华为云 ECS 创建 + 安全组配置 + SSH 密钥登录 + Docker 部署完整教程

很多开发者第一次上手华为云 ECS，常常卡在几个关键点：外网访问不通、密码登录容易被爆破、Docker 环境部署杂乱。本文从零开始，带你走完一套标准、安全的上线流程，适合个人建站、测试服务、轻量业务部署。

一、购买并创建弹性云服务器 ECS

1. 进入华为云控制台，搜索【弹性云服务器 ECS】，点击购买弹性云服务器。
2. 选择区域：优先选离你业务用户更近的节点，降低访问延迟；
3. 实例规格：个人测试可选通用型小规格，比如 2 核 4G；业务后续负载高了再升配；架构可选 x86（兼容性最好）或鲲鹏；
4. 镜像：推荐选择 Ubuntu 22.04 / Debian 12；
5. 登录方式：选择密钥对登录（强烈推荐，不选密码登录）。
   • 如果没有密钥对，新建密钥对，把.pem私钥文件下载保存好，只下载一次，丢失无法找回；
6. 存储：系统盘默认 40G 足够，有数据库、大量文件再额外添加数据盘；
7. 带宽：小流量站点选择按流量计费，对外高频服务选择固定带宽；
8. 核对配置后提交，等待 1～3 分钟，实例状态变为 “运行中” 即创建完成。

拿到实例信息后重点记录：弹性公网 IP、私有 IP。

二、配置安全组（云上第一道防火墙）

安全组控制 ECS 的出入访问规则，新手最容易踩坑：端口没放行，服务外网访问不了。

1. 在 ECS 实例详情页，找到【安全组】，点击配置规则；
2. 入方向规则（外网访问服务器）
   • SSH：22 端口，源地址建议限制为你本地公网 IP，不要放通 0.0.0.0/0，防止暴力扫描；
   • Web 服务：80、443 端口，源 0.0.0.0/0（网站对外访问）；
   • 其他业务端口按需添加，不用的端口一律关闭；
3. 出方向：默认全部放通即可，服务器访问外网下载包、拉取镜像不受限制。

原则：最小权限放行，开一个业务，放一个端口。

三、SSH 密钥登录服务器

⚠️ Windows 用 PowerShell / MobaXterm；Mac、Linux 直接终端。

1. 先给私钥文件设置权限（Linux/Mac 必须做，否则会报错权限过大）

chmod 400 your-key.pem

1. SSH 连接命令

ssh -i your-key.pem root@你的弹性公网IP

Ubuntu 默认用户名一般不是 root，是 ubuntu，以镜像提示为准。

1. 登录成功后，建议做基础加固：

• 关闭密码登录（/etc/ssh/sshd_config中设置PasswordAuthentication no）
• 禁止 root 直接登录（可选）
• 安装 fail2ban 拦截频繁爆破

四、一键安装 Docker 与 Docker Compose

以 Ubuntu/Debian 为例：

# 更新软件源
sudo apt update && sudo apt upgrade -y
# 安装依赖
sudo apt install ca-certificates curl gnupg lsb-release -y
# 添加Docker官方GPG密钥
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg
# 添加软件源
echo "deb [arch=$(dpkg --print-architecture) signed-by=/usr/share/keyrings/docker-archive-keyring.gpg] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
# 安装docker
sudo apt update
sudo apt install docker-ce docker-ce-cli containerd.io docker-compose-plugin -y
# 设置开机自启
sudo systemctl enable docker
sudo systemctl start docker
# 将当前用户加入docker组，免sudo
sudo usermod -aG docker $USER

退出 SSH 重连，验证：

docker --version
docker compose version

测试运行 Nginx 容器：

docker run -d -p 80:80 --name my-nginx nginx

浏览器访问 http://公网IP，能看到 Nginx 欢迎页，代表整套流程跑通。

五、补充实用建议

1. 备份：重要业务定期打云硬盘快照，数据库额外定时导出备份；
2. 监控：开启华为云云监控，配置 CPU、内存、磁盘使用率告警；
3. 镜像加速：Docker 拉取镜像慢时，配置国内镜像源；
4. 计费提醒：不用的测试实例及时关机或者释放，避免持续扣费。

六、小结

这套流程是华为云 ECS 标准安全部署范式：密钥登录代替密码 + 安全组最小开放 + Docker 容器化部署，兼顾易用性和安全性。不管是跑网站、API 后端、中间件、自研服务，都可以基于这个基础环境扩展。