# Criar e conectar numa EC2 Windows por RDP, passo a passo

> Chave PEM, security group com RDP, Windows Server 2019 e a senha pelo console: como criar e acessar uma EC2 Windows. Aula de 2021, confira a Free Tier.

- Autor: Henrylle Maia, consultor AWS
- Publicado em: 2026-10-15
- Assuntos: Carreira
- URL: https://pages.formacaoaws.com.br/blog/criar-e-conectar-ec2-windows/
- Aula de origem: "Como criar e se conectar a uma instância EC2 Windows, na AWS gratuitamente [atualizado Set-2021]" (https://www.youtube.com/watch?v=ejoFdPYm9rM)

Quem sobe uma EC2 Windows costuma travar na hora de entrar nela: faltam a chave certa, a porta 3389 liberada ou a senha, que só sai uns minutos depois do launch. Aqui está o caminho completo, da chave ao desktop remoto, e como desligar tudo no fim.

> **Importante:** gravei esta aula em setembro de 2021, e o console e a Free Tier mudaram desde então. O que eu chamo de gratuito aqui era a regra da época: a conta nova de hoje escolhe entre plano free e plano pago, como mostra o post [Nova Free Tier da AWS](https://pages.formacaoaws.com.br/blog/nova-free-tier-da-aws/). Confira o que a sua conta cobra antes de lançar a máquina.

## O que você precisa antes de conectar

Uma instância Windows roda dentro de uma VPC, numa subnet. Você não precisa dos detalhes de rede para este passo a passo, mas precisa de duas coisas:

- **Um security group** associado à instância, com a porta 3389 liberada. É por ela que o Terminal Service do Windows (RDP) atende de fora.
- **Uma chave PEM.** São duas chaves: a AWS fica com a pública e você com a privada. Para recuperar a senha, você entrega a privada, a AWS confere que a instância tem a pública correspondente e libera a senha.

![A instância Windows dentro da VPC e a chave PEM pública que fica com a AWS; o security group na borda libera a porta 3389 para você, que conecta com a chave privada](https://pages.formacaoaws.com.br/blog/assets/posts/criar-e-conectar-ec2-windows/desenho-conexao-rdp.svg)

> **Importante:** a chave privada é a única forma de recuperar a senha. Guarde com sigilo. Se você perdeu a chave, aquela instância está perdida. O que dá para fazer é gerar uma AMI, que é o backup da instância, e rodar outra a partir dessa imagem com uma chave nova. Quem vai gerar AMI de Windows deve ler antes [como preparar a EC2 Windows para escalar](https://pages.formacaoaws.com.br/blog/ec2-windows-pronta-para-escalar/).

## Passo 1: criar o par de chaves

No console do EC2, abra **Key pairs** e crie uma nova chave. Eu usei o nome "chave Windows".

- **Tipo:** RSA. O ED25519 só vale para instância Linux ou Mac. O RSA serve para Windows e para Linux, e é o que eu uso sempre.
- **Formato:** `.pem`. Quem usa PuTTY pode escolher `.ppk`, mas eu trabalho com `.pem`, e a AWS aceita o `.pem` para recuperar a senha.

Ao criar, o navegador baixa o arquivo. Eu salvei em Downloads.

## Passo 2: criar o security group com RDP

Ainda no EC2, abra **Security Groups** e crie um novo. Dê um nome e uma descrição que você reconheça depois. Em **Inbound rules**, adicione uma regra do tipo **RDP** e, na origem, deixe **só o seu IP**.

![A regra de entrada do security group: tipo RDP, protocolo TCP, porta 3389 e origem My IP (o endereço está coberto)](https://pages.formacaoaws.com.br/blog/assets/posts/criar-e-conectar-ec2-windows/security-group-rdp-3389.webp)

Só isso: RDP, porta 3389, o seu IP e nada mais.

