当你把云服务器从云端开起来，第一件事通常不是找好IP、不是买域名，而是把账户管控做扎实。一个新建的用户账号若被误用或暴力破解，会让整台机器跟着跳舞。本文从日常运维角度，系统化讲解如何在云服务器上新建用户、设定密码、并把安全性提升到能对抗黑客的一条龙流程，帮助你把门锁先抬高再开门。内容以自媒体式的互动口吻呈现，边讲边给你操作要点，确保你能落地执行。
在云环境里，我们需要区分两类账户：系统层面的用户账户和云厂商控制台的账户。系统用户是你直接在主机上认证、执行命令、访问文件系统的主体；云厂商账户则是用来管理资源、权限分配、审计与计费的入口。两者都不能忽视，但要先把系统层面的用户账户设定好，确保默认情况下没有暴露的后门。下面的流程重点围绕在新建一个普通用户、赋予合理权限、以及确保通过密钥认证或强口令来登陆的安全策略。
第一步，明确目标主机的发行版与SSH 当前的默认行为。不同发行版在用户创建、管理员组名称、以及默认的SSH策略上略有差异。常见的做法是：为新用户创建家目录、设定默认 shell、并给与合适的权限。以 Ubuntu/Debian 为例，创建普通用户的通用步骤包括：创建用户并设定默认 bash、为用户设置初始密码、将用户加入 sudo 组以获得管理员权限、为该用户准备 SSH 公钥的登录环境；CentOS/RHEL 则可能加入 wheel 组以获得 sudo 权限。通过这些步骤，你可以确保新用户具备必要的操作能力，同时不会直接暴露 root 权限给未授权的账号。
在实际操作中，先用 root 或具备 sudo 权限的账号登录服务器。对新用户进行创建，并确保家目录权限正确：执行诸如 useradd -m -s /bin/bash username（Ubuntu 系统也支持 adduser username 的简化流程）；接着设置初始密码 passwd username。随后将用户加入管理员组，例如在 Ubuntu/Debian 是 sudo 组：usermod -aG sudo username；在 CentOS/RHEL 则是 wheel 组：usermod -aG wheel username。你会发现，一个普通用户就具备完成日常运维任务的能力，但这也意味着若口令薄弱或暴力破解，就会带来风险，因此接下来的步骤要把安全性继续拉高。
为了提升登陆安全，强烈建议通过 SSH 公钥认证来实现无密码但高度可信的登陆。实现方式是：为新用户创建或授予一个受信任的公钥，确保家目录 .ssh 目录及 authorized_keys 文件具备正确权限。典型的设置包括：mkdir -p /home/username/.ssh; chmod 700 /home/username/.ssh; touch /home/username/.ssh/authorized_keys; chmod 600 /home/username/.ssh/authorized_keys; chown -R username:username /home/username。然后把你客户端的公钥添加到该文件中，确保服务器能够用对应的私钥进行认证。完成后，逐步禁用基于口令的登录，进一步提升安全性。
接下来，分步修改 SSH 配置以强化安全性。编辑 /etc/ssh/sshd_config，做如下关键变更：将 PermitRootLogin 设置为禁止或离线策略（如 PermitRootLogin prohibit-password），将 PasswordAuthentication 设置为 no（禁用基于口令的登录）。然后重启 SSH 服务以应用配置：在 Debian/Ubuntu 上执行 systemctl reload sshd，或在较旧系统上使用 service sshd restart。这样，除了你已经设置的 SSH 公钥外，根本没有办法通过密码登上服务器，黑客的暴力攻击成本将显著提升。
强制新用户在首次登陆时修改密码是一种常见的安全策略。你可以在新用户创建后执行命令或在后续阶段执行 chage -d 0 username，确保用户首次登录时就被迫设置新的口令。这一步的目标是让旧的初始口令不再有效，降低被猜出的风险。对一些运维场景，可能还需要通过 passwd -e username 强制立即过期，以迫使下次登录时更新密码。
