首次登录是建立管理边界的窗口。核心目标不是一次性套用一份“加固清单”，而是让身份、远程入口、软件更新和网络暴露都能被解释、复核和回退。保留当前管理会话，并确保有控制台或其他已验证的恢复通道，再进行会影响登录的调整。
使用 id 查看当前身份，结合 getent passwd 盘点本地账号及其登录 shell。逐一判断账号是否仍由人员或自动化流程使用；服务账号通常不应拥有交互式 shell。管理员宜使用具名账号和密钥，避免多人共享同一个高权限身份，这样审计记录才能对应到实际操作者。
检查 SSH 服务端配置及其包含文件，特别留意认证方式、允许用户规则、监听地址和配置覆盖关系。修改前保存原配置，并运行 sshd -t 检查语法。若要收紧口令登录，先在独立终端用目标账号和密钥成功建立新会话，再改策略并再次验证。语法通过不代表认证链路一定可用，账号权限、授权文件属主和客户端密钥选择仍会影响登录。
通过系统包管理器查看并应用适用于当前发行版的安全更新，记录是否需要重启以及服务是否受影响。不要把升级过程等同于基线完成：还需要确认更新源可信、失败包可识别，并在维护窗口检查应用健康。
用 ss -lntup 盘点 TCP/UDP 监听端口，按“端口—进程—用途—访问来源”建立清单。只关闭经过确认的无用服务，避免误停依赖。主机防火墙控制实例内部流量，云侧访问规则控制外部到实例的通路；两层规则都要按最小来源范围验证，不能只检查其中一处。
为配置变更记录变更前状态、操作者、时间和验证结果。检查授权密钥文件的属主和权限，避免其他本地用户可修改管理入口；私钥留在可信客户端，不应复制到服务器。同步核对系统时间、磁盘余量和认证日志，确保之后的事件记录有可用时间线。
改 SSH 端口只会改变入口位置，不会替代身份控制；禁用口令前未验证密钥，可能把管理员锁在外面；仅看云侧规则会漏掉主机防火墙状态。验收时应证明：授权账号可建立新会话且权限符合职责，未授权账号或来源无法使用管理入口，监听清单与业务需求一致，更新后的关键服务正常。保存这组结果，后续安全变更便有明确对照。
