本文介绍在正式安装 TencentOS Server 前，如何在硬件层面（BIOS/UEFI）进行安全设置，以及磁盘分区安全相关的配置建议。
BIOS 安全
BIOS（Basic Input/Output System）是计算机系统中的基础软件，它负责启动和初始化系统的硬件设备，如 CPU、内存、硬盘、显卡等。由于 BIOS 是系统启动的第一个软件，因此它对整个系统的安全性至关重要。在正式安装 TencentOS Server 前，对 BIOS 进行安全设置和保护，可以降低系统被黑客攻击或病毒感染的风险，提高系统的安全性和稳定性。
注意：现代服务器多采用 UEFI（统一可扩展固件接口）替代传统 BIOS，以下安全措施在 UEFI 固件中同样适用，具体选项位置请以您的实际环境为准。
启用 BIOS 密码保护
启用 BIOS 密码保护是保护 BIOS 安全的重要措施之一。建议在 BIOS 中设置启动密码以限制未授权访问。请务必严格保密并定期更换密码，以确保底层硬件安全。
禁用不必要的启动设备
禁用不必要的启动设备（如 USB、光驱等），可以防止攻击者通过可启动介质进入系统，降低系统的攻击面。这些选项通常位于 BIOS 设置的 Boot 选项卡中。
启用安全启动（Secure Boot）
安全启动使用的软件和固件来确保系统启动时不会遭受攻击。您可以在 BIOS 设置的 Security 选项卡中启用安全启动。安全启动是 UEFI 固件的功能，仅在 UEFI 启动模式下可用，传统 BIOS（Legacy）模式不支持。
启用 TPM（Trusted Platform Module）
TPM 是一种硬件安全芯片，用于存储加密密钥和验证系统完整性。通过启用 TPM，您可以更加安全地存储敏感数据，并保护您的系统免受攻击。启用 TPM 后，您可以使用 TPM 来加密磁盘、验证系统启动过程中的软件等，以提高系统的安全性。
说明：
物理服务器需配备 TPM 芯片（TPM 1.2 或 2.0 版本），并在 BIOS/UEFI 设置中启用该功能；
若硬件不带 TPM 芯片，则无法使用 TPM 相关功能。
禁用远程管理接口
如果业务场景无需远程管理接口（如 BMC、iLO、IPMI 等），建议在 BIOS 设置中将其禁用，以免攻击者借助此类接口远程入侵系统。
需要注意的是，BIOS 的远程管理接口可以提高计算机管理的效率和便利性，但同时也需要管理员谨慎配置和管理。管理员可以限制远程访问的 IP 地址或者仅允许通过安全的 VPN 隧道进行访问等来降低风险。
保持 BIOS 固件最新
保持 BIOS 固件的最新版本，以获得更好的安全性和性能。定期审计 BIOS 设置，并确保它们符合最佳安全实践，以保证系统的安全性和稳定性。
磁盘分区安全
磁盘分区是将硬盘分成多个逻辑部分，每个分区可以单独使用，以达到分隔文件、数据、操作系统等目的。磁盘分区安全是指在分区的过程中采取一定的措施，以保障系统数据的安全性和稳定性。
磁盘分区的必要性在于：
提高数据安全性：通过将系统和数据分别存放在不同的分区中，可以有效地保障数据的安全性。当系统受到攻击或者出现故障时，数据也能够得到保护。
提高系统稳定性：将系统和数据分别存放在不同的分区中，可以有效地避免因数据的异常或者损坏对系统的影响。当出现系统故障时，能够快速定位问题，并采取相应的措施进行修复。
提高系统性能：通过对磁盘进行分区，可以提高系统的读写性能，从而提升系统的运行效率。
以下是磁盘分区安全的配置建议：
启用磁盘加密
磁盘加密是一种重要的磁盘安全功能，它可以对整个磁盘或某些分区进行加密，以保护系统数据不被未经授权的人访问。在 TencentOS Server 中，可以使用 LUKS（Linux Unified Key Setup）对磁盘分区进行加密，并可结合 LVM（Logical Volume Manager）使用。在进行磁盘分区时，可以选择使用加密分区，以保护系统数据的安全性。
说明：LVM 本身是逻辑卷管理工具，不提供加密功能。磁盘加密由 LUKS 通过
cryptsetup 工具实现，LVM 可与 LUKS 配合使用，先加密再建立逻辑卷，或先建立逻辑卷再对逻辑卷进行加密。分离操作系统和数据
将操作系统和用户数据分别存放在不同的分区中，可以有效地保障数据的安全性和系统的稳定性。在进行磁盘分区时，可以将操作系统和用户数据分别存放在不同的分区中，并为每个分区设置相应的访问权限和安全策略，以避免数据泄露和系统异常。
配置分区权限
在 TencentOS Server 中，每个分区都有相应的权限设置。管理员可以根据实际需求，对分区进行相应的权限设置，以保护系统的安全性。例如，可以将系统分区中的关键目录设置为只读模式，防止系统文件被误删或修改。同时，可以将用户数据分区设置适当的读写权限，以防止未经授权的用户访问或修改数据。
启用 SELinux
SELinux（Security-Enhanced Linux）是一种 Linux 内核安全模块，它可以通过强制访问控制来保护系统的安全性。TencentOS Server 默认启用 SELinux（enforcing 模式，targeted 策略），用户可根据具体需要来开启/关闭对应功能。启用 SELinux 可以对文件、目录和进程等进行安全策略控制，限制系统访问、权限和操作。在进行磁盘分区时，可以根据实际需求，为每个分区设置相应的 SELinux 安全上下文，以保护系统的安全性。
定期备份数据
定期备份重要数据是保障数据安全的重要措施。建议将备份数据存储在独立于系统分区的其他分区或外部存储设备上，并定期验证备份数据的完整性和可用性。在进行系统更新或配置变更前，应先进行数据备份，以防操作失误导致数据丢失。
