如何恢复受 CrowdStrike Falcon 代理影响的亚马逊云科技资源？
内容提要
CrowdStrike Falcon代理更新导致Windows设备出现错误或蓝屏。解决方法包括重启实例、使用自动化运行手册或手动方法。如果问题仍未解决，可以恢复实例或还原WorkSpace。如果仍无法解决问题，可以进行故障排除。
延伸解读
受影响范围与前提条件
本次问题仅影响运行 Windows 的 Amazon EC2 实例和安装了 CrowdStrike 的个人 WorkSpaces，其他操作系统或未安装该代理的资源不受影响。在执行恢复操作前，需确认实例是否使用实例存储卷，因为停止、休眠或终止实例会导致该卷数据被加密擦除且无法保留。此外，若 EBS 根卷已加密，需确保账户中有可用的加密密钥并具备使用权限，否则自动化恢复可能失败。
自动化恢复的关键配置
使用 AWSSupport-StartEC2RescueWorkflow 运行手册时，自动化会在 VPC 中启动临时辅助实例，该实例需关联默认安全组并允许出站 HTTPS（端口 443）访问 Amazon S3 和 Systems Manager 端点。若根卷已加密，必须将 AllowEncryptedVolume 参数设为 True。同时，IAM 用户或角色需具备运行手册所需的权限，并额外添加 kms:CreateGrant 权限，否则工作流可能因权限不足而中断。
常见故障与应对要点
自动化恢复可能因多种原因失败：辅助实例无法连接 SSM 端点时，需检查安全组出站规则和子网路由；实例启用了停止保护会导致无法停止，需先关闭该功能；若默认 VPC 已删除，可将 SubnetId 设为 CreateNewVPC 让工作流新建 VPC。此外，EBS 卷加密未设置 AllowEncryptedVolume、CloudFormation 堆栈创建权限不足、实例未保持停止状态等也会导致特定步骤报错，需根据错误信息逐一排查。
WorkSpaces 与最终求助途径
对于个人 WorkSpaces，若多次重启后仍无法恢复正常，应先将 WorkSpace 还原到以前的快照；若还原后问题依旧，则需重建 WorkSpace。当所有自动化或手动恢复步骤均无法解决 EC2 实例连接问题时，应联系 AWS Support，并提前准备好无法访问实例的屏幕截图，以便支持人员更快定位问题。
Q&A
CrowdStrike Falcon 代理更新后，Windows 设备出现了什么问题？
更新后，Windows 设备出现了意外停止错误或蓝屏。
如何解决受 CrowdStrike Falcon 代理影响的 Amazon EC2 实例问题？
可以通过重启实例、使用自动化运行手册或手动方法进行恢复。
如果重启实例无效，我该怎么办？
可以使用 AWS Systems Manager Automation 运行手册或手动恢复方法。
如何确定哪些实例受到影响？
可以运行 AWS CLI 命令 describe-instance-status 来确定受损实例。
在使用自动化恢复时需要注意什么？
确保 IAM 用户或角色具有所需权限，并且 EBS 根卷已加密时设置 AllowEncryptedVolume 为 True。
如果自动化工作流失败，我该如何处理？
检查 CloudFormation 堆栈状态和 EBS 卷加密设置，确保实例保持停止状态。
