注册阿里云帐号时，很少有人会停下来想安全设置。大多数人只是想买台服务器、试一下数据库，登录入口一用就是几年。但这个帐号背后挂着云服务器、数据库、域名和账单，管得好不好，直接决定资源安全和费用是否可控。下面先理清帐号的结构，再用一个常见的团队场景，说明注册后应该先开哪几项设置。
先分清主帐号和 RAM 用户
阿里云的帐号大致分两类。主帐号是注册时用手机号或邮箱创建的那个，对名下所有资源和费用都有最高权限。RAM 用户是由主帐号创建的子用户，可以按需要授予不同权限。
可以把主帐号理解成公司的财务章：权限最大，平时锁起来，只在必要时使用。日常干活的人应该使用 RAM 用户，只能进入被授权的区域。两者分开用，是比较稳妥的做法。
一个团队常见的情况
设想一家五六个人的小型电商团队。技术负责人最早用自己的手机号注册了主帐号，之后服务器、对象存储和数据库都挂在这一个帐号下，大家共用同一套登录信息和 AccessKey。人少的时候还能凑合，人一多就容易出问题。
某次有人离职，团队回头一看，那套信息仍然能进生产环境，也没人说得清哪些权限还在被使用。负责人花了两天重新梳理，主要做了这几件事：
- 主帐号只留给财务和少数管理操作，日常运维全部切到 RAM 用户上。
- 每个成员单独建一个 RAM 用户，按工作内容授权。比如开发人员只管测试环境，不碰生产库。
- 删除挂在主帐号下的 AccessKey，改由 RAM 用户持有，并定期轮换。之后有人离开，直接停用对应用户即可。
- 给主帐号和高权限的 RAM 用户开启多因素认证（MFA）。
整改之后，有一次成员误操作，因为他的 RAM 用户没有删除权限，生产数据库没有受到影响。权限拆分的价值，通常要等到意外发生时才看得出来。
日常管理要注意的几点
- 尽早完成实名认证。企业用户使用企业认证，之后开票、备案和申请资源会省不少事。
- 绑定的手机号和邮箱要有人长期维护。找回密码和接收安全通知都靠它们，人员变动后如果没有更新，关键时刻可能登不进去。
- 不要多人共用一套登录信息。共用之后，操作记录就分不清是谁做的，出了问题也很难追溯。
- 定期查看操作日志。重点关注异常登录，以及删除资源、修改权限之类的高风险操作。
- 设置费用预警。资源被异常占用时，账单往往是最先暴露问题的地方。
两个常见误区
很多人觉得密码够复杂就安全了。但密码泄露多半来自钓鱼页面、旧电脑或来路不明的第三方工具，光靠复杂密码挡不住这些。这也是要开启 MFA 的原因，让登录多一道验证。
另一个误区是把 AccessKey 直接写进代码，再推送到公开仓库。这类情况在开源项目中并不少见，一旦被自动扫描抓到，资源可能很快就被拿去乱用。更稳妥的做法是把密钥放在环境变量或专门的密钥管理服务里，不要写进代码。
还有一种情况是长期不清理。员工走了、项目结束了，对应的 RAM 用户和密钥如果还在，就会一直是隐患。定期盘点一次权限，比出事后再补救省力得多。
如果你的帐号已经用了一段时间，可以先花半小时把现有的 RAM 用户和 AccessKey 列成一张表，标出哪些还在用、哪些可以停用。这一步做完，后面的整改会清楚很多。阿里云帐号的安全设置并不复杂，难的是坚持做下去。
