Ikhtisar domain akses OSS dan konektivitas jaringan (konfigurasi domain, akselerasi, keamanan, dan proxy) - Object Storage Service

OSS menyediakan solusi akses jaringan untuk konfigurasi domain, optimalisasi kinerja, keamanan, dan akses khusus guna membantu Anda membangun arsitektur akses penyimpanan yang efisien, stabil, dan aman.

Pemilihan cepat

Kategori	Skenario	Solusi yang Direkomendasikan
Akses Dasar	Temukan titik akhir dan blok CIDR VIP internal untuk setiap wilayah.	Wilayah dan Titik Akhir
	Pelajari format dan penggunaan berbagai jenis domain, seperti publik, internal, dan akselerasi transfer.	Akses OSS Menggunakan Titik Akhir dan Nama Domain Bucket
	Aktifkan pratinjau file online dan pertahankan identitas merek yang konsisten.	Akses OSS Menggunakan Nama Domain Kustom
Optimalisasi Kinerja	Akselerasi pengiriman aset statis global seperti gambar, audio, video, dan dokumen.	Akses OSS Menggunakan Akselerasi CDN
Optimalisasi Kinerja	Akselerasi unggah dan unduh data lintas wilayah serta jarak jauh.	Akses OSS Menggunakan Akselerasi Transfer
Keamanan	Aktifkan enkripsi HTTPS untuk nama domain kustom.	Akses OSS melalui HTTPS
	Buat koneksi pribadi yang aman dan terisolasi antara VPC dan OSS.	Akses OSS melalui Jaringan Pribadi Menggunakan PrivateLink
	Cegah situs web tidak sah menggunakan resource Anda dan menimbulkan biaya trafik tinggi.	Perlindungan Hotlink
Akses Khusus	Akses OSS melalui alamat IP statis.	Akses OSS Menggunakan Reverse Proxy ECS
Akses Khusus	Berikan izin granular kepada aplikasi atau tim berbeda untuk bucket yang sama.	Titik Akses
Aplikasi Web	Publikasikan file statis dari bucket sebagai website.	Hosting Website Statis
Aplikasi Web	Atasi masalah akses resource lintas origin saat browser memuat resource OSS.	Konfigurasi CORS

Jenis nama domain

OSS menyediakan berbagai jenis nama domain akses berdasarkan lingkungan jaringan dan kebutuhan kinerja Anda. Untuk informasi mengenai format, contoh penggunaan, dan metode beralih antar jenis domain, lihat Akses OSS Menggunakan Titik Akhir dan Nama Domain Bucket. Untuk titik akhir yang sesuai dengan setiap wilayah, lihat Wilayah dan Titik Akhir.

Penting

Karena perubahan kebijakan untuk meningkatkan kepatuhan dan keamanan, mulai 20 Maret 2025, pengguna OSS baru harus menggunakan nama domain kustom (CNAME) untuk melakukan operasi API data pada bucket OSS yang berlokasi di wilayah Tiongkok daratan. Titik akhir publik default dibatasi untuk operasi ini. Lihat pengumuman resmi untuk daftar lengkap operasi yang terdampak. Jika Anda mengakses data melalui HTTPS, Anda harus mengikat Sertifikat SSL yang valid ke domain kustom Anda. Hal ini wajib untuk akses Konsol OSS, karena konsol menerapkan HTTPS.

Jenis Nama Domain	Kasus Penggunaan	Penagihan	Diperlukan Aktivasi
Nama Domain Akses Publik	Akses publik dari aplikasi web dan klien seluler.	Dikenai biaya untuk lalu lintas keluar melalui jaringan publik.	Tersedia secara default.
Nama Domain Akses Internal	Akses dari dalam jaringan Alibaba Cloud (misalnya, dari ECS ke OSS).	Lalu lintas internal tidak dikenai biaya.	Tersedia secara default.
Nama Domain Akselerasi Transfer	Unggah/unduh lintas wilayah dan internasional berkecepatan tinggi.	Ini menimbulkan biaya akselerasi transfer selain biaya lalu lintas keluar.	Memerlukan pengaktifan fitur akselerasi transfer.
Nama Domain Dual-Stack	Akses OSS dari lingkungan jaringan IPv6.	Dikenai biaya untuk lalu lintas keluar melalui jaringan publik.	Didukung di beberapa wilayah.
Nama Domain CNAME	Digunakan untuk resolusi DNS saat Anda memetakan nama domain kustom.	Dikenai biaya untuk lalu lintas keluar melalui jaringan publik.	Memerlukan pemetaan nama domain kustom dan konfigurasi rekaman CNAME.

Instans ECS di wilayah yang sama dapat langsung terhubung ke OSS menggunakan nama domain internal, seperti oss-cn-hangzhou-internal.aliyuncs.com. Trafik ini melewati jaringan internal Alibaba Cloud dan tidak melalui internet publik sehingga tidak dikenai biaya transfer data keluar. Instans ECS baik di jaringan klasik maupun VPC dapat menggunakan titik akhir internal yang sama untuk mengakses OSS. Trafik internal ini menghindari internet publik dan tidak dikenai biaya transfer data keluar. Untuk mengakses OSS lintas wilayah, Anda harus menggunakan jaringan publik atau Cloud Enterprise Network (CEN).

Penting

Mengakses file seperti HTML atau gambar dengan nama domain bucket OSS akan memaksa browser mengunduh file tersebut, bukan menampilkannya secara online. Untuk mengaktifkan pratinjau file, Anda harus mengakses OSS menggunakan nama domain kustom. Anda dapat memetakan nama domain kustom ke nama domain akses publik, nama domain akselerasi transfer, nama domain titik akses, atau nama domain titik akses objek FC. Jika bucket Anda berada di Tiongkok daratan, nama domain yang dipetakan harus memiliki Pendaftaran ICP.

