如何通过Terraform在Windows EC2实例上执行PowerShell命令

问题根源 #

你现在踩了Terraform Provisioner的一个常见坑——把local-exec和remote-exec搞混啦！local-exec是在你的本地机器上执行命令，而不是在刚创建的EC2实例内部。那个C:\ProgramData\Amazon\EC2-Windows\Launch\Scripts\InitializeInstance.ps1是Windows EC2实例内部的默认脚本路径，你的本地机器（除非恰好是Windows且有完全一致的路径）根本找不到这个文件，这就是报错的原因。

正确解决方案：改用remote-exec Provisioner #

要在EC2实例上执行脚本，必须用remote-exec——它会通过WinRM连接到你的Windows实例，在实例内部运行命令。下面是修改后的完整代码：

data "aws_ami" "ec2-worker-initial-encrypted-ami" {
  filter {
    name   = "tag:Name"
    values = ["ec2-worker-initial-encrypted-ami"]
  }
}

resource "aws_instance" "my-test-instance" {
  ami           = data.aws_ami.ec2-worker-initial-encrypted-ami.id
  instance_type = "t2.micro"

  tags = {
    Name = "my-test-instance"
  }

  # 配置WinRM连接信息，让Terraform能远程访问实例
  connection {
    type        = "winrm"
    user        = "Administrator" # Windows实例默认管理员账号，可根据你的AMI调整
    password    = self.password   # 测试环境可用密码，生产环境更推荐密钥对
    host        = self.public_ip
    port        = 5986
    https       = true
    insecure    = true # 测试环境临时启用，生产环境建议配置可信SSL证书
  }

  provisioner "remote-exec" {
    inline = [
      "C:\\ProgramData\\Amazon\\EC2-Windows\\Launch\\Scripts\\InitializeInstance.ps1 -Schedule"
    ]
    interpreter = ["PowerShell", "-Command"]
  }
}

更可靠的替代方案：使用User Data #

还有一种稳定性更高的方式，就是用EC2的user_data执行初始化脚本——它会在实例启动时自动运行，不需要Terraform保持远程连接，避免网络波动导致的执行失败。示例代码如下：

resource "aws_instance" "my-test-instance" {
  ami           = data.aws_ami.ec2-worker-initial-encrypted-ami.id
  instance_type = "t2.micro"

  tags = {
    Name = "my-test-instance"
  }

  # 通过User Data在实例启动时自动执行脚本
  user_data = <<-EOF
              <powershell>
              C:\ProgramData\Amazon\EC2-Windows\Launch\Scripts\InitializeInstance.ps1 -Schedule
              </powershell>
              EOF
}

额外注意事项 #

• 安全优化：生产环境强烈建议用AWS密钥对配合WinRM认证，而非明文密码，降低安全风险。你可以在AMI中提前配置WinRM支持密钥认证，或通过User Data初始化相关设置。
• 路径校验：先确认目标AMI中确实存在该脚本路径——部分自定义AMI可能修改了EC2 Launch脚本的默认位置，路径错误也会导致类似报错。

内容的提问来源于stack exchange，提问作者Akshay Tilekar