1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

# 1. 登录阿里云控制台
# https://www.aliyun.com

# 2. 选择地域和可用区
# 地域：华北2（北京）、华东1（杭州）、华南1（深圳）等

# 3. 选择实例规格
# 入门：ecs.e-c1m2.large（2核4G，新一代通用型，命名规则是 c=CPU, m=内存倍数）
# 进阶：ecs.c7.large（2核4G，计算型）
# 高性能：ecs.g7.xlarge（4核16G，通用型）
# 说明：ecs.t5 是早期的突发性能实例（CPU 有积分限制，积分耗尽会被限速），
# 适合个人测试，不建议用在正式业务上

# 4. 选择操作系统
# 公共镜像：Alibaba Cloud Linux、Ubuntu、Windows Server 等
# ⚠️ 注意：CentOS 7 已于 2024 年 6 月停止维护，CentOS 8 更早已停止；
#    新购实例请选择 **Alibaba Cloud Linux 3**（兼容 RHEL/CentOS 生态，官方长期维护）
#    或 Ubuntu LTS，不要再用 CentOS 图标建新机器
# 自定义镜像：从快照创建

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40

# Linux 实例 - 使用 SSH
ssh root@你的公网IP

# 登录用户名取决于所选镜像：阿里云自有的 Alibaba Cloud Linux / CentOS 类镜像默认是 root；
# 部分第三方镜像（如某些 Ubuntu/Debian 镜像）默认用户可能是 ubuntu 等，请看镜像说明

# 首次连接会要求输入密码（在控制台"重置实例密码"并重启后生效）
# 如果使用密钥对（更推荐，安全性高于密码）
chmod 600 ~/.ssh/your_key.pem        # 私钥权限过宽时 SSH 会直接拒绝使用
ssh -i ~/.ssh/your_key.pem root@你的公网IP

# Windows 实例 - 使用远程桌面（RDP）
# 在本地 Windows 上运行 mstsc，地址填 公网IP:3389，用户名 Administrator，
# 密码在控制台"重置实例密码"时设置（注意 IP 后要带 :3389）
# 如果用 macOS/Linux，可用 Remmina 或 Microsoft Remote Desktop 客户端连接
# 只有手动在 Windows 里装了 OpenSSH 服务之后，才谈得上用 ssh 连接

# 【安全提醒】不要在公网直接暴露 3389 和 22
# 更稳妥的做法是：安全组只放行你自己的办公 IP，或先连 VPN / 用堡垒机（跳板机）再访问

# 使用阿里云 CLI 管理实例
# 安装阿里云 CLI
# 注意：下载地址可能更新，建议访问官方文档获取最新地址：https://help.aliyun.com/document_detail/121541.html
curl -sL https://aliyuncli.alibaba.com/download/aliyun-cli-linux-latest-amd64.tgz | tar -xz -C /usr/local/bin/

# 或者使用官方推荐方式（更稳定）
# curl -fsSL https://raw.githubusercontent.com/aliyun/aliyun-cli/master/install.sh | bash

# 配置凭证（交互式）
aliyun configure
# 会提示输入 AccessKey ID、AccessKey Secret、region 等信息

# 或者直接指定
aliyun configure set \
    --access-key-id 你的AccessKeyID \
    --access-key-secret 你的AccessKeySecret \
    --region cn-hangzhou

# 查看实例
aliyun ecs DescribeInstances

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

# 手动创建快照（注意：快照是按容量计费的，用久了记得清理）
aliyun ecs CreateSnapshot --DiskId d-xxxxxxxxx --SnapshotName "manual-backup"

# 查看快照
aliyun ecs DescribeSnapshots --RegionId cn-hangzhou

# 更推荐：创建"自动快照策略"，绑定到云盘，每天定时备份并自动滚动删除
aliyun ecs CreateAutoSnapshotPolicy \
    --regionId cn-hangzhou \
    --autoSnapshotPolicyName daily-backup \
    --repeatWeekdays '["1","2","3","4","5","6","7"]' \
    --timePoints '["3"]' \
    --retentionDays 7

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

# 启动实例
aliyun ecs StartInstance --InstanceId i-xxxxxxxxx

# 停止实例
aliyun ecs StopInstance --InstanceId i-xxxxxxxxx

# 重启实例
aliyun ecs RebootInstance --InstanceId i-xxxxxxxxx

# 更换操作系统
aliyun ecs ReplaceSystemDisk --InstanceId i-xxxxxxxxx --ImageId ubuntu_22_04

# 调整实例规格
aliyun ecs ModifyInstanceSpec --InstanceId i-xxxxxxxxx --InstanceType ecs.c5.xlarge

# 创建快照
aliyun ecs CreateSnapshot --DiskId d-xxxxxxxxx --SnapshotName "backup-$(date +%Y%m%d)"

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# 1. 创建 VPC
aliyun vpc CreateVpc --CidrBlock 10.0.0.0/8 --VpcName my-vpc

