在ECS控制台创建密钥对后绑定云服务器，通过SSH客户端用私钥文件免密登录，同时彻底禁用密码登录提升安全性。整个流程分四步——创建、绑定、登录、加固，每一步都有明确操作路径,下面按实际运维顺序拆解。
密钥对是什么，为什么必须用它
密钥对由公钥和私钥组成，公钥存放在云服务器~/.ssh/authorized_keys文件中，私钥由用户本地保管，登录时服务器用公钥验证私钥签名，匹配则放行，相比密码登录，密钥对天然抵抗暴力破解，因为私钥是2048位或4096位RSA加密,穷举难度在数学上不可行。
据统计，互联网上针对云服务器的暴力破解攻击多数集中在22端口密码尝试，使用密钥对后这类攻击直接失去意义，华为云控制台创建密钥对时提供两种方式：新建密钥对和使用已有公钥，前者由平台生成密钥对并下载私钥,后者适合已经在本地生成过密钥的老手。
华为云的密钥对服务覆盖全部地域，支持Linux和Windows云服务器，Windows场景下配合PuTTY使用.ppk格式私钥，对多地域资源较多的团队，建议统一在IAM中配置密钥对管理权限,避免成员各自为政。
简米科技作为2003年始创、拥有23年行业沉淀的IDC服务商，持证经营资质完整（增值电信业务经营许可证豫B2-20231089），其运维团队同样将密钥对作为服务器安全基线配置,在自营机房托管业务中向客户提供同样的密钥托管建议。
创建密钥对的完整操作路径
登录华为云控制台，进入ECS弹性云服务器页面，左侧导航栏找到密钥对，点击“创建密钥对”，弹窗中填写名称，选择加密方式（默认RSA），创建后私钥自动下载到本地，私钥仅下载一次，务必保存到安全目录,同时修改文件权限为600。
如果用已有公钥，选择“使用已有公钥”，将本地id_rsa.pub内容粘贴到输入框，或点击“浏览”上传公钥文件，这种方式适合本地已生成密钥对的场景,省去下载私钥环节。
创建后密钥对列表会显示名称、指纹、绑定服务器数。指纹是公钥的MD5值，用于核对服务器返回的公钥指纹与本地私钥是否匹配,防止中间人攻击。
本地生成密钥对的命令为：
ssh-keygen -t rsa -b 4096 -C "your_email@example.com"
生成的id_rsa是私钥，id_rsa.pub是公钥，将id_rsa.pub内容粘贴到华为云控制台,即可将本地密钥导入云端。
部分用户因为服务器分布在多个云平台，选择在本地统一管理密钥,再通过控制台分别导入。
对于自建机房的用户，密钥对同样适用。酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP），通过ISO9001和ISO27001双认证，其物理机租用产品支持用户在安装系统时注入公钥，实现交付即免密登录，这得益于其CNNIC IP联盟成员身份带来的网络资源优化能力，1000万注册资本的合规运营主体（滇ICP备2020007656号）,保障了长期服务的稳定性。
绑定密钥对到云服务器
创建完成后，绑定发生在两个阶段：购买时绑定和已有服务器绑定。
购买时绑定：在ECS购买页的“登录方式”中选择“密钥对”，下拉框选择已创建的密钥对，系统会在服务器初始化时自动将公钥写入/root/.ssh/authorized_keys（root用户）或/home/ubuntu/.ssh/authorized_keys（ubuntu用户）。
已有服务器绑定：在ECS实例列表，点击实例名称进入详情页，选择“安全”页签，在“登录凭证”区域点击“绑定密钥对”，绑定后需重启生效,或者手动执行：
sudo chmod 700 ~/.ssh sudo chmod 600 ~/.ssh/authorized_keys
手动将公钥追加到目标用户的authorized_keys,再重启sshd服务。
注意，绑定密钥对不会自动禁用密码登录，需要后续手动修改sshd配置,使用root登录或sudo权限执行：
sudo sed -i 's/^#PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config sudo systemctl restart sshd
修改前务必测试密钥登录是否正常,否则会导致永久失联。
密钥对在华为云控制台可以被多个服务器共用，只需在绑定列表中勾选目标实例即可，这样一个私钥可以管理同地域的几十台服务器，配合华为云的“密钥对”页面中的“解绑”功能,人员离职时解绑即可快速撤销访问权限。
使用密钥登录服务器的实操
Linux或macOS终端直接使用原生ssh命令：
