第一次进入阿里云后台，菜单多得容易让人发懵。但日常真正会用到的模块其实不多。先把这几个理清楚，再做几项基础设置，大部分乱扣费和误操作的问题都能提前挡住。
先把主账号和子账号分开
注册后拿到的是主账号，它拥有全部权限，能删资源、充值，也能看所有账单。如果把主账号的 AccessKey 直接发给开发同事，或者写进代码里，风险很高。
更好的做法是在 RAM 访问控制里为每个人建子账号，只给对应的权限。比如开发只管理 ECS 实例，财务只看账单，谁也不需要碰主账号。
案例：一个做内容站的小团队，早期把主账号的 AccessKey 写进了前端项目的配置文件。代码推到公开仓库后，有人用这组密钥开了大量实例挖矿，一个月后账单多出几千块，团队才发现。后来他们全员改用 RAM 子账号，并停用了主账号的 AccessKey。
在费用中心盯住账单
费用中心是后台里最容易被忽略的页面，却最值得花十分钟设置。这里能看到当月消费、按产品拆分的明细，以及账户余额。
- 设置月度预算告警，超过阈值时通过邮件或短信通知到负责人。
- 每周看一次账单明细，按产品或资源组分组。费用突然涨得快的项目，优先排查。
- 测试用的按量付费实例用完就释放。包年包月的资源，到期前确认一下是否还需要续费，避免被自动续上。
给资源打标签、分组
实例一多，就很难说清哪台服务器属于哪个项目。给资源加上标签，比如“项目=官网”“环境=测试”，配合资源组管理，之后查账、清理和分配权限都会省事很多。
标签在费用中心也能按维度筛选。把测试环境的费用单独拉出来看，经常能找到一台本该关掉的开发机。
安全组和登录设置
ECS 的安全组决定哪些 IP 能访问哪些端口。最常见的错误，是把 0.0.0.0/0 对 22 端口或数据库端口全部放开。这等于把服务器直接摆在公网上。
基本配置建议
- 只开放业务必需的端口。SSH 端口限定为办公网络的固定 IP。
- 数据库不对公网开放，业务服务器通过专有网络内网访问。
- 主账号和有高权限的子账号，开启多因素认证。
案例：某电商团队为了方便调试，把测试服务器的 3306 端口对所有 IP 开放，数据库密码还比较简单。几天后，数据库里的测试订单被人拖走，随后收到勒索。事后他们把数据库迁到内网，安全组也改成了白名单。
用释放保护防止误删
在 ECS 实例设置里开启释放保护，控制台误点或脚本误调用时，实例就不会被直接释放。生产环境的实例建议全部开启。要删除前，必须先关掉这个保护，本身就多了一道确认。
监控和操作审计
云监控可以为 CPU、内存和带宽设置告警。如果某台服务器的 CPU 长时间维持在 90% 以上，可能是程序死循环，也可能是被植入了挖矿程序。告警能让你在问题扩大前就收到通知。
操作审计会记录账号在后台的每一次操作。遇到误删或资源被改动时，可以据此查到是哪个账号、在什么时间做了什么。