# 2. 创建交换机（子网）
aliyun vpc CreateVSwitch --VpcId vpc-xxxxxxxxx --CidrBlock 10.0.1.0/24 --ZoneId cn-hangzhou-f --VSwitchName my-subnet

# 3. 创建路由表并添加路由
aliyun vpc CreateRouteTable --VpcId vpc-xxxxxxxxx --RouteTableName my-route-table

# 4. 添加路由条目
aliyun vpc CreateRouteEntry --RouteTableId vtb-xxxxxxxxx --DestinationCidrBlock 0.0.0.0/0 --NextHopType Internet

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

# 常用 VPC 网段规划
# 小型项目：10.0.0.0/16
# 中型项目：172.16.0.0/12
# 大型项目：192.168.0.0/16

# 子网规划示例
VPC: 10.0.0.0/8

# Web 层
子网: 10.0.1.0/24  (可用区A)
子网: 10.0.2.0/24  (可用区B)

# 应用层
子网: 10.0.11.0/24 (可用区A)
子网: 10.0.12.0/24 (可用区B)

# 数据层
子网: 10.0.21.0/24 (可用区A)
子网: 10.0.22.0/24 (可用区B)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46

# 授权对象格式
# 单个 IP：192.168.1.1/32
# IP 段：10.0.0.0/8
# 安全组：sg-xxxxxxxxx（引用其他安全组）

# 入方向规则示例
# 允许 SSH 访问（Linux）
aliyun ecs AuthorizeSecurityGroup \
    --RegionId cn-hangzhou \
    --SecurityGroupId sg-xxxxxxxxx \
    --IpProtocol tcp \
    --PortRange 22/22 \
    --SourceCidrIp 0.0.0.0/0 \
    --Policy accept

# 允许 RDP 访问（Windows）
aliyun ecs AuthorizeSecurityGroup \
    --RegionId cn-hangzhou \
    --SecurityGroupId sg-xxxxxxxxx \
    --IpProtocol tcp \
    --PortRange 3389/3389 \
    --SourceCidrIp 0.0.0.0/0

# 允许 HTTP/HTTPS
aliyun ecs AuthorizeSecurityGroup \
    --RegionId cn-hangzhou \
    --SecurityGroupId sg-xxxxxxxxx \
    --IpProtocol tcp \
    --PortRange 80/80 \
    --SourceCidrIp 0.0.0.0/0

# 443 要单独再授权一条（PortRange 一次只写一个范围）
aliyun ecs AuthorizeSecurityGroup \
    --RegionId cn-hangzhou \
    --SecurityGroupId sg-xxxxxxxxx \
    --IpProtocol tcp \
    --PortRange 443/443 \
    --SourceCidrIp 0.0.0.0/0

# 允许 MySQL 远程访问（限制 IP）
aliyun ecs AuthorizeSecurityGroup \
    --RegionId cn-hangzhou \
    --SecurityGroupId sg-xxxxxxxxx \
    --IpProtocol tcp \
    --PortRange 3306/3306 \
    --SourceCidrIp 10.0.1.0/24

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

# 允许所有出站
aliyun ecs AuthorizeSecurityGroup \
    --RegionId cn-hangzhou \
    --SecurityGroupId sg-xxxxxxxxx \
    --IpProtocol all \
    --PortRange -1/-1 \
    --DestCidrIp 0.0.0.0/0

# 限制出站只能访问内网的 443（一次只写一个端口范围，多个端口要拆成多条规则）
aliyun ecs AuthorizeSecurityGroup \
    --RegionId cn-hangzhou \
    --SecurityGroupId sg-xxxxxxxxx \
    --IpProtocol tcp \
    --PortRange 443/443 \
    --DestCidrIp 10.0.0.0/8

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

# 1. 最小权限原则
# ✓ 只开放需要的端口
# ✗ 0.0.0.0/0 开放所有端口

# 2. 分类管理
# 安全组1：Web 服务器（80, 443）
# 安全组2：数据库服务器（3306，仅允许应用服务器访问）
# 安全组3：Redis 服务器（6379，仅允许应用服务器访问）

# 3. 使用标签管理
aliyun ecs AddTags --ResourceType securitygroup \
    --ResourceId sg-xxxxxxxxx \
    --Tag.1.Key Env --Tag.1.Value Production

