Activer et désactiver l'accès aux compartiments OSS privés - Edge Security Acceleration

Si votre serveur d'origine est un compartiment Object Storage Service (OSS), définissez son ACL sur « privé » pour empêcher tout accès non autorisé à vos ressources. Dans ce cas, vous devez accorder à Dynamic Content Delivery Network (DCDN) les autorisations nécessaires pour récupérer le contenu depuis le compartiment OSS privé. Cette rubrique explique comment activer et désactiver l'accès de DCDN aux compartiments OSS privés.

Informations contextuelles

Une fois les autorisations d'accès au compartiment OSS privé accordées à DCDN, utilisez les fonctionnalités de protection contre le hotlinking et de signature d'URL proposées par DCDN pour sécuriser vos ressources. Pour plus d'informations, consultez les rubriques Configurer une liste blanche ou noire de referers pour la protection contre le hotlinking et Configurer la signature d'URL.

Important

Lors de la première utilisation de cette fonctionnalité, accordez l'autorisation en un clic pour activer la stratégie par défaut. Une fois activée, DCDN obtient un accès en lecture seule à tous les compartiments OSS de votre compte Alibaba Cloud. Cet accès utilise des jetons STS temporaires et ne prend pas en charge les opérations d'écriture ou de suppression, telles que PUT.
Si vous configurez un jeton de sécurité permanent, restreignez ses autorisations. Le jeton ne doit pas disposer d'autorisations d'écriture ou de suppression, telles que PUT, sur le compartiment OSS. Pour configurer les autorisations d'accès d'un utilisateur RAM à OSS, consultez la rubrique Réduire les risques d'accès non autorisé causés par la fuite de paires AccessKey.
Après avoir accordé l'autorisation et activé la récupération d'origine depuis un compartiment privé pour un nom de domaine accéléré, vous pouvez accéder à toutes les ressources du compartiment privé via ce nom de domaine. Évaluez cette décision avec soin. Si le contenu du compartiment privé ne convient pas à l'accélération de récupération d'origine par DCDN, n'accordez pas l'autorisation et n'activez pas cette fonctionnalité.
Si votre site web est exposé à des risques d'attaques, nous vous recommandons de souscrire à un service Anti-DDoS. Faites preuve de prudence lorsque vous accordez des autorisations ou activez la récupération d'origine depuis des compartiments privés.
Une fois la récupération d'origine depuis un compartiment privé activée, les points de présence (POP) de DCDN ajoutent un en-tête Authorization aux requêtes vers l'origine. La valeur de cet en-tête contient les informations de signature requises pour authentifier l'accès au compartiment OSS privé. Une requête unique vers OSS ne peut pas contenir de signature à la fois dans l'en-tête et dans les paramètres d'URL. Si une requête contient des signatures aux deux emplacements, l'authentification OSS échoue. .

Activer l'accès aux compartiments OSS privés

Connectez-vous à la console DCDN.
Dans le volet de navigation de gauche, cliquez sur Domain Names.
Sur la page Domain Names, localisez le nom de domaine cible et cliquez sur Configure.
Dans l'arborescence de navigation de gauche du nom de domaine, cliquez sur Origin Fetch.
Facultatif. Dans la section Private Bucket Origin, cliquez sur Authorize, puis sur Confirm Authorization Policy. Cette étape n'est requise que si vous autorisez DCDN à accéder aux compartiments OSS privés pour la première fois.
Dans la section Private Bucket Origin, activez l'interrupteur Private Bucket Origin.

Remarque
Effectuez les étapes précédentes uniquement si vous souhaitez autoriser DCDN à accéder aux objets non chiffrés d'un compartiment OSS privé. Si vous souhaitez que DCDN accède aux objets OSS chiffrés à l'aide de Key Management Service (KMS), associez d'abord la stratégie AliyunKMSCryptoUserAccess au rôle RAM AliyunCDNAccessingPrivateOSSRole.

Dans la boîte de dialogue Alibaba Cloud OSS Private Bucket Access qui s'affiche, sélectionnez un type et cliquez sur OK.

Paramètre	Description
Type de récupération d'origine	Bucket in the Same Account : Security Token Service (STS) émet automatiquement un jeton de sécurité. Cette option permet à DCDN de récupérer du contenu uniquement depuis les compartiments OSS privés situés dans le même compte Alibaba Cloud. Bucket Across Accounts or in the Same Account : Vous devez configurer une paire AccessKey. Cette option permet à DCDN de récupérer du contenu depuis les compartiments OSS privés situés dans le même compte ou dans des comptes différents.
AccessKey ID	L'ID AccessKey du compte Alibaba Cloud auquel appartient le compartiment OSS privé. Pour plus d'informations, consultez la rubrique Créer une AccessKey.
AccessKey Secret	Le secret AccessKey du compte Alibaba Cloud auquel appartient le compartiment OSS privé.

Associez la stratégie AliyunKMSCryptoUserAccess au rôle RAM AliyunCDNAccessingPrivateOSSRole.
1. Connectez-vous à la console RAM.
2. Dans le volet de navigation de gauche, choisissez Identities > Roles.
3. Dans la colonne Role Name, recherchez et sélectionnez le rôle RAM AliyunCDNAccessingPrivateOSSRole.
4. Cliquez sur Grant Permission. Dans le panneau Grant Permission, le champ Principal est automatiquement renseigné.
5. Dans la section Policy, recherchez la stratégie système AliyunKMSCryptoUserAccess. Cliquez sur la stratégie pour l'ajouter à la liste Selected Policy.
6. Cliquez sur Grant permissions.
7. Cliquez sur Close.

Désactiver l'accès aux compartiments OSS privés

Si vous ne souhaitez plus que DCDN accède à vos compartiments OSS privés, connectez-vous à la console RAM et révoquez les autorisations d'accès accordées à DCDN.

Connectez-vous à la console RAM.
Dans le volet de navigation de gauche, choisissez Identities > Roles.
Sur la page Roles, recherchez et cliquez sur AliyunCDNAccessingPrivateOSSRole.
Révoquez toutes les autorisations du rôle AliyunCDNAccessingPrivateOSSRole.
1. Recherchez la stratégie que vous souhaitez gérer et cliquez sur Revoke Permission dans la colonne Actions.
2. Dans le message Revoke Permission, cliquez sur Revoke Permission.
Dans le volet de navigation de gauche, choisissez Identities > Roles.
1. Recherchez AliyunCDNAccessingPrivateOSSRole et cliquez sur Delete Role dans la colonne Actions.
2. Dans la boîte de dialogue Delete Role, saisissez le nom du rôle que vous souhaitez supprimer et cliquez sur Delete Role.