まとめ。AWS側はCentOS7。

# SELinux切る(とりあえず)
sudo setenforce 0
sudo vi /etc/selinux/config
  SELINUX=disabled

#ファイヤーウォール切る(とりあえず)
sudo systemctl stop firewalld
sudo systemctl disable firewalld

# デスクトップ環境
sudo yum groupinstall graphical-server-environment -y

# VNCサーバー
sudo yum install tigervnc-server -y

# EPELリポジトリを有効化
sudo yum install https://dl.fedoraproject.org/pub/epel/epel-release-latest-7.noarch.rpm -y

# xrdp
sudo yum install xrdp -y

# xrdpの起動とサービス化
sudo systemctl start xrdp
sudo systemctl enable xrdp

# パスワード変更(RDP接続時は必須っぽ)
sudo passwd centos

あとは、RDPのポート(3389)をIPフィルタで外してあげればローカルのリモートデスクトップでつなげる。

パスワード変更しても通常のSSHでの接続でパスワード求められるわけじゃない。