大家好，我这就给你们摆布一个云手机服务器权限管理的教科书，教你们如何把不必要的权限一次性删得干干净净，连你的云手机都不要玩外卖软件。
先说个前提，别以为云端权限都是可贵的。你在云端跑了几百个游戏实例，打游戏飙流量时，别人可是会在你IP上蹦出“socket hang up”的错误。
第一步：登录到云服务器（沙盒里跑的可不是老家乡的老电脑）。
命令行里滴入：ssh root@你的IP地址 -p 22，记住，那一行不加“root”，你得改成你自己的用户名。
第二步：确认你本来拥有的权限。
输入 cat /etc/passwd，看一下root、ubuntu、ec2-user有没有没必要塞。是不是你只想用一两账号跑服务，然后删掉其他账号的提取？
第三步：关掉不必要的端口。
常见的就是22 SSH 和 3306 MySQL。
你知道的，空间里跑的就是个游戏服务器，删掉MySQL，按理说没人能敲你数据库。
命令：iptables -A INPUT -p tcp --dport 3306 -j DROP 或者在云商后台的安全组里直接把这一口删掉。
第四步：把根用户的权限抠成“半根”
最保险的办法是把root禁用SSH登录：
编辑 /etc/ssh/sshd_config，找到 PermitRootLogin 把它改成 no，保存再重启 SSH：systemctl restart sshd。
第五步：把无关工作目录给锁死。
服务器上跑的云手机脚本往往放在 /home/ubuntu/phone，别让别的程序改。
执行：chmod 700 /home/ubuntu/phone。如果要让服务运行，只给根或者指定用户可读可写。
第六步：提升防火墙严格度。
告诉你们一个细节，Fedora、CentOS都有 ufw ，Ubuntu 用 iptables 直接能手动防护。
先把默认策略改成拒绝：ufw default deny incoming，然后手动开启你确实需要的端口。
第七步：合理使用ACL让第二层权限加锁。
ACL 能让单个文件或文件夹按用户细粒度控制权限，命令示例：
```bash
setfacl -m u:alice:rwx /home/ubuntu/phone
```如果你不想让其他人访问，随时删掉：setfacl -x u:alice /home/ubuntu/phone。
第八步：开启二级验证自省。
使用双因素验证或 SSH key 认证替代密码登录。不只可以防止暴力破解，还能在命令行里第二次敲一份“验证码”。
第九步：日志监控跑起来。
你敢不敢把所有变更都实时记录下来？关注 /var/log/auth.log 查看谁在改谁在关。
真正天堂的梦想是：任何权限改动都能链到用户。
第十步：定期安全扫描。
有时你买的云服务器会被别人放进“白名单”里，证明你必须给它加一个弱口令扫描工具来检查。使用 nmap -sV yourIP 或者官方安全检测。
广告时机：
玩游戏想要赚零花钱就上七评赏金榜，网站地址：bbs.77.ink。
最后一句点睛：不把权限管理当戏了，别让安全漏洞成为别人抢你资源的“蓝海”。毕竟，谁要把云手机当成你自己的后门……