SSH 加固与最小权限 RAM 账号实践

大量入侵源于暴露的 SSH 和过大的云账号权限。这两块加固投入小、收益高，值得优先做。

「SSH 加固与最小权限 RAM 账号实践」提醒我们一个朴素的事实：云上安全纵深防御靠的不是临场发挥，而是平时的体系化建设。告警是否准确、日志是否齐全、权限是否收敛，决定了故障来临时是从容处置还是手忙脚乱。

SSH 加固

禁用 root 直接登录、禁用密码改为密钥登录、修改默认端口（配合安全组放通）、用 fail2ban 或云安全中心防暴力破解、并把可登录来源限制为 IP 白名单。

# /etc/ssh/sshd_config 关键项
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
# 修改默认端口并同步安全组
Port 22022

RAM 最小权限

为每个成员 / 应用创建独立 RAM 用户，按岗位授予最小必要策略；管理账号开启 MFA；优先用角色（Role）+ STS 临时凭证替代长期 AK。

AK 管理

绝不把 AccessKey 硬编码到代码或提交到仓库，用 KMS / 环境变量 / 实例 RAM 角色获取，并定期轮转。

操作审计

开启操作审计（ActionTrail），保留关键操作日志，便于事后追溯。

小结：收敛入口 + 收紧权限，能挡掉绝大多数常见攻击路径，是安全基线里的重中之重。

把访问路径收敛到一条

SSH 加固的终局不是「每台机器都配得很严」，而是运维不再直连公网地址：所有登录统一走堡垒机或云平台的会话管理，公网 22 端口对外关闭。路径收敛之后，审计与权限回收才有落点。

• 登录方式：仅允许密钥登录，禁用密码登录与 root 直登；安全组只放行堡垒机出口地址，不使用全网段放行。
• 账号与权限：按角色授予最小权限，管理台登录开启多因素认证；高权限账号与普通操作账号分离。
• 密钥管理：访问密钥定期轮换，代码库提交前做明文扫描，泄露或离职即刻吊销；不在共享配置里长期存放同一把密钥。
• 审计告警：开启操作审计，把高危操作（删除资源、修改安全组、创建账号、变更权限策略）配置成实时告警。

权限回收同样关键：转岗与离职当天就收回访问权，长期闲置的密钥与账号定期清理。多数云上安全事件的起点不是高深攻击，而是一把忘了收的旧钥匙。

一份可执行的日常清单

• 暴露面盘点：定期梳理对外端口与服务，关闭不必要的开放。
• 权限最小化：账号与密钥按最小权限分配，定期回收闲置权限。
• 告警治理：清理长期无人响应的告警，保证留下的告警都值得处理。
• 预案演练：对高频故障场景准备处置预案并定期演练。

清单不复杂，难在坚持；而云上安全纵深防御的差距，恰恰体现在坚持上。

把云上安全纵深防御交给更专业的协作方

安徽卓牛为客户提供云上的安全加固、监控体系搭建与运维托管服务，能够结合阿里云安全与可观测产品，帮助团队建立可持续的运维安全体系，而非一次性整改。

若你希望就「SSH 加固与最小权限 RAM 账号实践」涉及的内容做一次现状评估，可通过官网在线客服联系安徽卓牛，获取针对性建议。