Packer创建Windows Server 2019镜像时密码获取/WinRM连接失败排查

问题现象 #

• Packer基于私有Windows Server 2019镜像创建新镜像时，持续卡在Waiting for auto-generated password for instance.环节，最终因Timeout waiting for password.报错终止
• 若硬编码winrm_password跳过密码获取步骤，又会卡在WinRM连接环节

解决方案 #

一、修复密码获取超时问题 #

• 检查源AMI的EC2Launch服务状态：Windows Server 2019默认使用EC2Launch服务生成并存储实例密码，需确保源镜像中该服务正常运行。可在源镜像实例中执行Get-Service EC2Launch确认状态为Running，若未启动则执行Set-Service EC2Launch -StartupType Automatic; Start-Service EC2Launch。
• 验证IAM权限：Packer使用的AWS凭证必须包含ec2:GetPasswordData权限，需在对应IAM策略中添加该权限。
• 延长密码超时时间：在Packer的source块中添加password_timeout = "30m"（默认10分钟），给实例足够时间生成密码。

二、修复WinRM连接问题 #

调整enableWinRM.ps1脚本

当前脚本存在证书不匹配、配置冗余等问题，修改后的可靠版本如下：

<powershell>
Write-Output "Running User Data Script"
Write-Host "(host) Running User Data Script"

Set-ExecutionPolicy Unrestricted -Scope LocalMachine -Force -ErrorAction SilentlyContinue

$ErrorActionPreference = "Stop"

# 清理现有WinRM监听器
Get-ChildItem WSMan:\Localhost\Listener | Remove-Item -Recurse

# 获取实例主机名，用于生成匹配的SSL证书
$instanceHostname = (Invoke-RestMethod -Uri http://169.254.169.254/latest/meta-data/local-hostname -ErrorAction SilentlyContinue)
if (-not $instanceHostname) {
    $instanceHostname = "packer-instance"
}
$Cert = New-SelfSignedCertificate -CertStoreLocation Cert:\LocalMachine\My -DnsName $instanceHostname -KeySpec KeyExchange

# 创建HTTPS监听器
New-Item -Path WSMan:\LocalHost\Listener -Transport HTTPS -Address * -CertificateThumbPrint $Cert.Thumbprint -Force

# 配置WinRM核心参数
Write-Output "Configuring WinRM"
Write-Host "(host) Configuring WinRM"

winrm quickconfig -q
winrm set winrm/config '@{MaxTimeoutms="1800000"}'
winrm set winrm/config/winrs '@{MaxMemoryPerShellMB="2048"}'
winrm set winrm/config/service '@{AllowUnencrypted="false"}' # HTTPS下无需允许未加密传输
winrm set winrm/config/service/auth '@{Basic="true"; CredSSP="true"}'
winrm set winrm/config/client/auth '@{Basic="true"; CredSSP="true"}'
winrm set winrm/config/listener?Address=*+Transport=HTTPS "@{Port=`"5986`"; Hostname=`"$instanceHostname`"; CertificateThumbprint=`"$($Cert.Thumbprint)`"}"

# 配置防火墙规则
New-NetFirewallRule -DisplayName "WinRM HTTPS" -Direction Inbound -Protocol TCP -LocalPort 5986 -Action Allow -RemoteAddress 10.0.0.0/8
netsh advfirewall firewall set rule group="Remote Administration" new enable=yes

# 重启WinRM服务确保配置生效
Restart-Service winrm -Force
Set-Service winrm -StartupType Automatic
</powershell>

修改核心说明：

• 用实例实际主机名生成SSL证书，避免证书与实例标识不匹配导致的连接失败
• 移除AllowUnencrypted=true配置，HTTPS传输下无需未加密通道
• 改用PowerShell原生命令替代部分cmd调用，提升脚本可靠性
• 精准限制防火墙访问范围，仅允许指定CIDR访问WinRM端口

Packer配置补充调整

在source块中添加以下配置项：

winrm_port = 5986
password_timeout = "30m"
# 若源镜像已设置固定管理员密码，可临时添加（生产环境不推荐）
# winrm_password = "YourSecurePassword"

同时确认temporary_security_group_source_cidrs包含Packer运行主机的IP范围（内网或公网），避免安全组拦截WinRM连接。

三、辅助排查手段 #

• 查看实例系统日志：通过AWS控制台查看实例的系统日志，确认user-data脚本是否执行成功、是否存在报错信息
• 手动验证连通性：启动一个同版本源AMI的实例，手动执行修改后的enableWinRM.ps1，然后用Test-WSMan -ComputerName <实例IP> -Port 5986 -UseSSL测试WinRM连接是否正常

内容的提问来源于stack exchange，提问作者LP13