CentOS云服务器初始化指南：从权限到日志的安全搭建

初次接触CentOS云服务器时，初始化配置是搭建安全稳定环境的第一步。从用户权限管理到日志系统优化，每个环节都影响着后续运维的效率与风险。本文结合实际操作经验，梳理从基础到进阶的初始化最佳实践，帮你快速搭建可靠的云服务器环境。

用户权限：从禁用root开始的安全防护

很多新手运维习惯用root账户直接操作，但数据显示，超60%的服务器误操作事故源于root权限的滥用——一个手滑的`rm -rf`命令可能直接导致系统崩溃。正确做法是：创建普通用户并限制root远程登录。

具体操作分两步：首先用root账户创建新用户。执行命令：

adduser admin  # 创建名为admin的普通用户
passwd admin   # 为admin设置密码（输入时无显示，确认后回车）

接着为新用户赋予临时提权能力。CentOS中sudo组（对应wheel组）成员可通过`sudo`命令执行特权操作，输入以下命令将admin加入wheel组：

usermod -aG wheel admin

完成后建议退出root账户，用admin重新登录。若需彻底禁用root远程登录，可编辑`/etc/ssh/sshd_config`文件，将`PermitRootLogin`的值改为`no`，保存后重启sshd服务：

systemctl restart sshd

防火墙与SELinux：双重安全锁

防火墙是云服务器的第一道防线。CentOS默认使用firewalld作为防火墙管理工具，新手常忽略的是：防火墙不仅要开，更要按需放行端口。

检查防火墙状态：

systemctl status firewalld  # 显示active(running)表示已启动

若未启动，执行`systemctl start firewalld`启动，并通过`systemctl enable firewalld`设置开机自启。

假设云服务器需提供Web服务（80/443端口）和SSH管理（22端口），需放行这些端口：

firewall-cmd --permanent --add-service=ssh  # 放行SSH
firewall-cmd --permanent --add-port=80/tcp  # 放行HTTP
firewall-cmd --permanent --add-port=443/tcp # 放行HTTPS
firewall-cmd --reload                        # 重新加载规则生效

仅靠防火墙还不够，SELinux（Security-Enhanced Linux）的强制访问控制能进一步限制恶意程序的权限。建议将SELinux设为强制模式（enforcing），编辑`/etc/selinux/config`文件：

vi /etc/selinux/config

找到`SELINUX=enforcing`行（若为disabled需改为enforcing），保存后重启服务器生效。SELinux就像给系统加了“权限检察官”，即使某个进程被攻击，也能限制其越界操作。

日志系统：运维排查的“黑匣子”

日志是定位故障的关键，但很多人常忽略日志配置——要么日志太分散查不到，要么日志太大占满磁盘。CentOS使用rsyslog服务集中管理日志，通过简单配置就能让日志更“听话”。

比如要将自定义应用myapp的日志单独存储，编辑`/etc/rsyslog.conf`文件：

vi /etc/rsyslog.conf

在文件末尾添加：

local0.* /var/log/myapp.log  # local0为自定义设施，*表示所有日志级别

保存后重启rsyslog服务：

systemctl restart rsyslog

日志存久了会越堆越大，这时候需要日志轮转工具logrotate。在`/etc/logrotate.d`目录下新建myapp配置文件：

vi /etc/logrotate.d/myapp

输入以下规则：

/var/log/myapp.log {
    daily          # 每天轮转一次
    rotate 7       # 保留最近7天的日志
    compress       # 压缩旧日志
    missingok      # 日志文件不存在时不报错
    notifempty     # 空日志不轮转
    create 640 root adm  # 轮转后新文件权限为640，属主root，属组adm
}

这样即使myapp运行一年，也不会出现日志撑爆磁盘的情况。

从禁用root到配置日志轮转，这些初始化操作看似琐碎，却是云服务器稳定运行的基石。掌握这些技巧后，你不仅能提升运维效率，更能从源头降低服务器被攻击或故障的风险。