生产环境启用公有云虚拟机前，初始化清单该关注什么？

公有云虚拟机创建完成，不等于已经具备生产条件。真正上线前，还要确认操作系统、账号、网络、存储和监控是否形成闭环。下面这份公有云虚拟机初始化清单，适用于 AWS EC2、腾讯云云服务器等常见场景，也适合由脚本或运维工单逐项执行。

一、先固定系统与镜像基线

不要直接把刚创建的实例交给业务使用。先记录实例名称、区域、可用区、实例规格、镜像版本、私网地址和公网地址，并把这些信息纳入资产台账。镜像应来自云平台官方渠道或企业内部经过审核的镜像仓库，避免使用来源不明的自制镜像。

建议按以下顺序处理

1. 确认系统版本仍处于维护周期，删除无关示例账号、软件包和默认服务。
2. 执行系统更新，但先在测试实例验证内核、驱动和应用兼容性。
3. 设置主机名、时区和 DNS，主机名应能对应业务、环境和实例用途。
4. 安装必要的安全补丁、云平台代理或配置管理工具，并记录安装版本。
5. 生成一份初始化后的基线记录，后续扩容、替换实例时保持一致。

二、把身份权限和管理入口收紧

公有云虚拟机初始化清单中，权限检查通常比安装软件更重要。云控制台账号、实例登录账号和业务账号应分开管理，日常操作优先使用个人身份，不要多人共用一个管理员账号。

在云平台侧使用 IAM 权限，将创建实例、修改网络、读取日志、执行远程命令等权限拆分给不同角色。管理入口应优先通过堡垒机、专用 VPN 或云平台的远程管理服务访问；必须开放 SSH 或远程桌面时，只允许明确的办公出口、堡垒机网段或临时授权地址，并启用密钥、MFA 和操作审计。

三、核对网络安全组，而不是只看端口表

安全组规则要同时检查入站和出站。入站仅保留业务确实需要的端口，例如 Web 服务通常使用 443，数据库端口则只面向应用所在子网开放。不要为了排查方便长期设置“任意来源、任意端口”。

出站规则也应结合实际需求判断。若实例需要访问软件仓库、对象存储或第三方接口，应明确目标域名、地址范围和代理路径。上线前从管理网络和业务网络分别测试连通性，并核对应用端口、负载均衡健康检查端口与安全组规则是否一致。

四、检查磁盘、时间和运行参数

磁盘初始化不能只看总容量。确认系统盘与数据盘的挂载点、文件系统、开机自动挂载配置和目录权限；数据库、上传文件、临时文件和日志最好按用途规划，避免某类数据增长拖垮整个系统。

时间同步应使用 chrony 或系统支持的等效服务，并确认时区设置符合日志分析和业务审计要求。时间偏差会影响证书校验、令牌有效期、分布式任务和故障排查。还应检查文件描述符、进程数、连接数等参数，只有在应用有明确需求并完成压测后再调整。

五、让监控、日志和备份上线前可用

云监控至少覆盖实例存活、CPU、内存、磁盘空间、磁盘读写、网络流量和关键进程。阈值不能机械套用：通用 Web 实例可先以持续高负载、磁盘空间接近预设下限、健康检查失败作为告警信号，再根据业务峰值调整。

日志要明确来源、保留周期、轮转方式和访问权限。安全审计日志、系统日志、应用日志和反向代理日志应区分管理；同时验证日志中是否能看到登录成功、登录失败、权限变更和服务重启等关键事件。

备份策略要写清对象、频率、保留时间和恢复责任人。云盘快照适合快速回滚，应用级备份更适合数据库和业务数据，两者不能互相替代。公有云虚拟机初始化清单的最后一项，不应只是“已开启备份”，而应执行一次抽样恢复，确认备份确实可读。

六、上线前用验收记录收口

1. 从授权管理入口登录，确认没有依赖个人临时账号。
2. 验证业务域名、健康检查、核心接口和必要的出站访问。
3. 模拟一次普通用户无权限操作，确认系统拒绝并留下审计记录。
4. 检查监控告警是否能送达值班人员，并记录响应方式。
5. 保存实例配置、软件版本、端口清单、备份位置和回滚步骤。

如果其中一项只能由某位工程师口头说明，说明初始化还没有完成。公有云虚拟机初始化清单的价值，是把“这台机器能运行”提升为“这台机器能够被安全管理、持续观测并在故障后恢复”。

常见问题

是否必须给生产实例绑定公网地址？

不必须。多数内部服务可使用私网地址，通过负载均衡、VPN、堡垒机或专线提供访问，公网地址越少，暴露面通常越小。

安全组已经限制来源，还需要主机防火墙吗？

建议保留。安全组属于云平台边界控制，主机防火墙可以提供实例内的第二层限制，二者应避免规则互相矛盾。

备份开启后就能直接上线吗？

不能。应确认备份范围、保留周期和恢复权限，并至少进行一次不影响生产的恢复验证。

初始化后是否要立即制作镜像？

可以，但应先清理临时密钥、历史日志和机器特有信息，并确认镜像内容符合企业安全基线，再用于创建同类实例。