最初の1時間にやるべきこと

マシンはプロビジョニングされた瞬間からインターネットに公開されます。今30分かけてセットアップしておけば、後で侵入の痕跡を追いかける手間が省けます。

1. システムを更新する

apt update && apt upgrade -y
reboot

AlmaLinux と CentOS Stream では dnf upgrade -y を使用します。カーネルが更新された場合は再起動が必要です。

2. SSH キーを追加する

パスワードは一時的なログイン手段です。手元でキーを生成し、「アクセス」タブの「SSH キー」サブセクションで追加してください。リストは完全に置き換えられるため、すべてまとめて送信します。詳細は SSH キー をご覧ください。

キーを保存すると、稼働中のマシンは再起動します。キーは起動時の初期セットアップで適用されるためです。最初の1時間なら影響はありませんが、それ以降はダウンタイムを意味します。だからこそ、キーはリストの2番目にあります。

Windows Server では SSH キーはまったく機能しません。そこではパスワードを使って RDP でログインするため、この手順は飛ばして RDP の保護 を使用してください。

キーによるログインが機能することを確認してから、パスワードを無効化してください。

nano /etc/ssh/sshd_config

PasswordAuthentication no
PermitRootLogin prohibit-password

systemctl restart ssh

新しいウィンドウからキーでログインできることを確認するまで、現在のセッションを閉じないでください。ログインできなくなった場合は、パネルの テキストコンソール が役に立ちます。

3. 一般ユーザーを作成する

常に root で作業するべきではありません。rm の打ち間違い1つでマシンを失います。

adduser artem
usermod -aG sudo artem
mkdir -p /home/artem/.ssh
cp /root/.ssh/authorized_keys /home/artem/.ssh/
chown -R artem:artem /home/artem/.ssh
chmod 700 /home/artem/.ssh
chmod 600 /home/artem/.ssh/authorized_keys

AlmaLinux ではグループ名は sudo ではなく wheel です。

4. ファイアウォールを有効にする

apt install -y ufw
ufw allow OpenSSH
ufw enable
ufw status

必要に応じてポートを開放します。ufw allow 80/tcp、ufw allow 443/tcp。それ以外はすべて閉じたままにしてください。

5. 時刻とマシン名を確認する

timedatectl set-timezone Europe/Moscow
hostnamectl set-hostname my-vds

時刻がずれていると、証明書、ログ、スケジューラーが正常に動作しません。

6. ゲストエージェントが動作していることを確認する

パネルが使用済み容量を表示し、ソフトリブートを実行するために必要です。

systemctl status qemu-guest-agent

サービスが存在しない場合:

apt install -y qemu-guest-agent && systemctl enable --now qemu-guest-agent

7. 独自のバックアップを設定する

マシンの自動バックアップやスナップショットはありません。それはあなたの責任です。初日から習慣にしてください。データベースをダンプし、プロジェクトディレクトリをアーカイブし、同じマシンに置かずにすべて外部へ送信します。

tar czf /root/backup-$(date +%F).tar.gz /var/www /etc/nginx

scp または rsync を使って、自分のマシンにコピーを取得できます。

チェックリスト

• システムを更新した
• SSH キーを追加して確認した
• パスワードログインを無効化した
• sudo 権限を持つユーザーを作成した
• ファイアウォールを有効化し、余分なポートを閉じた
• タイムゾーンとマシン名を設定した
• ゲストエージェントが動作している
• 最初のバックアップを作成し、マシン外に保存した

次は クイックスタート: 15分でウェブサイトを公開 です。