# 4. 定期审计
# 查看安全组规则
aliyun ecs DescribeSecurityGroupAttribute --SecurityGroupId sg-xxxxxxxxx --RegionId cn-hangzhou

# 查看有哪些安全组
aliyun ecs DescribeSecurityGroups --RegionId cn-hangzhou

# 找出"对全网开放 22/3389/3306"这类高风险规则（建议定期跑一遍）
aliyun ecs DescribeSecurityGroupAttribute --SecurityGroupId sg-xxxxxxxxx \
    --RegionId cn-hangzhou | grep -E '0\.0\.0\.0/0|22/22|3389/3389|3306/3306'

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

# 1. 创建 Bucket（存储桶）
aliyun oss mb oss://my-bucket-name --region cn-hangzhou

# 2. 上传文件
aliyun oss cp /path/to/file.txt oss://my-bucket-name/

# 3. 下载文件
aliyun oss cp oss://my-bucket-name/file.txt /path/to/

# 4. 列出文件
aliyun oss ls oss://my-bucket-name/

# 5. 删除文件
aliyun oss rm oss://my-bucket-name/file.txt

# 6. 设置存储类型
# 标准存储（频繁访问）
# 低频访问存储（30天访问一次）
# 归档存储（90天访问一次，便宜）
aliyun oss set-class oss://my-bucket-name/file.txt --class IA

# 7. 设置生命周期
aliyun oss lifecycle set oss://my-bucket-name \
    --expiry-days 30 \
    --file-suffix .log

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

# 安装 Python SDK
pip install oss2

# Python 上传示例
cat > upload.py << 'EOF'
import oss2

# 初始化
auth = oss2.Auth('你的AccessKeyId', '你的AccessKeySecret')
bucket = oss2.Bucket(auth, 'oss-cn-hangzhou.aliyuncs.com', 'my-bucket')

# 上传文件
bucket.put_object('hello.txt', 'Hello OSS!')

# 上传图片
with open('image.jpg', 'rb') as f:
    bucket.put_object('images/image.jpg', f)

# 生成下载链接（带签名，临时访问）
url = bucket.sign_url('hello.txt', expires=3600)
print(f"下载链接：{url}")

# 下载文件
bucket.get_object_to_file('hello.txt', 'downloaded.txt')
EOF

python3 upload.py

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26

# 1. 设置 Bucket 访问权限
# private：私有（需要签名）
# public-read：公共读
# public-read-write：公共读写
aliyun oss set-acl oss://my-bucket --acl public-read

# 2. RAM 授权（细粒度控制）
# 创建 RAM 用户 → 授予 OSS 权限 → 使用 RAM 凭证访问

# 3. Bucket Policy（JSON 策略）
aliyun oss policy oss://my-bucket << 'EOF'
{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["oss:GetObject"],
      "Resource": ["acs:oss:*:*:my-bucket/*"],
      "Condition": {
        "IpAddress": {
          "acs:SourceIp": ["10.0.0.0/8"]
        }
      }
    }
  ]
}
EOF

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31

# 1. 添加加速域名
aliyun cdn AddCdnDomain \
    --DomainName cdn.example.com \
    --SourceType oss \
    --SourceDomain my-bucket.oss-cn-hangzhou.aliyuncs.com \
    --CdnType web

# 2. 【关键一步，很多教程会漏】添加域名后，阿里云会分配一个 CDN 域名，
#    你需要到 DNS 服务商那里把 cdn.example.com 用 CNAME 指向它，加速才会真正生效
#    例如： cdn.example.com  CNAME  cdn.example.com.w.kunlunsl.com
#    验证是否生效：dig cdn.example.com +short   # 返回的应该是 CDN 节点的 IP
#    另外需要在 CDN 控制台完成"域名归属权验证"（一般加一条 TXT 记录）

# 3. 配置缓存规则
aliyun cdn SetCacheConfig \
    --DomainName cdn.example.com \
    --CacheType 0 \
    --CacheContent /static/*.js,/static/*.css \
    --TTL 3600

# 4. 上传证书（用于 HTTPS 加速）
aliyun cdn SetDomainServerCertificate \
    --DomainName cdn.example.com \
    --ServerCertificate your-certificate \
    --PrivateKey your-private-key \
    --CertType upload

# 5. 刷新缓存（改了静态文件之后要手动刷新，用户才能马上看到新版本）
aliyun cdn PushObjectCache \
    --ObjectPath cdn.example.com/static/* \
    --ObjectType File

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

# 1. 开启压缩（Gzip/Brotli）与 HTTPS 强制跳转等边缘功能
#    注意：SetReqHeaderConfig 只是"改写回源请求头"，并不能开启压缩，
#    功能开关要用 BatchSetCdnDomainConfig 的 Functions 参数来配
aliyun cdn BatchSetCdnDomainConfig \
    --DomainNames '["cdn.example.com"]' \
    --Functions '[{"functionName":"gzip","functionArgs":[{"argName":"enable","argValue":"on"}]}]'

