云上部署的安全加固：凭证分级、最小权限与网络收敛

背景

把服务部署上云，第一步永远是"能跑起来"——页面能打开、接口能返回 200。但能跑通不等于能安全地跑。一个常见的上线场景是：脚本里硬编码 AK/SK、安全组图省事全开、OBS 桶策略设置成公开读写。功能都正常，风险却已经埋下。

本文从个人开发者和小团队最容易忽视的三条线——凭证、权限、网络——讲清云上部署该怎么加固。内容不绑定具体产品，但示例以华为云为参照。

一、凭证分级：让长效密钥只做一件事

云上鉴权凭证大致分三级，安全性递增：

1. 长效 AK/SK：永久有效，泄露即等于账号被接管，危害最大。
2. STS 临时凭证：通过 IAM 委托换取，有明确有效期（常见 900 秒），权限可控。
3. 请求签名：每次请求独立签名，不传输明文密钥。

正确的用法是分级使用：

• 长效 AK/SK 只用于生成临时凭证，不直接用于业务操作。
• 具体操作（发布、部署、读写）用 STS 临时凭证，用完即失效。
• 请求头鉴权依赖 HTTPS 传输加密，但依然要求密钥不落盘。

几条硬规矩：

• 密钥绝不写进代码仓库，提交历史一旦包含很难彻底清除。
• 密钥放环境变量或独立凭据文件，并加入 .gitignore。
• 定期轮换密钥，怀疑泄露立即吊销重建。
• 日志、报错信息、命令历史里都不能出现完整密钥。

二、最小权限：只授"刚好够用"的那部分

IAM 策略的原则是 deny by default：默认什么都不给，按需逐条放开。

落地时注意：

• 按操作授权：部署静态站点只需要对象存储上传/删除、ECS 创建/查询这几类 action，不要图省事给 *。
• 按资源授权：把策略限定到具体区域、具体资源 ARN，而不是整个账号。
• 自委托要谨慎：为发布类操作创建"委托自己"的 IAM 委托（self-verify）可以生成临时凭证，但这个委托本身权限要最小化，且用完能撤销就撤销。
• 临时凭证也分级：只读任务就只给只读权限，别用管理员级临时凭证跑只读脚本。

一个检验方法：问自己"如果这个凭证此刻泄露，攻击者最多能做什么？“如果答案是"能删光我的资源”，那就该收敛了。

三、网络收敛：把暴露面压到最小

安全组是云上第一道门，最常见的错误是"为了省事全开"。

• 只放通必要端口：静态站点放通 80/443；数据库端口绝不能对公网开放。
• SSH 限制来源 IP：管理端口（22/3389）只允许自己的固定 IP 或跳板机，禁止 0.0.0.0/0。
• 入站默认拒绝：先全拒，再逐条加白名单，比"先全开再补"安全得多。
• 出站也约束：敏感环境下限制实例可访问的外部地址，降低被利用外连的风险。

对象存储的网络与权限同样要注意：OBS 桶的公开读只用于确需公开的静态站点，且最好只开"读"不开"写"；私有桶一律走签名 URL 或临时凭证访问。

四、传输与数据面

• 全站 HTTPS：静态站点也要 HTTPS，证书走 CDN 或负载均衡统一管理，避免自签证书带来的信任问题。
• 敏感数据加密：数据库、对象存储里的敏感字段做静态加密，密钥与数据分离管理。
• 备份与恢复：删库跑路的故事年年有，重要数据定期备份，且验证过能恢复。

五、运行时与可观测性

安全不是一次配置，是持续过程：

• 及时打补丁：操作系统和中间件漏洞是常见入口，镜像和实例要定期更新。
• 开日志与审计：操作日志、访问日志留存，异常行为才可追溯。
• 配告警：对异常登录、异常流量、费用突增设置告警，早发现早处置。
• 资源止损也是安全：忘记释放的测试实例、闲置的 EIP，既烧钱又扩大暴露面，用完即清理。

六、踩坑与清单

上线前过一遍这份清单：

• [ ] 代码仓库里没有明文密钥，.gitignore 已覆盖凭据文件
• [ ] 业务操作使用 STS 临时凭证，长效密钥只用于换取临时凭证
• [ ] IAM 策略按 action + 资源最小化，没有 * 通配
• [ ] 安全组入站默认拒绝，SSH 限制来源 IP
• [ ] 数据库端口未对公网开放
• [ ] OBS 桶公开读仅限必要站点，未开放写权限
• [ ] 全站 HTTPS，证书有效
• [ ] 日志与告警已开启
• [ ] 按量资源有清理机制

总结

云上安全的三个支点很朴素：凭证分级让密钥泄露的代价可控，最小权限让单点失守不至于全线崩溃，网络收敛把攻击面压到最小。这三条做到位，已经能挡掉绝大多数低级风险。

安全不是给大厂准备的奢侈品，个人项目同样适用。配置一次、形成习惯，比事后补救便宜得多。

（本文为原创技术分享，基于云上部署的安全实践整理。）