.

Gehe wie folgt vor, um Registrierungsschlüssel hinzuzufügen und NLA mit dem Befehlsdokument aws:runPowerShellscript zu deaktivieren:

Öffne die Systems-Manager-Konsole.

Wähle im Navigationsbereich Befehl ausführen und dann Einen Befehl ausführen aus.
Wähle als Befehlsdokument AWS-RunPowerShellScript aus.
Gib für Befehlsparameter die folgenden Befehle ein:

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v SecurityLayer /t REG_DWORD /d 0 /f  
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v UserAuthentication /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v fAllowSecProtocolNegotiation /t REG_DWORD /d 0 /f

Wähle für Zielauswahl die Option Instances manuell auswählen und wähle dann deine Instance aus.

Wähle Ausführen.
Warte, bis der Gesamtstatus in Erfolgreich geändert wird. Aktualisiere die Seite nach 2 Minuten.
Starte die Instance neu.
Verwende RDP, um dich bei der Instance anzumelden.

Manuelles Ändern der Registrierung offline

Gehe wie folgt vor:

Halte die nicht erreichbare Instance an und trenne dann das Root-Volume.
Starte eine neue Instance in derselben Availability Zone wie die nicht erreichbare Instance, die du gerade angehalten hast. Die neue Instance wird zu deiner Rettungs-Instance.

Wichtig: Es hat sich bewährt, eine Windows-Instance zu starten, die sich von der nicht erreichbaren Instance unterscheidet, um Probleme mit der Festplattensignatur zu vermeiden.
Füge das getrennte Volume als /dev/xvdf an die Rettungs-Instance an.
Stelle mithilfe von RDP eine Verbindung zur Rettungs-Instance her und schalte dann das gerade angefügte Volume im Disk Manager online.
Gib in einer Eingabeaufforderung regedit.exe ein und drücke dann die Eingabetaste, um den Registrierungs-Editor zu öffnen.
Wähle HKEY_LOCAL_MACHINE, wähle Datei und dann Struktur laden.
Navigiere zum Windows-Ordner auf dem angefügten Volume und wähle dann die SYSTEM-Datei aus. Der Standardpfad ist D:\Windows\System32\config.
Benenne die SYSTEM-Datei. Zum Beispiel badsys.
Die badsys-Systemdatei erscheint jetzt unter HKEY_LOCAL_MACHINE. Navigiere unter badsys zu ControlSet001, Control, Terminal Server, WinStations, RDP-Tcp.
Doppelklicke auf SecurityLayer und setze dann die Wertdaten auf 0.
Wähle UserAuthentication aus und setze dann die Wertdaten auf 0.
Wähle fAllowSecProtocolNegotiation aus und setze dann die Wertdaten auf 0.
Wähle badsys, wähle Datei und dann Struktur entladen.
Nachdem die Struktur entladen wurde, öffne den Disk Manager und schalte die Festplatte offline.
Trenne das Volume von der Rettungs-Instance und füge es als Root-Volume an die nicht erreichbare Instance an (/dev/sda1).
Starte die Instance und teste dann das RDP.

Die Vertrauensbeziehung schlägt bei der RDP-Anmeldung fehl

Verwende zwischengespeicherte Benutzeranmeldeinformationen, um zu versuchen, dich bei der nicht erreichbaren Instance anzumelden.

Voraussetzungen:

Ein lokales Konto, das sich erfolgreich bei der EC2-Instance authentifizieren kann.
(Optional) Mindestens ein Domain-Konto, das angemeldet war, als die Instance mit dem Domain-Controller kommunizierte. Damit das Domain-Konto funktioniert, müssen die Anmeldeinformationen des Domain-Kontos auf dem Server zwischengespeichert werden.
Hinweis: Es hat sich bewährt, ein lokales Konto zu verwenden.
Stelle sicher, dass die Richtlinie, die die Anzahl früherer Anmeldungen festlegt, die zwischengespeichert werden sollen (falls der Domain-Controller nicht verfügbar ist), auf mindestens 1 festgelegt ist. Du musst dies tun, um interaktive Anmeldungen zu verwenden. Du kannst die Richtlinie auf den Standardwert 10 setzen. Standardmäßig ist die Richtlinie nicht definiert und kann die lokale Richtlinie des Servers verwenden.

Gehe wie folgt vor, um dich mit zwischengespeicherten Benutzeranmeldeinformationen anzumelden:

Öffne die Amazon-EC2-Konsole.
Wähle im Navigationsbereich Sicherheitsgruppen aus.
Wähle Sicherheitsgruppe erstellen aus.
Füge einen Namen und eine Beschreibung der Sicherheitsgruppe hinzu.
Wähle unter Regeln für eingehenden Datenverkehr die Option Regel hinzufügen aus.
Wähle für Typ die Option RDP aus. Gib dann Informationen für die Quelle an, von der aus du RDP für die Verbindung verwenden möchtest.
Entferne unter Regeln für ausgehenden Datenverkehr den gesamten ausgehenden Zugriff.
Wähle Sicherheitsgruppe erstellen aus.
Wähle im Navigationsbereich Instances und dann die nicht erreichbare Instance aus.
Wähle Aktionen, dann Sicherheit und dann Sicherheitsgruppen ändern aus. Entferne die vorhandenen Sicherheitsgruppen und weise dann nur die Sicherheitsgruppe zu, die du gerade erstellt hast.
Verwende das reguläre Domain-Konto, um RDP für die Verbindung mit der EC2-Instance zu verwenden. Da du den gesamten ausgehenden Zugriff von Amazon EC2 entfernt hast, verwendet RDP die zwischengespeicherten Anmeldeinformationen, die auf dem Server gespeichert sind.

Hinweis: Die Authentifizierung wird zunächst über den Domain-Controller versucht. Da es jedoch keinen ausgehenden Zugriff von Amazon EC2 gibt, überprüft die Authentifizierung letztendlich die zwischengespeicherten Anmeldeinformationen auf dem Server. Die Authentifizierung wird mit den zwischengespeicherten Anmeldeinformationen erneut versucht und die Anmeldung ist erfolgreich. Nachdem du dich angemeldet hast, kannst du die Sicherheitsgruppeneinstellungen auf den ursprünglichen Zustand zurücksetzen. Fahre dann fort, alle Probleme mit deiner Domain zu beheben.

Zusätzliche Problembehandlung

Wenn du immer noch keine Verbindung zur Instance herstellen kannst, findest du weitere Informationen unter Wie behebe ich RDP-Verbindungsprobleme mit meiner EC2-Windows-Instance?