## Passo 3: lançar a instância Windows

Em **Launch instance**, escolha a imagem **Microsoft Windows Server 2019 Base**. Depois:

1. **Tipo:** `t2.micro`, que na época estava na Free Tier. Tem 1 vCPU e 1 GiB de memória.
2. **Rede:** deixe como está. Rede, subnet e IP público automático já servem para conectar.
3. **Disco:** os 30 GB padrão.
4. **Tag:** um nome para a instância (a minha foi "aula Conexão Windows 2021").
5. **Security group:** escolha o que você criou no passo 2.
6. **Chave:** na hora do launch, selecione a chave do passo 1 e marque que você tem acesso ao arquivo.

![Console de 2019: t2.micro selecionada, com 1 vCPU, 1 GiB de memória e a etiqueta Free tier eligible](https://pages.formacaoaws.com.br/blog/assets/posts/criar-e-conectar-ec2-windows/t2-micro-free-tier.webp)

Windows demora mais que Linux para ficar pronto: no Linux é um minuto ou menos, no Windows o setup é maior. A aula de 2019 sobre o mesmo assunto, [criar uma EC2 Windows gratuita](https://www.youtube.com/watch?v=_nUpD08vPY8), explica o que a AWS verifica nessa espera. É o **status check 2/2**, que confere o hardware e o software que permite a conexão. A cobrança do poder computacional começa quando a instância está em `running` com o 2/2 ok, e é por segundo.

## Passo 4: recuperar a senha e conectar

Com a instância rodando, selecione-a e clique em **Connect**. A tela mudou em 2021, e foi isso que gerou dúvida em quem seguia a aula antiga. Ignore a aba **Session Manager**, que serve para conectar sem chave SSH e não é o nosso caso. Vá na aba **RDP client**.

![A aba RDP client: botão para baixar o arquivo de conexão, DNS público (coberto), usuário Administrator e o link Get password](https://pages.formacaoaws.com.br/blog/assets/posts/criar-e-conectar-ec2-windows/rdp-client-conectar.webp)

A aba tem o DNS público, o usuário (`Administrator`) e a senha. Para a senha:

1. Clique em **Get password**. Se ainda não estiver disponível, a própria tela pede para esperar 4 minutos depois do launch. Atualize a página e tente de novo.
2. Selecione o arquivo da chave privada e clique em **Decrypt password**.
3. Copie a senha que apareceu.

Agora abra o seu cliente de desktop remoto. No Windows, digite `mstsc` no terminal. Informe o DNS público como servidor, `Administrator` como usuário e cole a senha. Você também pode baixar o arquivo de conexão da aba, em vez de digitar os dados.

Uma pegadinha de quem conecta pelo Linux, como eu: a primeira conexão deu erro de profundidade de cor. Reduzi a **color depth** nas preferências do cliente para 16 bits, e só isso bastou. O certificado, na primeira vez, é só aceitar.

Depois de carregar, é um Windows Server 2019 numa t2.micro, que demora um pouco para abrir. Dali em diante é o trabalho que você faria em qualquer servidor.

O caminho todo, em resumo:

**Fluxo:** Chave PEM (par de chaves RSA) → Security group (RDP, só o seu IP) → EC2 Windows (Server 2019, t2.micro) → Senha (decifrada com a chave) → Cliente RDP (conexão remota)

## Passo 5: desligar para não pagar

Se você parar no desktop remoto, a instância continua cobrando. Quando acabar, feche o terminal, marque a instância e use **Terminate**. O terminate joga a instância fora junto com o volume EBS dela, como mostrei na aula de 2019. Quando ela mudar de status para desligada, a cobrança da instância para.

## Checklist

- Criar a chave RSA em `.pem` e guardar o arquivo com cuidado.
- Criar o security group com a regra RDP, porta 3389, só para o seu IP.
- Lançar o Windows Server 2019 Base com o security group e a chave certos.
- Esperar pelo menos 4 minutos antes de pedir a senha.
- Na aba RDP client, usar Get password, decifrar com a chave e conectar.
- No Linux, se der erro de cor, reduzir a profundidade para 16 bits.
- Terminar a instância no fim.
- Conferir a Free Tier atual da sua conta antes de lançar.

Chave, security group e instância são as três peças. Com elas no lugar, a senha sai do console e o RDP abre.