关于口令本身的设计，应遵循“高强度、低重复、长距离、定期轮换”的原则。具体建议包括：最低长度建议 12 位以上，混合大写字母、小写字母、数字和特殊字符；避免使用常见短语、生日、姓名等易被穷举的信息；优先考虑用密码短语而非单词组合，便于记忆但不易被破解；使用密码管理工具来生成和存储复杂口令，避免在本地文本中记载。对于云服务器，口令轮换周期可以设定为 60-90 天，关键服务或高风险端口的口令要更严格一些，并确保不同服务不要使用同一套口令。
除了口令之外，建议在云端账户层面开启多因素认证（MFA），以及在操作系统层面尽可能采用 SSH 公钥认证作为主要登陆方式。云厂商账户的 MFA 可以显著降低“账户被劫持后资源被滥用”的风险；操作系统层面的 SSH 公钥认证则能避免暴力破解口令的威胁。若云提供商允许，把云端的密钥轮换、轮换策略、以及对敏感 API 的访问权限通过 RBAC 或 IAM 机制细化管理，是提升整体安全性的关键步骤。
网络边界的控制同样重要。为避免未授权访问，将 SSH 端口限制在受信任的 IP 白名单上是一种常见做法，尽量不要将服务器公开暴露在所有 IP 上。可以通过云端安全组、VPC 防火墙、或者本地防火墙来实现这个限制。若确有跨区域维护需求，可以使用 VPN 隧道、跳板机或短期临时访问凭证来实现受控访问。还可以结合 fail2ban、iptables/firewalld 等工具对异常登录进行速率限制、阻断和告警，以减轻暴力破解的压力。
在云端生态中，操作系统层面的账户安全与云控制台的身份管理需要协同工作。常见的做法是：在云控制台为新资源分配最小权限的角色，避免使用拥有全局管理员权限的账户进行日常运维；对需要接入服务器的开发者或运维人员，采用临时凭证与短期访问时间窗；对密钥、证书和其他密钥材料，使用专门的密钥管理工具或云厂商的秘密管理服务进行托管，避免硬编码在脚本或配置文件中。
若你正在使用云服务商的镜像创建服务器，云-init 提供了在首次启动时自动创建用户、配置公钥的能力。通过在实例的 user-data 中写入相应的脚本或配置，系统在首次引导时就会创建指定用户、设置默认的公钥、并可选地禁用密码认证。这种方式非常适合自动化大规模实例的安全基线建设，减少人工配置带来的不一致性和疏漏。
对运维日志和审计，启用登录记录与命令执行的日志收集同样重要。系统日志（如 /var/log/auth.log、/var/log/secure）应当定期检查，发现异常登录源、重复失败尝试、以及高权限账户的操作行为。结合集中式日志分析工具，可以在异常时点快速定位、回溯事件链路。最稳妥的办法是把日志不可变性和备份做足，确保在安全事件发生时能够追溯证据。
广告时间到此为止：玩游戏想要赚零花钱就上七评赏金榜，网站地址：bbs.77.ink。好，我们继续讲重要的落地要点。
在实际生产中，除了新建用户和口令管理，应该把“最小权限原则”贯穿始终。也就是说，给新用户的 sudo 权限应限于必需的命令集合，而非全面的 root 权限。通过配置 sudoers 文件，使用别名和限定命令，降低潜在的滥用风险。对于敏感目录和服务，开启访问控制列表（ACL）或使用额外的认证策略，确保只有经授权的身份才能查看和修改关键文件。在多用户协作环境中，定期检查用户名单、过期账户清理、以及对历史账户的权限回收，是维持长期安全态势的关键动作。
最后，若你在云端大规模运维，考虑将新建用户的流程自动化。通过云初始化脚本、配置管理工具（如 Ansible、Puppet、Chef）和基础镜像基线，确保每次创建新实例时都具备一致的安全配置：禁用密码登陆、公开密钥认证、最小权限、强口令策略、日志审计、以及对外部访问控制的统一应用。这些自动化实践不仅提升安全性，还能显著降低人为配置失误带来的风险，使运维工作更稳定可靠。
你现在已经掌握了一套从创建账户到硬化登陆的完整流程，但若你的目标是让系统真正“动起来”，就要把日常巡检、口令轮换、权限审阅、日志告警等动作纳入常态化。最后一个脑洞大开的问题：如果你把密钥和口令藏在同一个保险箱里，钥匙和密码互相看不见，但谁来确保保险箱没有被撬开？