¿Cómo soluciono un código de error 1385 en Systems Manager después de no poder ejecutar AWS-UpdateWindowsAMI o AWSEC2-RunSysprep?

Descripción breve

Si intenta ejecutar el runbook de automatización AWS-UpdateWindowsAMI o el documento AWSEC2-RunSysprep sin los privilegios administrativos necesarios, se producirá un error. También verá al menos un mensaje de error con la descripción correspondiente.

En la salida de la automatización de Systems Manager (Automatización de SSM), aparece el siguiente error:

Sysprep failed with error: LogonUser failed with error code : 1385

En los registros de Systems Manager Agent (SSM Agent), aparece el siguiente error:

"RunSysprep": {
"status": "Failed",
"code": 4294967295
"output": Start of Start-AwsUwiSysprep\r\n Sysprep failed with error: LogonUser failed with error code : 1385\r\n\n----------ERROR-------\nfailed to run commands: exit status 4294967295",
"standardError": " failed to run commands: exit status 4294967295"
}

En el resultado del ID de comando que aparece para AWS-UpdateWindowsAMI o AWSEC2-RunSysprep, aparece el siguiente error:

Info | Start of Start-AwsUwiSysprep
Info | Starting EC2Launch method of sysprep.
Error | Sysprep failed with error: LogonUser failed with error code : 1385

Este problema se produce cuando el administrador no está agregado a la configuración de la política de grupo LogOnAsABatchJob. En este caso, el administrador es el usuario contra el que se ejecutan los documentos de SSM.

Para cambiar la configuración de la política y resolver este problema, siga estos pasos.

Resolución

Si la instancia forma parte de un grupo de trabajo local:

1. Conéctese a su instancia de Windows mediante el escritorio remoto o el administrador de flotas, una función de AWS Systems Manager.
   Nota: Inicie sesión con una cuenta con privilegios administrativos.
2. Ejecute una ventana del símbolo del sistema.
3. Ingrese gpedit.msc para abrir la ventana Local Group Policy Editor (Editor de políticas de grupo local).
4. Vaya a Local Computer Policy\Computer Configuration\Windows Settings\Security Settings\Local Policies\User Rights Assignment (Política del equipo local\Configuración del equipo\Configuración de Windows\Configuración de seguridad\Políticas locales\Asignación de derechos de usuario).
5. Elija LogOnAsABatchJob y, a continuación, seleccione el botón Add User or Group (Agregar usuario o grupo).
6. Ingrese Administrator (Administrador) en el cuadro de texto y, a continuación, seleccione Check Names (Comprobar nombres) para buscar este rol.
7. Resalte el rol Administrator (Administrador) como Logon Name (Nombre de inicio de sesión) y, a continuación, seleccione OK (Aceptar).
8. En la ventana del símbolo del sistema, ingrese lo siguiente:

gpupdate /force /target:computer

Este comando vuelve a aplicar las políticas de grupo inmediatamente después de actualizar la configuración del objeto de política de grupo (GPO).

En la consola de Systems Manager, ejecute el runbook o el documento de Systems Manager: AWS-UpdateWindowsAMI o AWSEC2-RunSysprep.

Si la instancia forma parte de un dominio:

1. Inicie sesión en cualquier instancia que esté unida al dominio en el que se produjo el error. Inicie sesión con el escritorio remoto o el administrador de flotas.
   Nota: Inicie sesión como usuario que forma parte del grupo Administradores de dominio.
2. Abra una ventana del símbolo del sistema.
3. Ingrese gpedit.msc para abrir la ventana Local Group Policy Editor (Editor de políticas de grupo local).
4. Vaya a Local Computer Policy\Computer Configuration\Windows Settings\Security Settings\Local Policies\User Rights Assignment (Política del equipo local\Configuración del equipo\Configuración de Windows\Configuración de seguridad\Políticas locales\Asignación de derechos de usuario).
5. Elija LogOnAsABatchJob y, a continuación, seleccione el botón Add User or Group (Agregar usuario o grupo).
6. Ingrese Administrator (Administrador) en el cuadro de texto y, a continuación, seleccione Check Names (Comprobar nombres) para buscar este rol.
7. Resalte el rol Administrator (Administrador) como Logon Name (Nombre de inicio de sesión) y, a continuación, seleccione OK (Aceptar).
8. En la ventana del símbolo del sistema, ingrese lo siguiente:

gpupdate /force /target:computer

Este comando vuelve a aplicar las políticas de grupo inmediatamente después de que se actualice el área de configuración de GPO.

• En la consola de Systems Manager, ejecute el runbook o el documento de Systems Manager: AWS-UpdateWindowsAMI o AWSEC2-RunSysprep.

---

Información relacionada

AWS-UpdateWindowsAmi

Uso de políticas administradas para el generador de imágenes de EC2

Iniciar sesión como proceso por lotes