Amazon EC2 Mac インスタンスのパスワードをリセットする方法を教えてください。

簡単な説明

重要: セキュアトークンを持つユーザーがパスワードを忘れた場合にリセットするユーザーも、セキュアトークンを持っている必要があります。

EC2 Mac インスタンスのパスワードをリセットするには、非セキュアトークンユーザーとしてレスキューインスタンスを作成します。次に、元のインスタンスのルートボリュームをレスキューインスタンスのセカンダリボリュームとしてアタッチし、データを移行します。

Mac インスタンスで最初のユーザーパスワードを設定すると、デフォルトでセキュアトークンがそのユーザーに発行されます。ユーザー ec2-user にセキュアトークンを発行するには、最初に ec2-user のパスワードを設定する必要があります。詳しくは、Apple のウェブサイトで「導入時にセキュアトークン、ブートストラップトークン、およびボリューム所有権を使用する」を参照してください。別のセキュアトークンユーザーを使用して ec2-user のパスワードを更新することは、煩雑であることからベストプラクティスではありません。

解決策

ユーザーのデータをレスキューインスタンスに移行するには、次の手順を実行します。

1. EC2 Mac インスタンスの、ルート Amazon Elastic Block Store (Amazon EBS) ボリュームのスナップショットを作成します。

2. 新しい EC2 Mac インスタンスを起動します。

3. 新しいインスタンスと同じアベイラビリティーゾーンにあるルートボリュームのスナップショットから Amazon EBS ボリュームを作成します。

4. SSH を使用して新しいインスタンスに接続し、EBS ボリュームをセカンダリボリュームとしてインスタンスにアタッチします。

5. 新しいインスタンスのすべての物理ディスク、パーティション、Apple File System (APFS) コンテナ、ボリュームを一覧表示するには、次のコマンドを実行します。

   diskutil list

   出力例:

   diskutil list
   /dev/disk0 (internal, physical):
   #: TYPE NAME SIZE IDENTIFIER
   0: GUID_partition_scheme *251.0 GB disk0
   1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
   2: Apple_APFS Container disk3 245.1 GB disk0s2
   3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3
   
   /dev/disk3 (synthesized):
   #: TYPE NAME SIZE IDENTIFIER
   0: APFS Container Scheme - +245.1 GB disk3
   Physical Store disk0s2
   1: APFS Volume InternalDisk 10.3 GB disk3s1
   2: APFS Volume Preboot 5.3 GB disk3s2
   3: APFS Volume Recovery 919.3 MB disk3s3
   4: APFS Volume Data 779.2 MB disk3s5
   5: APFS Volume VM 20.5 KB disk3s6
   
   /dev/disk4 (external, physical):
   #: TYPE NAME SIZE IDENTIFIER
   0: GUID_partition_scheme *107.4 GB disk4
   1: EFI EFI 209.7 MB disk4s1
   2: Apple_APFS Container disk5 107.2 GB disk4s2
   
   /dev/disk5 (synthesized):
   #: TYPE NAME SIZE IDENTIFIER
   0: APFS Container Scheme - +107.2 GB disk5
   Physical Store disk4s2
   1: APFS Volume Macintosh HD - Data 4.8 GB disk5s1
   2: APFS Volume Macintosh HD 9.3 GB disk5s2
   3: APFS Snapshot com.apple.os.update-... 9.3 GB disk5s2s1
   4: APFS Volume Preboot 5.4 GB disk5s3
   5: APFS Volume Recovery 754.6 MB disk5s4
   6: APFS Volume VM 20.5 KB disk5s5
   
   /dev/disk6 (external, physical):
   #: TYPE NAME SIZE IDENTIFIER
   0: GUID_partition_scheme *107.4 GB disk6
   1: EFI EFI 209.7 MB disk6s1
   2: Apple_APFS Container disk7 107.2 GB disk6s2
   
   /dev/disk7 (synthesized):
   #: TYPE NAME SIZE IDENTIFIER
   0: APFS Container Scheme - +107.2 GB disk7
   Physical Store disk6s2
   1: APFS Volume Macintosh HD - Data 9.4 GB disk7s1
   2: APFS Volume Macintosh HD 9.3 GB disk7s2
   3: APFS Volume Preboot 5.4 GB disk7s3
   4: APFS Volume Recovery 754.6 MB disk7s4
   5: APFS Volume VM 20.5 KB disk7s5

