第一次在阿里云买ECS实例时，设置登录密码往往是最容易被草草带过的一步。但这个密码直接决定谁能登录你的服务器，阿里云服务器账号密码怎么设、存在哪、什么时候该换，都值得花几分钟想清楚。这篇文章按实际操作的顺序讲：先分清几种密码，再说设置和重置，最后讲更稳妥的登录方式。
一、先分清几种密码
阿里云里说的“密码”不止一个，混在一起最容易出错。
- 阿里云主账号密码：登录官网和控制台用的，能管理所有资源和费用，权限最大，不要随便交给别人。
- RAM子账号密码：由主账号在RAM访问控制中创建，给团队成员日常使用，权限可以按需分配。
- ECS实例登录密码：服务器操作系统的登录凭证。Linux一般用root，Windows是管理员账号，通过SSH或远程桌面连接时输入。
很多人连接服务器失败，原因就是把控制台密码当成了服务器密码。反过来，把主账号密码发给同事做远程运维，权限和操作记录也会一起变乱。动手改之前，先确认自己要改的是哪一个。
如果忘记的是主账号密码，可以走阿里云官网的“忘记密码”流程，用绑定的手机或邮箱验证。RAM子账号的密码则由主账号管理员在RAM控制台重置。两种方式都依赖绑定信息，所以平时就要核对好手机号和邮箱是否还能正常使用。
二、购买时怎么设置
购买页面一般会让你选择自定义密码或稍后设置。选自定义时，控制台的最低要求通常是8到30位，并且包含大写字母、小写字母、数字、特殊字符中的至少三类。但满足最低要求并不等于安全。
弱密码仍然是攻击者最常用的入口。不少测试机因为随手用了简单密码，被持续爆破后植入挖矿程序，CPU长期满载，最后才发现异常。这类情况并不少见，所以设置时宁可多花一点心思。
- 长度尽量在12位以上，不用生日、手机号、常见单词和键盘上的连续字符。
- 每台服务器用不同的密码，避免一处泄露牵连所有机器。
- 密码生成后先存进密码管理器，再填到控制台里，免得事后找不到。
三、忘记实例密码后如何重置
忘了ECS实例密码，可以在控制台重置。大致路径是：进入ECS管理控制台，找到目标实例，点击“更多”，选择“密码/密钥”，再点击重置实例密码并输入新密码。
有两点要注意。第一，新密码需要重启实例后才会生效，所以先确认业务窗口期，不要在高峰时段操作。第二，如果服务器上有定时任务或自动化脚本依赖旧密码，重置后这些任务可能会失败。动手前先翻一下crontab和部署脚本，省得事后排查。控制台的菜单位置会随版本调整，操作时以当前界面和官方文档为准。
四、长期运行的服务器，优先用SSH密钥
密码适合临时使用，长期提供服务的机器更推荐SSH密钥对。在阿里云创建密钥对并绑定到实例后，之后用私钥登录即可。密钥的破解难度远高于密码，还能按人单独授权和撤销。
团队里比较合理的做法是，每位运维人员用自己的密钥登录。人员调整时，只需删除对应的公钥，其他成员不受影响，也不用给整台机器换密码。如果还想进一步收紧，可以在sshd配置中关闭root的密码登录。不过改动配置前，先保留一个可用的登录会话，免得改完把自己锁在外面。
五、账号层面的加固
- 给主账号开启多因素认证（MFA），登录时需要输入动态验证码。
- 日常运维改用RAM子账号，只授予完成工作所需的权限，主账号尽量不直接操作资源。
- 人员变动或怀疑密码泄露时，马上修改相关密码，不要等到下一次例行更换。
- 密码不要写进代码仓库、聊天记录或共享文档里，用密码管理工具保存更稳妥。
- 打开操作审计，定期查看异常登录和高风险操作记录。
六、几个容易忽略的地方
有人觉得内网服务器不需要强密码。但一台机器被攻破后，攻击者会以它为跳板尝试访问内网里的其他机器，风险会迅速扩大。
也有人把密码设得复杂到记不住，结果只能反复重置，反而更乱。借助密码管理器，既能保证强度，也省去了记忆负担。
安全组同样重要。即使密码足够强，如果SSH端口对全网开放，依然会持续收到扫描和撞库请求。管理端口建议只对固定的可信IP开放，IP变动时及时更新规则。
刚接触阿里云的话，先把账号类型分清，再养成强密码、优先密钥、开启MFA的习惯，大部分常见风险都能挡住。每次操作前多看一眼控制台提示，多花几分钟，往往能省掉后面的麻烦。
