阿里云服务器访问与云服务授权教程

1. 准备工作#

需要准备：

• 服务器公网 IP 和 SSH 端口。
• 云平台控制台的远程终端访问权限。
• 服务器登录账户及对应的管理权限。
• Windows PowerShell 和 OpenSSH 客户端。
• 管理 ECS 实例 RAM 角色及 RDS 白名单的控制台权限。

涉及云服务授权时，提前在自己的控制台中核对以下信息：

地域应按实际实例选择。通过 RDS 内网地址连接时，需要确认 ECS 与 RDS 的 VPC 网络能够互通。

在电脑的 PowerShell 中检查 SSH 客户端：

1
ssh -V

本文以 root 账户、SSH 默认端口 22 为示例。使用其他账户时，公钥应保存在该账户自己的主目录中，并确保目录和文件归该账户所有。

云平台安全组需要允许你的电脑访问服务器的 SSH 端口。可以将来源限制为当前网络的公网 IP；网络地址变化后，需要更新相应规则。

2. 在电脑上生成密钥#

以下命令在电脑的 PowerShell 中执行。

检查示例密钥文件是否已经存在：

1
Test-Path "$env:USERPROFILE\.ssh\cloud_server_ed25519"
2
Test-Path "$env:USERPROFILE\.ssh\cloud_server_ed25519.pub"

如果已有密钥，请确认它是否为计划使用的密钥，保留原文件。需要新建另一把密钥时，使用不同文件名，并在后续命令中使用相同名称。

确认两个文件均不存在后，生成密钥：

1
ssh-keygen -t ed25519 -f "$env:USERPROFILE\.ssh\cloud_server_ed25519" -C "cloud-server-access"

按照提示设置密钥密码。输入密码时，终端不会显示字符，输入完成后按回车。

生成的文件分别是：

查看公钥：

1
Get-Content "$env:USERPROFILE\.ssh\cloud_server_ed25519.pub"

复制以 ssh-ed25519 开头的完整一行，包括密钥数据。不要复制 PowerShell 提示符或命令本身。

3. 将公钥添加到服务器#

通过云平台控制台打开服务器远程终端。以下命令均在服务器上执行。

查看当前账户：

1
whoami

本文使用 root 登录。如果当前账户具有 sudo 权限，执行：

1
sudo -i

如果提示没有权限，应通过云平台提供的管理入口使用有权限的账户操作。

确认当前账户为 root 后，逐条执行：

1
mkdir -p /root/.ssh
2
chmod 700 /root/.ssh
3
cat >> /root/.ssh/authorized_keys

最后一条命令执行后，终端会等待输入：

1. 按一次回车，确保新增公钥从新的一行开始。
2. 粘贴电脑生成的完整公钥。
3. 按回车，再按 Ctrl+D 结束输入。

>> 会追加内容并保留已有公钥。不要改成 >，否则会覆盖文件内容。

设置权限并检查公钥：

1
chmod 600 /root/.ssh/authorized_keys
2
ssh-keygen -lf /root/.ssh/authorized_keys

在电脑的 PowerShell 中查看本机公钥指纹：

1
ssh-keygen -lf "$env:USERPROFILE\.ssh\cloud_server_ed25519.pub"

服务器输出应包含与本机完全一致的 SHA256: 指纹。公钥末尾的备注用于识别密钥，备注乱码通常不影响认证。

添加 authorized_keys 公钥后，无需重启 SSH 服务。

4. 从电脑连接服务器#

在电脑的 PowerShell 中，将占位内容替换为自己的服务器地址：

1
$serverAddress = "替换为服务器公网IP"
2
ssh -i "$env:USERPROFILE\.ssh\cloud_server_ed25519" "root@$serverAddress"

首次连接时，SSH 会提示确认服务器主机指纹。通过云平台控制台的服务器终端执行以下命令，查看 ED25519 主机指纹：

1
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub

当客户端提示的主机密钥类型为 ED25519 时，比较两处指纹；一致后，在电脑终端输入 yes。其他类型应核对服务器上对应类型的主机公钥文件。

服务器主机指纹用于确认服务器身份，与前面用于登录的用户公钥指纹用途不同。

如果提示输入密钥密码，在电脑终端输入生成密钥时设置的密码。

成功登录后，可以执行以下只读命令：

1
whoami
2
hostname
3
nproc
4
free -h
5
df -h

这些命令依次查看登录账户、主机名称、可用处理器数量、内存和文件系统空间。

退出连接：

1
exit

如果服务器使用自定义 SSH 端口，在连接命令中添加 -p 和对应端口号。

5. 使用 ssh-agent 加载密钥#

直接执行 SSH 命令并输入密钥密码即可登录。需要让支持本机 OpenSSH Agent 的工具自动认证时，可以使用 ssh-agent。

在 Windows 开始菜单搜索 PowerShell，右键选择 以管理员身份运行，在新窗口中逐条执行：

1
Set-Service -Name ssh-agent -StartupType Manual
2
Start-Service ssh-agent

回到平时使用的 PowerShell 窗口，执行：

1
ssh-add "$env:USERPROFILE\.ssh\cloud_server_ed25519"

输入密钥密码。出现 Identity added 表示加载成功。

检查已加载的密钥：

1
ssh-add -l

电脑重启后，如果自动认证不可用，可以检查服务和密钥状态：

1
Get-Service ssh-agent
2
ssh-add -l

如果服务未运行，以管理员身份执行 Start-Service ssh-agent；如果目标密钥未加载，在平时使用的 PowerShell 中再次执行 ssh-add。

6. 日常访问#

打开电脑的 PowerShell，执行：

1
$serverAddress = "替换为服务器公网IP"
2
ssh -i "$env:USERPROFILE\.ssh\cloud_server_ed25519" "root@$serverAddress"

根据提示输入密钥密码，完成操作后执行 exit。

SSH 提供服务器终端访问。浏览器访问网站还需要服务器已经部署网站服务，并配置对应端口、域名和访问规则。

7. 为 ECS 绑定现有 OSS 访问角色#

8. 允许新服务器访问现有 RDS PostgreSQL#

1
nc -vz -w 5 "替换为RDS内网连接地址" 5432

9. 常见问题#

1
stat -c '%U:%G %a %n' /root /root/.ssh /root/.ssh/authorized_keys

1
/usr/sbin/sshd -T | grep -E '^(permitrootlogin|pubkeyauthentication|authorizedkeysfile) '

1
journalctl -u ssh -u sshd --since '5 minutes ago' --no-pager

1
$serverAddress = "替换为服务器公网IP"
2
ssh -v -i "$env:USERPROFILE\.ssh\cloud_server_ed25519" "root@$serverAddress"

10. 分享教程和日志前隐藏信息#

• 将真实公网 IP、内网 IP、域名、实例名称和个人账户名称替换为占位符。
• 隐藏实际 RAM 角色名称、RDS 连接地址、Bucket 名称、VPC ID 和安全组 ID。
• 将包含个人用户名的路径改为 $env:USERPROFILE 或通用路径。
• 隐藏实际公钥内容、密钥指纹和服务器主机指纹，避免关联到具体设备。
• 不分享私钥文件、密钥密码、服务器密码、访问令牌或云平台凭据。
• SSH 调试日志可能包含地址、账户名称、文件路径和指纹，分享前检查全文。
• 控制台截图和云服务日志同样需要隐藏上述信息，完成授权后只反馈操作结果即可。