CDN:Configurer la récupération d'origine depuis un compartiment OSS privé

Fonctionnement

Lorsque vous activez la récupération d'origine depuis un compartiment OSS privé, CDN ajoute automatiquement un champ Authorization à l'en-tête de chaque requête de récupération d'origine envoyée à votre compartiment OSS privé. La valeur de ce champ correspond à une signature valide générée à partir des informations d'identité que vous avez autorisées (un jeton de sécurité temporaire Security Token Service (STS) ou une paire AccessKey). OSS authentifie la requête en se basant sur cette signature.

Avantages

• Accès sécurisé — Vous accordez à CDN des autorisations en lecture seule restreintes sur le compartiment privé. Seules les requêtes de récupération d'origine légitimes peuvent ainsi accéder au compartiment, ce qui évite les risques de sécurité liés à la publication d'un compartiment privé.

• Optimisation des coûts — Les requêtes des utilisateurs finaux atteignent le cache CDN. Les frais de trafic sont inférieurs aux frais de trafic sortant Internet générés lorsque les utilisateurs accèdent directement à OSS. De plus, le trafic entre CDN et OSS est comptabilisé comme du trafic de récupération d'origine, dont le prix unitaire est inférieur à celui du trafic sortant Internet d'OSS. Cela réduit le coût global. Pour plus d'informations, consultez la rubrique Facturation de l'accélération de contenu OSS.

Considérations

Avant d'activer la récupération d'origine depuis un compartiment OSS privé, tenez compte des points suivants :

• Portée d'accès — Une fois cette fonctionnalité activée, le nom de domaine accéléré peut accéder à toutes les ressources du compartiment privé de son serveur d'origine. Il n'est pas possible de restreindre l'accès à certaines ressources uniquement du compartiment depuis le côté CDN.

• Conflit de signature — Assurez-vous que les paramètres d'URL des requêtes de récupération d'origine ne contiennent pas d'informations de signature. Sinon, l'authentification OSS échouera. Une seule requête ne peut pas porter simultanément une signature dans l'en-tête et dans l'URL.

• Conflit de fonctionnalités — Cette fonctionnalité entre en conflit avec la configuration de la page d'accueil par défaut de la fonctionnalité d'hébergement de site statique d'OSS. Pour utiliser les deux fonctionnalités simultanément, consultez la documentation.

Prérequis

• Un nom de domaine accéléré est configuré et son serveur d'origine est un compartiment Alibaba Cloud OSS.

• Le compartiment OSS est un compartiment privé, offrant une authentification d'accès et empêchant le vol de trafic par des requêtes non autorisées.

Procédure

La configuration s'effectue en deux étapes. Commencez par réaliser une autorisation unique au niveau du compte permettant à CDN d'accéder à OSS. Ensuite, activez la fonctionnalité pour votre nom de domaine accéléré.

1. Autorisez CDN à accéder à OSS. Si aucune invite d'autorisation n'apparaît, ignorez cette étape.

   1. Connectez-vous à la console CDN.

   2. Dans le volet de navigation de gauche, cliquez sur Domain Names.

   3. Sur la page Domain Names, cliquez sur Manage pour le nom de domaine cible.

   4. Dans le volet de navigation de gauche du nom de domaine spécifié, cliquez sur Origin Fetch.

      Dans la section Alibaba Cloud OSS Private Bucket Access, la ligne Role Authorization affiche « This account has not authorized the CDN service to access your OSS space » et le commutateur Status est désactivé par défaut.

   L'autorisation en un clic depuis la console CDN est recommandée. Utilisez l'autorisation manuelle via RAM si vous préférez créer vous-même le rôle et la politique d'autorisation.

   (Recommandé) Autorisation en un clic via la console

   1. Dans la section Alibaba Cloud OSS Private Bucket Access, cliquez sur Authorize.

   2. Sur la page de confirmation de l'autorisation, cliquez sur Confirm Authorization.

   (Alternative) Autorisation manuelle via RAM

   1. Connectez-vous à la console Resource Access Management (RAM).

   2. Dans le volet de navigation de gauche, sélectionnez Permission Management > Access Policy.

   3. Sur la page Access Policy, cliquez sur Create Policy.

   4. Sous l'onglet Script Editor, saisissez le contenu de la politique suivant.

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "oss:List*",
                      "oss:Get*"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

   5. Cliquez sur OK, saisissez les informations suivantes sur la page Create Policy, puis cliquez sur OK.

      • Policy Name : AliyunCDNAccessingPrivateOSSRolePolicy

      • Remarks : Politique d'autorisation pour le rôle utilisé par CDN/DCDN pour la récupération d'origine depuis des compartiments OSS privés. Elle contient des autorisations en lecture seule sur OSS.