# 强制 HTTPS 跳转
aliyun cdn BatchSetCdnDomainConfig \
    --DomainNames '["cdn.example.com"]' \
    --Functions '[{"functionName":"https_force","functionArgs":[{"argName":"enable","argValue":"on"}]}]'

# 2. 配置防盗链（Referer 白名单）
aliyun cdn SetRefererConfig \
    --DomainName cdn.example.com \
    --RefererType blacklist \
    --Referers "https://example.com,https://www.example.com"

# 3. 设置 IP 黑名单
aliyun cdn SetIpBlackListConfig \
    --DomainName cdn.example.com \
    --IpList "1.2.3.4,5.6.7.8"

# 4. 配置访问日志分析
aliyun cdn DescribeCdnDomainLogs \
    --DomainName cdn.example.com \
    --LogDay 2024-01-15

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

# 1. 安装 kubectl
curl -LO "https://dl.k8s.io/release/$(curl -L -s https://dl.k8s.io/release/stable.txt)/bin/linux/amd64/kubectl"
chmod +x kubectl
sudo mv kubectl /usr/local/bin/

# 2. 获取集群凭证（写入 kubectl 的配置文件）
# 推荐直接下载 kubeconfig；注意其中的 server 地址可能是集群内网地址，
# 从公网使用需要在 ACK 控制台开启"公网访问"，或改用公网端点
aliyun cs GET /k8s/集群ID/user_config > ~/.kube/config

# 也可以直接查看返回内容，确认 server 地址是否可达
aliyun cs DescribeClusterUserKubeconfig --ClusterId 集群ID

# 3. 验证连接
kubectl get nodes

# 4. 部署应用
kubectl create deployment web --image=nginx:latest --replicas=3

# 5. 暴露服务
kubectl expose deployment web --port=80 --type=LoadBalancer

# 6. 查看服务
kubectl get svc

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26

# 创建集群
aliyun cs POST /clusters \
    --region cn-hangzhou \
    --name my-cluster \
    --vpcid vpc-xxxxxxxxx \
    --vswitchid vsw-xxxxxxxxx

> **提醒**：ACK 集群的创建参数非常多（集群规格、节点池、网络插件、运行时、
> 可观测组件、是否使用托管节点池……），用命令行手拼容易漏项。
> 实际使用中更推荐：**第一次用控制台向导创建**，看清每一项的含义；
> 需要重复创建时改用 **Terraform 的 alicloud provider**（见第 68 章 IaC），
> 而不是照着文档逐条敲 REST 接口。

# 扩容节点池
aliyun cs POST /clusters/集群ID/scalinggroups \
    --count 5

# 查看集群信息
aliyun cs GET /clusters/集群ID

# 升级集群
aliyun cs POST /clusters/集群ID/upgrade \
    --component kubernetes

# 删除集群
aliyun cs DELETE /clusters/集群ID

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

# Terway（阿里自研，高性能）
# 特点：Pod 直接使用 VPC 内的 IP（ENI 模式），不需要叠加网络，性能与可观测性更好
# 两种工作模式：
# - ENI 独占模式：每个 Pod 独占一个弹性网卡，IP 数量受实例规格限制
# - ENI 中继（Trunk）模式：多个 Pod 共享一个 Trunk ENI，用 IPVLAN 在其上再分 IP，
#   能支撑的 Pod 数量大幅提升（这也是 Terway 的默认推荐模式）

# Flannel
# 特点：基于 VXLAN 的叠加网络，配置简单，但多一层封装、性能略低，
#       Pod IP 与 VPC IP 分离，排查链路更长
# ⚠️ 重要变化：ACK 新集群已不再支持 Flannel，官方统一推荐 Terway
#    只在阅读早期文档或迁移老集群时才会遇到 Flannel

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26

# 安装 CSI 组件
aliyun cs POST /clusters/集群ID/components \
    --name csi-plugin \
    --version latest

# 创建 PV（使用 CSI 驱动的现代写法）
# 说明：早期 ACK 用 flexVolume（alicloud/disk），该方案已被废弃，
# 现在统一使用 CSI 插件（disk.csi.alibabacloud.com）
cat > pv.yaml << 'EOF'
apiVersion: v1
kind: PersistentVolume
metadata:
  name: my-pv
spec:
  capacity:
    storage: 20Gi
  accessModes:
    - ReadWriteOnce
  storageClassName: alicloud-disk-essd
  csi:
    driver: disk.csi.alibabacloud.com
    volumeHandle: d-xxxxxxxxx
    fsType: ext4
EOF

kubectl apply -f pv.yaml