AWS环境中Windows实例RDP(NLA)无法连接问题求助

嘿，这个问题我之前帮客户处理过类似的，既然域控制器（DC）还能正常登录，咱们完全可以从DC入手排查，不用急着重建环境。下面是几个可行的方案，按优先级来：

方案1：通过域控制器远程执行命令排查（最直接） #

因为所有实例都在同一个域里，DC作为域控拥有域管理员权限，能直接远程操作这些实例：

• 远程PowerShell会话：在DC上打开PowerShell，用域管理员账号执行：

  Enter-PSSession -ComputerName <实例名称/私有IP>
  

  如果能成功建立会话，就可以一步步排查：

  • 检查RDP服务状态：

    Get-Service TermService
    # 如果服务未启动，启动并设置自动运行
    Start-Service TermService
    Set-Service TermService -StartupType Automatic
    

  • 验证防火墙规则：

    Get-NetFirewallRule -DisplayName *Remote Desktop*
    # 如果规则未启用，临时开启测试
    Enable-NetFirewallRule -DisplayName "Remote Desktop - User Mode (TCP-In)"
    

  • 检查FSx挂载情况：很多时候是启动时FSx挂载超时导致系统卡住，无法进入登录界面：

    Get-SmbMapping
    # 如果挂载失败，临时取消强制挂载（避免启动阻塞）
    Remove-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters' -Name 'RequireSecureNegotiate' -ErrorAction SilentlyContinue
    

• 远程桌面服务管理器：在DC的「服务器管理器」→「工具」里打开「远程桌面服务管理器」，可以查看域内所有实例的会话状态，尝试重置异常会话或者强制发起登录请求。

• 远程读取事件日志：如果连PowerShell会话都建立不了，可以远程拉取实例的系统日志找错误：

  Get-WinEvent -ComputerName <实例名称> -LogName System -MaxEvents 50 | Sort-Object TimeCreated -Descending
  

  重点看启动阶段的错误，比如FSx连接失败、RDP服务启动异常等。

方案2：利用EC2系统管理器（SSM）应急连接 #

如果你的template实例之前安装了SSM Agent，并且绑定了带SSM权限的IAM角色，那可以直接通过AWS控制台的「系统管理器」→「会话管理器」连接实例，完全绕开RDP。连接后执行和方案1一样的排查步骤就行。

方案3：修复AMI的FSx挂载配置（避免后续踩坑） #

问题根源大概率是你基于挂载了FSx的template制作AMI后，新实例启动时会自动尝试挂载FSx，但如果网络延迟、FSx暂时不可用，就会阻塞系统登录。解决办法：

1. 先通过方案1或2连接到template实例，取消FSx的开机自动挂载，或者把挂载逻辑改成用户登录后执行（比如放到登录脚本里），而不是系统启动阶段执行。
2. 重新制作AMI，这样后续启动的实例就不会因为挂载问题卡住了。

方案4：确认域加入状态 #

在DC上执行以下命令，检查实例是否正常加入域：

Get-ADComputer <实例名称>

如果实例状态是「禁用」，或者根本找不到记录，说明域加入过程有问题，需要远程在实例上重新加入域：

Remove-Computer -UnjoinDomainCredential (Get-Credential) -Force
Add-Computer -DomainName <你的域名> -Credential (Get-Credential) -Restart

内容的提问来源于stack exchange，提问作者kkarczewski