企业上云必读 台湾服务器地址账户密码管理最佳实践方案

1. 资产清单与分组（建立可操作的台灣服务器列表）

步骤：1) 导出当前云商控制台（如 AWS/GCP/Azure/阿里云）或机房清单，包含IP/内网IP、用途、环境（prod/preprod）、负责人、登录方式（SSH/管理平台）、证书/密钥位置；2) 把表格存在受控位置（公司内部Git仓库或加密的Excel），列出优先级和风险等级；3) 为每台服务器分配唯一ID（例如 tw-prod-001）。

2. 账户命名与生命周期管理

步骤：1) 定义命名规则（如 svc- 开头用于服务账户，ops- 人员账户）；2) 创建账号时记录创建人、用途、TTL（生命周期）；3) 新员工入职/离职流程必须包含账户开通与禁用步骤；4) Linux 示例创建：sudo useradd -m -s /bin/bash ops-alice && sudo passwd ops-alice。

3. 最小权限与sudo策略实施

步骤：1) 建立分组，如 admins、ops、readonly；2) 使用visudo为组设置精细权限，例如 %ops ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart myservice；3) 避免默认给域账号root权限，尽量使用sudo并记录日志；4) 定期审查sudoers文件并通过脚本比对差异。

4. SSH密钥管理与配置（强制公钥登录）

步骤：1) 生成密钥并设置强口令：ssh-keygen -t rsa -b 4096 -C "ops@company"；2) 将公钥上传到服务器：ssh-copy-id -i ~/.ssh/id_rsa.pub ops@SERVER_IP；3) 修改 /etc/ssh/sshd_config：PermitRootLogin no，PasswordAuthentication no，PubkeyAuthentication yes，Restart: sudo systemctl restart sshd；4) 为服务账号使用专用密钥并对私钥使用文件权限 chmod 600。

5. 密码策略与PAM强制规则

步骤：1) 编辑 /etc/login.defs 与 /etc/pam.d/common-password，设置最小长度、复杂度和历史，例如使用 pam_pwquality.so retry=3 minlen=14 difok=4；2) 强制密码过期：chage -M 90 username；3) 生成符合规则的随机密码：openssl rand -base64 24；4) 禁止共享密码，所有敏感账户必须通过密钥或Vault访问。

6. 秘密存储与Vault实践（推荐HashiCorp Vault或云上密钥管理）

步骤：1) 部署Vault或选择云KMS/秘钥库（如Azure Key Vault）；2) 将凭据写入Vault并设置访问策略：vault kv put secret/tw/tw-prod-001 username=svc-app password='自动生成密码'；3) 为应用使用短期动态凭证（DB/云API），配置自动租约与续期；4) 限制Vault访问并启用审计日志。

7. 服务账户与应用凭据管理

步骤：1) 把服务账户与主机分离，服务凭据不放在代码或明文配置文件；2) 使用环境变量或注入工具（Consul Template、Vault Agent）在启动时拉取凭据；3) 为每个服务设置独立账号并限定权限；4) 定期轮换服务密码或使用动态凭据。

8. 密钥与密码轮换自动化

步骤：1) 制定轮换策略（如用户密码90天、SSH密钥180天、服务凭据30天）；2) 编写自动化脚本或使用Vault的自动轮换API：vault write database/roles/…；3) 使用CI/CD流水线在更新凭据后自动重启依赖服务并验证连接；4) 校验回滚方案与变更日志。

9. 日志、审计与告警配置

步骤：1) 启用审计日志（Vault audit devices 或 Linux auditd），将日志集中到SIEM；2) 对敏感事件设置告警（登录失败次数、root登录尝试、密钥被添加）；3) 配置fail2ban防暴力破解并使用云防火墙限制管理端口；4) 定期审计最近的sudo/ssh访问记录。

10. 备份、应急与恢复流程

步骤：1) 备份Vault密钥元数据和密钥库配置，测试恢复流程；2) 保存 /etc/ssh/authorized_keys 的版本历史并能还原；3) 制定账号泄露事件响应SOP（立即禁用相关账号、轮换密钥、评估访问记录、向团队通报）；4) 每季度演练一次恢复流程。

11. 自动化模板与合规检查

步骤：1) 将前述配置写成基础镜像或Terraform/Ansible模板（例如Ansible tasks: 添加用户、配置sshd、部署公钥）；2) 使用Lint和策略作为代码（OPA、Sentinel）检查账户与权限是否符合公司规范；3) 对新建服务器强制执行合规扫描并阻止不合规上线。

12. 问答1

问：如果台湾服务器已经有多人使用共享账户，第一步该如何整改？

答：先建立完整使用名单并备份当前授权公钥/密码记录，立即为共享账户设置过渡期（发通知、限制高权限操作），创建个人账户并通过sudo或角色授权替代共享账户，最后禁用共享账户并保存审计记录。

13. 问答2

问：小型团队没有Vault，如何快速做到安全的密码管理？

答：可先使用企业级密码管理器（1Password/Bitwarden企业版）集中存储并开启共享保险库与MFA，配合自动生成强口令与定期强制轮换；同时把重要密钥迁移到该工具并限制访问权限，待条件允许再迁移到Vault。

14. 问答3

问：如何在台湾机房地址变更后保证账户与密钥安全不受影响？

答：变更前在资产清单标注依赖，变更过程使用滚动更新：先在新地址验证密钥与访问，更新DNS和防火墙规则，切换流量后保留旧环境短期只读并监控异常，确认无问题再彻底撤销旧密钥并在Vault中记录变更历史。

来源：企业上云必读 台湾服务器地址账户密码管理最佳实践方案