   6. Dans le volet de navigation de gauche, sélectionnez Identity Management > Roles.

   7. Sur la page Roles, cliquez sur Create Role.

   8. Définissez Trusted Entity Type sur Cloud Account, sélectionnez Current Cloud Account pour Trusted Entity Name, puis cliquez sur OK.

   9. À l'étape Create Role, saisissez les informations suivantes :

      • Role Name : AliyunCDNAccessingPrivateOSSRole

   10. Une fois le rôle créé, dans la liste de la page Roles, cliquez sur AliyunCDNAccessingPrivateOSSRole pour accéder à la page de modification du rôle.

   11. Sous l'onglet Trust Policy, cliquez sur Edit Trust Policy, saisissez les informations suivantes, puis cliquez sur OK.

       {
         "Statement": [
           {
             "Action": "sts:AssumeRole",
             "Effect": "Allow",
             "Principal": {
               "Service": [
                 "cdn.aliyuncs.com"
               ]
             }
           }
         ],
         "Version": "1"
       }

   12. Basculez vers l'onglet Permission Management. Dans l'onglet Authorize, cliquez sur Grant Permission.

       • Resource Scope : au niveau du compte

       • Authorized Principal : sélectionnez le rôle AliyunCDNAccessingPrivateOSSRole précédemment créé.

       • Access Policy : sélectionnez Custom Policy, choisissez la politique AliyunCDNAccessingPrivateOSSRolePolicy précédemment créée, puis cliquez sur Confirm New Authorization.

       Une fois l'autorisation confirmée, retournez à la page Origin Fetch de la console CDN DCDN. Vous constatez que la fonctionnalité Alibaba Cloud OSS Private Bucket Access est autorisée.

2. Activez Alibaba Cloud OSS Private Bucket Access et configurez le type de récupération d'origine.

   1. Repérez la section Alibaba Cloud OSS Private Bucket Access et activez son commutateur.

   2. Dans la boîte de dialogue Alibaba Cloud OSS Private Bucket Access qui s'affiche, sélectionnez le type de récupération d'origine et cliquez sur OK.

   Le tableau suivant décrit les scénarios applicables pour les deux types de récupération d'origine.

Après avoir cliqué sur OK, la récupération d'origine depuis le compartiment OSS privé est activée pour le nom de domaine accéléré.

Utiliser STS pour la récupération d'origine inter-comptes depuis un compartiment OSS privé

Par défaut, CDN utilise des jetons de sécurité temporaires STS et prend en charge la récupération d'origine uniquement depuis des compartiments OSS privés appartenant au même compte. Pour utiliser des jetons de sécurité temporaires STS pour la récupération d'origine inter-comptes depuis un compartiment OSS privé, activez le type de récupération d'origine basé sur STS côté CDN et ajoutez une politique de compartiment côté OSS.

Côté OSS, configurez la politique de compartiment comme suit :

1. Connectez-vous au compte Alibaba Cloud où réside le compartiment privé et accédez à la console OSS.

2. Cliquez sur Buckets > compartiment cible. Ouvrez l'onglet Permission Control > Bucket Policy et cliquez sur Authorize.

3. Pour Authorized User, sélectionnez Other Account. Selon la méthode d'autorisation utilisée lorsque CDN effectue la récupération depuis OSS, saisissez l'ARN au format correspondant dans Authorized Account :

   • Autorisation STS directe : saisissez arn:sts:uid, où uid correspond à l'ID de compte du compte où réside CDN.

   • AssumeRole : saisissez arn:sts://{CDN_account_UID}:assumed-role/{CDN_account_role_name}/*, où {CDN_account_UID} est l'ID de compte du compte où réside CDN et {CDN_account_role_name} est le nom du rôle assumé par le compte CDN. Si CDN effectue la récupération depuis OSS en assumant un rôle, vous devez utiliser ce format. Sinon, une erreur 403 se produit.

