Packer+Terraform部署EC2 Windows Server时winrm remote-exec自动密码连接故障

以下是适配EC2自动生成管理员密码时WinRM连接失败的排查方向与修复方案：

1. 修复资源依赖与等待时机 #

Terraform默认会并行初始化资源，remote-exec可能在EC2实例的管理员密码同步到AWS元数据服务前就发起连接，导致密码无效。需新增aws_instance_password资源显式依赖，并延长连接超时：

resource "aws_instance" "windows_server" {
  ami           = "你构建的AMI ID"
  instance_type = "t3.large"
  key_name      = "你的EC2密钥对名称"
  # 其余原有实例配置
}

# 新增专门的密码解密资源，确保密码就绪后再执行后续操作
resource "aws_instance_password" "windows_admin" {
  instance_id = aws_instance.windows_server.id
  private_key = file("你的私钥本地路径.pem")
}

provisioner "remote-exec" {
  connection {
    type     = "winrm"
    user     = "Administrator"
    # 直接引用解密后的密码，避免手动解密的时序问题
    password = aws_instance_password.windows_admin.password
    host     = aws_instance.windows_server.public_ip
    port     = 5985
    https    = false
    insecure = true
    # 延长超时到15分钟，等待实例初始化+密码同步完成
    timeout = "15m"
  }

  inline = [
    "echo 连接成功"
    # 你原有需要执行的命令
  ]
}

2. 修复WinRM权限配置 #

Packer构建阶段的初始化脚本通常只针对构建时使用的固定密码账户开放WinRM权限，需要修改setup.ps1为整个本地管理员组开放权限，适配EC2自动生成的Administrator账户：

# 开启WinRM基础认证
Set-Item WSMan:\localhost\Service\Auth\Basic -Value $true
Set-Item WSMan:\localhost\Service\AllowUnencrypted -Value $true

# 开放WinRM防火墙端口
New-NetFirewallRule -Name "WinRM-HTTP-In-TCP" -DisplayName "Windows Remote Management (HTTP-In)" `
  -Direction Inbound -Protocol TCP -LocalPort 5985 -Action Allow -Enabled True `
  -Group "Windows Remote Management"

# 给本地管理员组开放WinRM PowerShell插件访问权限
$existingAcl = Get-Acl WSMan:\localhost\Plugin\microsoft.powershell\Quotas
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
  "Administrators", "FullControl", "ContainerInherit, ObjectInherit", "None", "Allow"
)
$existingAcl.AddAccessRule($accessRule)
Set-Acl WSMan:\localhost\Plugin\microsoft.powershell\Quotas $existingAcl

# 重启WinRM服务生效配置
Restart-Service WinRM -Force

修改后重新用Packer构建AMI即可。

3. 修复自动生成密码的特殊字符转义问题 #

EC2自动生成的密码默认包含$、&、反引号等特殊字符，部分版本的Terraform WinRM provider不会自动转义，导致密码被截断。对解密后的密码做转义处理即可：

password = replace(aws_instance_password.windows_admin.password, "/([$&`])/", "\\$1")

验证方法 #

修改完成后按以下步骤验证：

1. 销毁现有资源：terraform destroy -auto-approve
2. 重新部署：terraform apply -auto-approve
3. 若仍然连接失败，本地执行以下PowerShell命令验证WinRM连通性，排除实例配置问题：

$pwd = ConvertTo-SecureString "你手动解密得到的密码" -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential("Administrator", $pwd)
Enter-PSSession -ComputerName 实例公网IP -Port 5985 -Credential $cred `
  -SessionOption (New-PSSessionOption -SkipCACheck -SkipCNCheck -SkipRevocationCheck)

内容的提问来源于stack exchange，提问作者Daniele Ricci