买完阿里云ECS云服务器，很多人第一次登录就卡住了。控制台里找不到密码，或者试了几次都提示错误，只能干等。这篇文章说明阿里云服务器初始密码怎么设置、忘记后怎么重置，以及拿到权限之后该做哪些加固。
初始密码在创建时设定
创建ECS实例时，登录凭证一般有两种选择。一种是自定义密码，在购买页面直接填写，实例创建完成后就可以用它登录。另一种是密钥对登录，不设密码，改用SSH密钥。Linux服务器更常用密钥对，安全性也更好，但私钥丢了就没有直接的办法登录。
如果选了密钥对又没有保存私钥，只能通过更换密钥对或重置实例密码来恢复访问。所以创建实例时就要想清楚凭证怎么保存，这一步省下的时间最多。
密码规则要先满足
阿里云对初始密码有固定要求，不符合规则的密码提交时会直接报错。常见规则如下，具体以控制台页面的提示为准：
- 长度为8到30个字符。
- 至少包含大写字母、小写字母、数字、特殊字符中的三类。
- 不能包含用户名，例如Linux下的root。
- 特殊字符尽量选常见符号，少用空格和不常见的标点。中文输入法下容易输入成全角符号，登录时就会对不上。
有人买了Ubuntu服务器，想把密码设成“123456”，提交时直接被拦下。换成包含大小写字母、数字和符号的组合后就通过了。这类报错通常不是系统故障，只是密码强度不够。
忘记密码后在控制台重置
如果忘了初始密码，可以在ECS控制台重置实例密码，步骤大致如下：
- 登录阿里云控制台，进入云服务器ECS，找到对应的实例。
- 在实例操作中找到“更多”，选择“重置实例密码”。
- 输入新密码并确认提交。
- 按提示重启实例。新密码一般需要重启后才会生效。
重启会中断正在运行的业务，所以最好选在访问量低的时段操作，或者提前通知使用的人。如果服务器上有重要数据，可以先给系统盘做一次快照，万一后面出现意外，还能回退。
另外，登录时的用户名也要核对。Linux服务器默认用户一般是root，Windows服务器默认用户一般是Administrator。用户名填错，密码再正确也登录不上。
还有一种常见情况是原来管服务器的人离职，没有交接密码。新来的同事需要更新网站代码，却进不去系统。这时候在控制台重置密码就能接管，整个过程不需要找原来的人，前提是阿里云账号本身还在自己手里。
登录失败先排查，再考虑重置
“密码错误”的提示很多时候并不是密码的问题。重置之前，可以按下面的顺序检查：
- 确认登录地址是否正确，公网IP有没有变化。
- 检查安全组规则，SSH的22端口或远程桌面的3389端口是否放行了当前使用的IP。办公网络出口变化后，这一条最容易被忽略。
- 确认用户名是不是root或Administrator。
- 检查大小写锁定，以及输入法是否处于全角状态。
上面几项都确认无误，再去做重置。先排查能省掉不少没必要的操作。
拿到权限后马上加固
登录成功只是第一步。初始密码往往是创建时临时设定的，强度和保管方式都未必可靠，所以拿到权限后最好尽快处理下面几件事。
- 修改密码：Linux下用passwd命令，Windows下在系统设置里修改。不建议长期沿用初始密码。
- 改用密钥登录：在本地生成SSH密钥对，把公钥放到服务器上，确认能用密钥登录后，再在sshd_config中关闭密码登录。顺序不能反，否则可能把自己锁在外面。
- 收紧安全组：只开放必要的端口。SSH或远程桌面只允许固定的办公IP访问，不要对所有地址开放。
- 开启安全防护：在阿里云安全中心开启基础防护功能，它可以发现弱口令和暴力破解的尝试。
- 妥善保存凭证：用团队的密码管理工具保存密码或私钥，不要留在聊天记录、代码仓库或随手记的备忘录里。
有一种常见的情况是，个人博客服务器运行一段时间后，系统日志里出现大量失败的登录记录。这时把登录方式改成密钥，再把安全组限制到固定IP，后续的异常尝试基本就停了。这些改动并不复杂，多数情况下一个小时内就能完成。
阿里云服务器的初始密码，创建时要符合规则，忘记时可以在控制台重置，拿到权限后应尽快换成更安全的登录方式。遇到登录问题，先看安全组和用户名。