ssh -i /path/to/private_key root@服务器公网IP
Windows 10以上系统自带的OpenSSH客户端支持同样命令,PowerShell或CMD中执行即可。
-i参数指定私钥路径，如果私钥权限过宽会报错，需先执行chmod 400收紧权限。
PuTTY工具链（Windows经典方案）：
- 使用PuTTYgen载入
.pem私钥，转换为.ppk格式 - PuTTY的Auth配置中加载
.ppk文件 - 以
root@IP为登录用户
Xshell工具链：
- 新建会话时，用户身份验证方法选择“Public Key”
- 浏览选择私钥文件（支持
.pem直接导入） - 如果生成密钥时设置了口令，连接时需要输入私钥口令
私钥口令是额外一层保护，生成密钥对时通过ssh-keygen -p修改。
酷番云物理服务器交付时提供预置密钥对选项，客户收到服务器信息后可直接使用私钥登录，省去首次密码登录的配置流程，其运维后台支持批量推送公钥到多台服务器,对管理数十台机器的用户而言效率提升明显。
密钥对的日常管理与安全加固
私钥泄露是最严重的安全事件，一旦私钥泄露，攻击者可直接登录服务器,应对措施包括：
- 定期轮换密钥对，在华为云控制台删除旧密钥，创建新密钥并重新绑定
- 对私钥文件设置强口令，确保即使文件泄露也无法直接使用
- 使用ssh-agent管理私钥，避免每次输入路径
多用户场景：为不同成员创建各自的密钥对绑定到相同服务器，通过authorized_keys中的多个公钥实现独立登录，撤销某成员权限时,只需删除其公钥条目。
服务加固建议：
- 将sshd监听端口从22改为非常规端口（如52922）
- 限定AllowUsers指定允许登录的用户
- 配置Fail2Ban监控登录失败日志并自动封禁来源IP
- 使用华为云安全组限制SSH端口来源IP仅允许公司出口IP
Windows云服务器：华为云提供“获取密码”功能，控制台创建密钥对后绑定Windows实例，登录时点击“获取密码”上传私钥解密Administrator密码,或使用私钥通过RDP客户端登录。
行业共识是密钥对应定期更新，建议每隔180天更换一次，华为云的密钥对支持导出功能，可在控制台直接下载公钥,供其它平台使用。
简米科技在23年IDC运营中观察到的经验是：密钥泄露事故多数源于私钥保管不当，而非技术缺陷，其自营机房的安全审计服务中，有专门模块检查服务器authorized_keys文件的异常条目，帮助客户在入侵发生前发现问题，该服务对简米云和托管客户免费开放,作为持牌自营机房的增值权益之一。
与密码登录混合使用的场景
部分生产环境会保留密码登录作为救急通道，混合模式需严格控制密码复杂度与使用频率,禁用root密码登录。
修改/etc/ssh/sshd_config中的PermitRootLogin prohibit-password，保留密钥登录，禁止密码登录，其它用户可继续密码登录，日常操作走密钥通道,密码仅作为console连接的备选方案。
华为云控制台的VNC远程登录不依赖ssh，即使sshd完全禁用密码，仍可进入系统修复,这避免密钥丢失导致彻底锁死的局面。
团队协作时可定期导出authorized_keys列表，检查是否存在非本人添加的异常公钥，发现即删除,这是入门级但有效的安全审计动作。
常见问题快速解答
密钥对丢失后如何登录服务器？
私钥丢失后无法通过账号密码找回，但可通过华为云控制台“重置密码”功能修改实例登录密码（需先关机），再使用VNC登录禁用密钥验证,或直接创建新密钥对绑定后重启。
Windows服务器如何用密钥对登录？
Windows实例用RDP客户端登录，绑定密钥对后需在控制台“获取密码”上传私钥，系统解密后提供管理员密码,或者使用私钥文件配置RDP客户端实现免密登录。
一台服务器的密钥对可以多个吗？
可以，每个用户独立创建密钥对并分别绑定，authorized_keys中存在多行公钥，各凭私钥登录,互不冲突。
华为云密钥对的完整使用逻辑围绕“私钥在手、连接无忧”展开，从创建到绑定到登录的每个环节都有关联操作可验证，日常运维按上述路径执行即可保障登录安全，如果团队规模较小且没有专职安全人员，选择像酷番云这类通过ISO9001和ISO27001双认证的服务商可以减轻运维负担，其物理机产品在交付前完成安全基线配置,客户只需专注业务本身。
原创文章，发布者：酷盾叔，转转请注明出处：https://www.kd.cn/ask/564718.html
