很多人用阿里云好几年了，账号密码还是注册时随手设的那一个。服务器越开越多，成员来来去去，密码却几乎没动过。密码一旦泄露，资源被乱操作是小事，账单上跳出一大笔费用、数据被删，才是真正让人头疼的情况。这篇文章把阿里云密码的类型、设置方法和日常维护理一遍，帮你把这件事落到实处。
先分清阿里云里的几种”密码”
阿里云的登录凭证不止一种。很多安全问题，都是从把它们混为一谈开始的。
- 根账号登录密码：用注册邮箱或手机号登录控制台时输入的那个。权限最高，能管账号下的全部资源和费用，所以要尽量少用。
- RAM用户登录密码：通过RAM（访问控制）创建的子账号使用的密码，权限由管理员按工作需要分配。
- AccessKey：程序调用API时用的访问密钥。严格说它不是登录密码，但泄露的危害并不比密码小，甚至更隐蔽，因为它常常被写进代码或配置文件里。
实际操作中，根账号密码只在必要时才用，日常协作尽量交给RAM子账号去完成。
设置强密码的基本做法
一个靠谱的密码，长度要够，字符要杂，还不能和个人信息有关。建议至少12位，同时包含大小写字母、数字和符号。生日、手机号、公司简称、”admin123″这类拼凑出来的组合，撞库工具几秒钟就能试完，不要用。
还有一点更容易被忽略：阿里云的密码最好单独使用。很多人习惯在几个网站上共用同一组密码，别的平台数据库一旦泄露，攻击者会拿着这些账号密码去其他网站逐个尝试。给阿里云配一个只用在这里的高强度密码，再交给可靠的密码管理器保存，比死记硬背更稳妥。
案例：一次因共用子账号引发的麻烦
下面是一个很典型的场景，为便于说明做了简化。某小团队的运维小王离职时，大家忘了修改那个共用的RAM子账号密码。几个月后，这个密码随某个第三方工具的泄露流了出去，有人登录控制台，新建了好几台按量计费的实例拿来挖矿，几天就攒出一张不小的账单。事后排查，问题并不出在阿里云本身，而是三件事叠在一起：账号共用、离职没回收、密码长期不换。
所以建议很简单：每个人都用自己的子账号，人走了立刻禁用或删除，重要操作开启提醒，让异常能被第一时间看见。
开启多因素认证，给密码再加一把锁
密码再复杂，也可能通过钓鱼页面或键盘记录被拿走。开启多因素认证（MFA）后，登录时除了密码，还要输入手机验证应用里的动态验证码。这一步看起来多了一道手续，但攻击者手里只有密码时就进不去了。根账号建议至少启用一种MFA。子账号也可以在RAM策略里要求敏感操作必须经过MFA验证，比如删除实例、修改安全设置这类动作。
忘记密码怎么办
忘了登录密码，一般可以通过注册时绑定的手机或邮箱完成身份验证，然后重新设置。问题在于，如果绑定的手机号早已停用，或者邮箱已经不用了，找回就会麻烦得多，需要通过阿里云官方渠道提交身份核验材料，耗时不短。所以平时就该确认绑定信息是最新的，而且是你自己能长期掌控的。
还要特别留意一类骗局：有人主动联系你，自称能”帮忙找回密码”，同时索要验证码。不管对方说得多像官方，验证码都不能给。
定期维护，别指望一次设置管一辈子
安全这件事需要反复做。可以按下面几项定期过一遍：
- 每季度看一次RAM用户列表，把已经不再使用的子账号停用。
- 子账号只给完成工作所必需的权限。权限给多了，账号被盗时损失也跟着变大。
- 按团队规范定期更换密码，涉及费用和核心资源的账号，周期可以再短一些。
- 检查AccessKey的最近使用记录，长期没用的直接删除，在用的按计划轮换。
- 留意账单和操作日志。陌生地区的登录、不认识的实例，都是应该立刻查的信号。
几个常见误区
第一种误区是觉得自己的小项目不值得花心思。小项目恰恰是攻击者批量扫描的对象，数据的价值也未必低。第二种是把密码或AccessKey直接写进代码仓库、配置文件或聊天记录，这是AccessKey泄露最常见的原因之一。第三种是嫌MFA麻烦就不开，等账号出事，代价往往比每次多输一个验证码大得多。
阿里云的密码管理并不复杂。弄清每种凭证是干什么的，给每个人分一个独立身份，再养成定期检查的习惯，大多数常见风险就能挡在门外。
