华为云实践手记：轻量云上运维的 3 个关键细节

1. 安全组与访问控制：从源头收敛暴露面

• 收敛管理入口：切勿将默认 22 端口对全网开放。优先在安全组中绑定固定管理 IP 或跳板机网段，修改默认 SSH 端口，并强制开启公钥登录、禁用密码认证。
  
  
• 反代与本地监听结合：对于轻量 Web 或 API 服务，容器端口建议仅监听本地回环（如 127.0.0.1:8080），统一交由宿主机的 Nginx 或 Caddy 进行 TLS 终结与反向代理。安全组仅开放必要的 80/443 端口，杜绝内部调试端口裸奔。
  
  

2. 状态解耦：容器化与数据持久层规划

• 环境配置外置化：应用本身保持无状态，所有环境差异通过挂载的配置文件（如 .env）或系统环境变量传入；容器内部禁止保存核心数据。
  
  
• 持久化资产集中管理：将数据库、上传文件等需要留存的资产，统一收敛挂载到指定目录（如 /opt/app/data）或独立的云硬盘（EVS）分区。一旦 ECS 需要升级规格、迁移可用区或重建系统盘，只需打包配置与数据目录，即可在几分钟内无损恢复。
  
  

# 推荐的轻量服务 Compose 规范
services:
  app:
    image: my-service:latest
    restart: unless-stopped
    network_mode: "host" # 或通过 127.0.0.1 映射暴露
    environment:
      - NODE_ENV=production
    volumes:
      - /opt/app/config:/app/config:ro # 配置文件只读挂载
      - /opt/app/storage:/app/storage   # 数据持久化目录

3. 运维兜底：Systemd 自愈与云监控（CES）协同

• 进程崩溃自动拉起：所有常驻进程务必注册为 systemd 守护进程（配置 Restart=on-failure 和 RestartSec=5s），Docker 容器则指定 restart: unless-stopped，防范突发内存溢出或网络震荡导致的离线。
  
  
• 低成本接入云监控告警：华为云自带的云监控（CES）无需额外部署探针即可采集 CPU、内存及公网带宽水位。建议配置两条基础规则：CPU 使用率持续高于 85% 与 公网出向带宽打满，绑定邮件或短信告警，能在遭遇异常流量攻击或死循环时第一时间收到提醒。