4. Pour Authorized Operation, sélectionnez Quick Setup > Read-Only (excluding ListObject), puis cliquez sur OK pour terminer la configuration.

   Une fois l'autorisation ajoutée, l'onglet Bucket Policy affiche les informations d'autorisation.

Recommandations de renforcement de la sécurité

Une fois la récupération d'origine depuis un compartiment OSS privé activée, les données sur votre serveur d'origine sont sécurisées. Toutefois, les ressources mises en cache sur les nœuds de périphérie CDN sont accessibles publiquement par défaut. Pour prévenir le vol de trafic, utilisez cette fonctionnalité conjointement avec les fonctionnalités de sécurité suivantes fournies par CDN :

• Configurer une liste noire ou blanche de Referer : permet uniquement aux requêtes provenant de sites web référents spécifiques d'accéder à vos ressources CDN.

• Configurer la signature d'URL : configure des signatures dynamiques et des durées de validité pour les URL de vos ressources afin de se prémunir contre les téléchargements malveillants.

Désactiver la récupération d'origine depuis un compartiment OSS privé

Si vous ne souhaitez plus que votre nom de domaine accéléré accède aux ressources d'un compartiment privé appartenant au même compte, révoquez l'autorisation du rôle correspondant dans la console Resource Access Management (RAM) pour désactiver l'autorisation CDN DCDN de récupération depuis le compartiment OSS privé.

1. Désactivez la fonctionnalité dans la console CDN.

   1. Connectez-vous à la console CDN.

   2. Dans le volet de navigation de gauche, cliquez sur Domain Names.

   3. Sur la page Domain Names, cliquez sur Manage pour le nom de domaine cible.

   4. Dans le volet de navigation de gauche du nom de domaine spécifié, cliquez sur Origin Fetch.

   5. Dans la section Alibaba Cloud OSS Private Bucket Access, désactivez le commutateur Alibaba Cloud OSS Private Bucket Access.

2. Supprimez entièrement l'autorisation dans la console RAM.

   1. Connectez-vous à la console Resource Access Management (RAM).

   2. Dans le volet de navigation de gauche, sélectionnez Identity Management > Roles.

   3. Dans la liste des noms de rôles, cliquez sur le rôle AliyunCDNAccessingPrivateOSSRole.

   4. Supprimez toutes les autorisations du rôle AliyunCDNAccessingPrivateOSSRole.

      Sur la page des détails du rôle, l'onglet Permission Management répertorie la politique système autorisée (remarque : politique d'autorisation pour le rôle utilisé par CDN pour la récupération d'origine depuis des compartiments OSS privés, contenant des autorisations en lecture seule sur OSS). La portée des ressources est au niveau du compte. Le bouton Delete Role se trouve dans le coin supérieur droit de la page.

      a. Dans la colonne Actions, cliquez sur Revoke Authorization.

      b. Dans la boîte de dialogue de confirmation de suppression des autorisations, cliquez sur Revoke Authorization.

   5. Retournez à la page Identity Management > Roles et supprimez le rôle AliyunCDNAccessingPrivateOSSRole.

      a. Cliquez sur Delete Role pour le rôle AliyunCDNAccessingPrivateOSSRole.

      b. Dans la boîte de dialogue de confirmation Delete Role, cliquez sur Delete Role.

   6. Retournez à la page Permission Management > Access Policy et supprimez la politique AliyunCDNAccessingPrivateOSSRolePolicy.

      a. Cliquez sur Delete Access Policy pour la politique AliyunCDNAccessingPrivateOSSRolePolicy.

      b. Dans la boîte de dialogue de confirmation Delete Access Policy, saisissez le nom de la politique et cliquez sur Delete Access Policy.

Références

• Si des erreurs telles que This request is forbidden by kms. ou You have no right to access this object because of bucket acl. surviennent lorsque CDN accède aux ressources OSS, consultez le Guide de dépannage pour la récupération d'origine pour obtenir des méthodes de résolution.

• Bonnes pratiques pour l'utilisation de CDN afin d'accélérer les ressources OSS