新开的阿里云服务器到手，很多人第一件事是装环境、传代码。可系统镜像出厂时的默认设置更偏向先能跑起来，离放心上线还有一段距离。阿里云服务器初始化花半小时做完，后面排查异常、补安全漏洞的时间能省下不少。
先想清楚这台机器干什么
初始化其实从下单就开始了。地域决定访问延迟，镜像决定后续的维护方式，规格和计费模式决定成本。比如一个做本地生活服务的小团队，用户集中在华东，那就选华东地域，页面打开速度会稳定很多。如果只是临时跑个内部测试接口，入门规格加按量付费，试错的代价最小，用不顺再换也不心疼。
第一次登录后先做这几步
实例创建好以后，可以用控制台的远程连接，也可以用本地终端登录。Linux 实例建议直接配 SSH 密钥登录，密码登录更容易被暴力破解。Windows 实例则走远程桌面，第一次进去就把管理员密码改掉。
登录后按顺序处理下面几件事：
- 执行系统更新，把镜像里已知的漏洞补上。更新完最好重启一次，内核相关的补丁才会真正生效。
- 设置时区和主机名。时区不对，日志时间对不上，排查问题时会很费劲；主机名起得有意义，机器多了一眼就能分清。
- 装上常用工具，比如 vim、curl、htop。这些工具后面排查问题基本离不开，提前装好，省得线上临时找源。
别长期用 root 干活
直接用 root 做日常操作，误删一条命令就可能造成大面积损失。凭证一旦泄露，攻击者拿到的就是最高权限。更稳妥的做法是新建一个普通用户，加入 sudo 组，平时用普通用户登录，需要提权时再用 sudo 执行单条命令。
这样做还有个好处：操作记录里能看出是哪个账户执行了什么，责任清楚。小团队多人共用一台机器时，最好每人一个账户，不要大家共用同一个登录名。
安全组和 SSH 配置要一起收
阿里云安全组相当于实例外层的访问控制。初始化时按最小开放的思路来配：业务需要的端口，比如 80、443，可以对外开放；管理端口 22 只允许固定办公 IP 访问，不要图省事对全网放行。很多机器被扫描，根源就是 22 端口对所有地址都开着。
服务器内部还要改 SSH 配置，常见做法有三条：
- 把 PermitRootLogin 设为 no，禁止 root 远程登录；
- 把 PasswordAuthentication 设为 no，只保留密钥登录；
- 如果确有必要，可以修改默认的 22 端口，减少无效扫描日志。但改端口之前，要先在安全组里放行新端口，否则会把自己关在门外。
改完配置，先别断开当前连接。另开一个窗口，用新配置尝试登录，确认能进去再关闭原会话。这是很多人踩过的坑：配置写错，又直接断开了连接，最后只能走控制台的救援模式恢复。改之前先用 sshd -t 检查一下语法，能省掉不少麻烦。
Swap、磁盘和自动更新
内存较小的实例，可以按需创建 Swap，避免流量高峰时内存吃紧，进程被系统直接杀掉。但 Swap 只是兜底，频繁使用说明规格可能该升级了，不能长期依赖它。
磁盘方面，建议把日志和业务数据放到单独挂载的数据盘上，和系统盘分开。这样后面扩容、做快照、迁移数据都更灵活，系统盘写满导致服务挂掉的情况也会少很多。
自动安全更新可以开启，或者设置定时任务检查补丁。自动更新也有风险，升级后服务可能出现兼容问题，所以生产环境最好先在测试机上验证一轮。
快照和监控趁早配
初始化完成后，立刻给系统盘做一次快照，作为回滚的基准点。之后部署新版本或改配置出了问题，能很快退回到这个状态。
再开启云监控，重点看 CPU、内存、磁盘和网络这几项，并设一个简单的告警阈值，比如磁盘使用率超过八成就提醒。监控不必多复杂，关键是出问题时有人能第一时间知道。
说到底，阿里云服务器初始化没有想象中那么复杂，就是把登录方式、用户权限、网络边界和备份这四件事理顺。每台新机器都按同一份清单走，做完记一笔，时间长了，自己的运维习惯也就形成了。