   前の例では、dev/disk7 はセカンダリボリュームの名前です。

6. セカンダリボリュームを正しく識別したことを確認するには、次のコマンドを実行します。

   diskutil info disk7

   注: dev/disk7 は、セカンダリボリュームの名前に置き換えます。
   出力で、[デバイス/メディア名] が [Amazon Elastic Block Store] に設定されていることを確認します。
   出力例:

   $ diskutil info disk7 | Grep DeviceDevice Identifier: disk7
   Device Node: /dev/disk7
   Device / Media Name: Amazon Elastic Block Store
   Device Block Size: 4096 Bytes
   Device Location: External

7. オペレーティングシステム (OS) にセカンダリボリュームをマウントするには、次のコマンドを実行します。

   sudo diskutil mount /dev/disk7s1

   注: dev/disk7 は、セカンダリボリュームの名前に置き換えます。

8. ディスクがマウントされていることを確認するには、次のコマンドを実行します。

   df -h

   出力例:

   df -h
   Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
   /dev/disk5s2s1 100Gi 8.7Gi 81Gi 10% 356840 846823560 0% /
   devfs 228Ki 228Ki 0Bi 100% 788 0 100% /dev
   /dev/disk5s5 100Gi 20Ki 81Gi 1% 0 846823560 0% /System/Volumes/VM
   /dev/disk5s3 100Gi 5.0Gi 81Gi 6% 941 846823560 0% /System/Volumes/Preboot
   /dev/disk1s2 500Mi 6.0Mi 392Mi 2% 1 4010720 0% /System/Volumes/xarts
   /dev/disk1s1 500Mi 52Mi 392Mi 12% 53 4010720 0% /System/Volumes/iSCPreboot
   /dev/disk1s3 500Mi 636Ki 392Mi 1% 51 4010720 0% /System/Volumes/Hardware
   /dev/disk5s1 100Gi 4.5Gi 81Gi 6% 160213 846823560 0% /System/Volumes/Data
   /dev/disk3s4 228Gi 108Ki 212Gi 1% 17 2223298800 0% /private/tmp/tmp-mount-K1ov0m
   map auto_home 0Bi 0Bi 0Bi 100% 0 0 100% /System/Volumes/Data/home
   /dev/disk7s1 100Gi 8.8Gi 77Gi 11% 204661 802361480 0% /Volumes/Macintosh HD - Data

   注: セカンダリボリュームには Macintosh HD - Data というラベルが付いており、マウント後に表示されます。前の例では、dev/disk7 はセカンダリボリュームです。

9. 次のコマンドを実行してマウントポイントのディレクトリを開き、ボリュームのデータにアクセスします。

   cd /Volumes/Macintosh/HD - Data

   注: /Volumes/Macintosh/HD - Data は、マウントポイントディレクトリのファイルパスに置き換えます。

10. セカンダリボリュームから新しいインスタンスのルートボリュームにデータをコピーするには、次の rsync コマンドを実行します。

brew install rsync

11. 次のコマンドを実行して、今後の ec2-user のセキュアトークンを無効にします。

sudo dscl . -append /Users/ec2-user AuthenticationAuthority ";DisabledTags;SecureToken"

sudo /usr/bin/dscl . -passwd /Users/ec2-user

上記の passwd コマンドの実行時にエラーが発生した場合は、次のコマンドを実行してユーザーのパスワードを設定します。

sudo passwd ec2-user

注: ec2-user は、お使いの Amazon EC2 ユーザー名に置き換えます。 ユーザーにセキュアトークンがないことを確認するには、次のコマンドを実行します。

sysadminctl -secureTokenStatus ec2-user

注: ec2-user は、お使いの Amazon EC2 ユーザー名に置き換えます。ユーザーにセキュアトークンがない場合は、セキュアトークンがある他のユーザーのサポートがなくてもパスワードをリセットできます。
すべてのユーザーを表示するには、次のコマンドを実行します。

for user in $(ls /Users); do echo $user; sysadminctl -secureTokenStatus $user; doneUse secure token, bootstrap token, and volume ownership in deployments