Criar e conectar numa EC2 Windows por RDP, passo a passo

Quem sobe uma EC2 Windows costuma travar na hora de entrar nela: faltam a chave certa, a porta 3389 liberada ou a senha, que só sai uns minutos depois do launch. Aqui está o caminho completo, da chave ao desktop remoto, e como desligar tudo no fim.

O que você precisa antes de conectar

Uma instância Windows roda dentro de uma VPC, numa subnet. Você não precisa dos detalhes de rede para este passo a passo, mas precisa de duas coisas:

• Um security group associado à instância, com a porta 3389 liberada. É por ela que o Terminal Service do Windows (RDP) atende de fora.
• Uma chave PEM. São duas chaves: a AWS fica com a pública e você com a privada. Para recuperar a senha, você entrega a privada, a AWS confere que a instância tem a pública correspondente e libera a senha.

1Criar o par de chaves

No console do EC2, abra Key pairs e crie uma nova chave. Eu usei o nome "chave Windows".

• Tipo: RSA. O ED25519 só vale para instância Linux ou Mac. O RSA serve para Windows e para Linux, e é o que eu uso sempre.
• Formato: .pem. Quem usa PuTTY pode escolher .ppk, mas eu trabalho com .pem, e a AWS aceita o .pem para recuperar a senha.

Ao criar, o navegador baixa o arquivo. Eu salvei em Downloads.

2Criar o security group com RDP

Ainda no EC2, abra Security Groups e crie um novo. Dê um nome e uma descrição que você reconheça depois. Em Inbound rules, adicione uma regra do tipo RDP e, na origem, deixe só o seu IP.

Só isso: RDP, porta 3389, o seu IP e nada mais.

3Lançar a instância Windows

Em Launch instance, escolha a imagem Microsoft Windows Server 2019 Base. Depois:

1. Tipo: t2.micro, que na época estava na Free Tier. Tem 1 vCPU e 1 GiB de memória.
2. Rede: deixe como está. Rede, subnet e IP público automático já servem para conectar.
3. Disco: os 30 GB padrão.
4. Tag: um nome para a instância (a minha foi "aula Conexão Windows 2021").
5. Security group: escolha o que você criou no passo 2.
6. Chave: na hora do launch, selecione a chave do passo 1 e marque que você tem acesso ao arquivo.

Windows demora mais que Linux para ficar pronto: no Linux é um minuto ou menos, no Windows o setup é maior. A aula de 2019 sobre o mesmo assunto, criar uma EC2 Windows gratuita, explica o que a AWS verifica nessa espera. É o status check 2/2, que confere o hardware e o software que permite a conexão. A cobrança do poder computacional começa quando a instância está em running com o 2/2 ok, e é por segundo.

4Recuperar a senha e conectar

Com a instância rodando, selecione-a e clique em Connect. A tela mudou em 2021, e foi isso que gerou dúvida em quem seguia a aula antiga. Ignore a aba Session Manager, que serve para conectar sem chave SSH e não é o nosso caso. Vá na aba RDP client.

A aba tem o DNS público, o usuário (Administrator) e a senha. Para a senha:

1. Clique em Get password. Se ainda não estiver disponível, a própria tela pede para esperar 4 minutos depois do launch. Atualize a página e tente de novo.
2. Selecione o arquivo da chave privada e clique em Decrypt password.
3. Copie a senha que apareceu.

Agora abra o seu cliente de desktop remoto. No Windows, digite mstsc no terminal. Informe o DNS público como servidor, Administrator como usuário e cole a senha. Você também pode baixar o arquivo de conexão da aba, em vez de digitar os dados.

Uma pegadinha de quem conecta pelo Linux, como eu: a primeira conexão deu erro de profundidade de cor. Reduzi a color depth nas preferências do cliente para 16 bits, e só isso bastou. O certificado, na primeira vez, é só aceitar.

Depois de carregar, é um Windows Server 2019 numa t2.micro, que demora um pouco para abrir. Dali em diante é o trabalho que você faria em qualquer servidor.

O caminho todo, em resumo:

5Desligar para não pagar

Se você parar no desktop remoto, a instância continua cobrando. Quando acabar, feche o terminal, marque a instância e use Terminate. O terminate joga a instância fora junto com o volume EBS dela, como mostrei na aula de 2019. Quando ela mudar de status para desligada, a cobrança da instância para.

Checklist

• Criar a chave RSA em .pem e guardar o arquivo com cuidado.
• Criar o security group com a regra RDP, porta 3389, só para o seu IP.
• Lançar o Windows Server 2019 Base com o security group e a chave certos.
• Esperar pelo menos 4 minutos antes de pedir a senha.
• Na aba RDP client, usar Get password, decifrar com a chave e conectar.
• No Linux, se der erro de cor, reduzir a profundidade para 16 bits.
• Terminar a instância no fim.
• Conferir a Free Tier atual da sua conta antes de lançar.

Chave, security group e instância são as três peças. Com elas no lugar, a senha sai do console e o RDP abre.