Optimalisasi kinerja

Akselerasi CDN dan akselerasi transfer mengoptimalkan kinerja dalam skenario berbeda. Anda dapat menggunakannya secara terpisah atau bersamaan.

Dimensi	Akselerasi CDN	Akselerasi transfer
Cara kerja	Menyimpan cache resource statis di node tepi global untuk melayani permintaan pengguna dari lokasi terdekat.	Menggunakan routing cerdas melalui backbone network Alibaba Cloud untuk mengoptimalkan jalur transfer data.
Kasus penggunaan	Pembacaan aset statis frekuensi tinggi, seperti unduhan gambar, audio, video, dan dokumen.	Unggah dan unduh data lintas wilayah serta internasional jarak jauh.
Dukungan unggah	Tidak disarankan untuk unggah.	Unggah terakselerasi didukung.
Penagihan	Biaya CDN + OSS lalu lintas kembali ke asal CDN	Biaya lalu lintas keluar + biaya akselerasi transfer
Penggunaan gabungan	Konfigurasikan CDN untuk menggunakan nama domain akselerasi transfer sebagai origin fetch. Ini menciptakan arsitektur dual-akselerasi yang menggabungkan penyimpanan sementara di tepi CDN dengan akselerasi jaringan tulang punggung.

Keamanan

HTTPS

Nama domain bucket OSS mendukung akses HTTPS secara default tanpa perlu konfigurasi tambahan. Saat Anda mengakses OSS menggunakan nama domain kustom, Anda harus mengonfigurasi sertifikat SSL untuk domain tersebut. Jika CDN tidak diaktifkan, konfigurasikan Upload Certificate untuk nama domain kustom yang dipetakan ke bucket di Konsol OSS. Jika CDN diaktifkan, konfigurasikan SSL Certificate untuk nama domain CDN di Konsol CDN. Untuk lingkungan produksi, kami merekomendasikan menerapkan akses HTTPS dengan kebijakan bucket yang menolak semua permintaan HTTP. Sertifikat SSL Alibaba Cloud mendukung pembaruan otomatis melalui hosting sertifikat. Untuk informasi lebih lanjut, lihat Akses OSS melalui HTTPS.

PrivateLink

PrivateLink membuat titik akhir pribadi khusus untuk OSS di dalam Virtual Private Cloud (VPC) Anda. Seluruh trafik dialihkan melalui backbone network Alibaba Cloud, bukan internet publik. Ini memberikan isolasi keamanan yang lebih kuat dibandingkan nama domain akses internal OSS default.

Kemampuan	Domain Internal	PrivateLink
Permukaan Serangan	Titik entri layanan publik terbuka untuk semua VPC.	Titik entri berada di dalam VPC, mencegah penemuan dan akses dari VPC lain.
Kontrol Tingkat Jaringan	Tidak dapat dikontrol oleh grup keamanan.	Mendukung pengikatan grup keamanan untuk kontrol akses IP sumber yang presisi.
Kemampuan Audit	Hanya mencatat permintaan yang berhasil.	Mendukung log aliran VPC untuk mengaudit semua upaya koneksi.
Perencanaan IP	Menggunakan blok CIDR 100.64.0.0/10, yang mungkin bertentangan dengan pusat data on-premises.	Menggunakan alamat IP dari blok CIDR VPC Anda, mengikuti rencana IP kustom Anda.

Hubungkan perangkat atau pusat data on-premises ke VPC Anda dengan sirkuit SSL-VPN atau Express Connect untuk mengakses OSS melalui PrivateLink. Untuk informasi lebih lanjut, lihat Akses OSS melalui Jaringan Pribadi Menggunakan PrivateLink.

Perlindungan hotlink

Jika situs web lain melakukan hotlinking terhadap resource OSS Anda dan meningkatkan biaya trafik Anda, Anda dapat mengonfigurasi daftar hitam dan daftar putih berbasis Referer untuk mengontrol akses. OSS menerapkan kontrol akses dengan urutan prioritas berikut: empty Referer check > blacklist check > whitelist check. Perlindungan hotlink hanya berlaku untuk akses anonim dan URL yang ditandatangani. Pembatasan ini tidak berlaku untuk panggilan API yang ditandatangani dengan AccessKey. Jika Anda menggunakan akselerasi CDN untuk OSS, Anda juga harus mengonfigurasi aturan perlindungan hotlink di lapisan CDN. Jika tidak, permintaan hotlinking mungkin mengenai cache CDN dan melewati verifikasi OSS. Untuk informasi lebih lanjut, lihat Perlindungan Hotlink.

Akses khusus

Reverse proxy ECS

OSS menyediakan alamat IP dinamis melalui resolusi DNS. Dinamisme ini dapat mempersulit daftar putih firewall dan integrasi sistem tertentu. Anda dapat men-deploy reverse proxy Nginx pada instans ECS dengan alamat IP publik statis untuk meneruskan permintaan ke OSS. Ini memungkinkan Anda mengakses resource OSS melalui alamat IP tetap. Untuk lingkungan produksi, kami merekomendasikan arsitektur ketersediaan tinggi yang menggunakan load balancer dengan grup instans ECS di beberapa zona ketersediaan. Untuk informasi lebih lanjut, lihat Akses OSS Menggunakan Reverse Proxy ECS.

Titik akses

Titik akses menyediakan titik entri khusus untuk sebuah bucket. Saat beberapa aplikasi atau tim dengan tingkat izin berbeda perlu mengakses bucket yang sama, Anda dapat membuat titik akses terpisah untuk masing-masing. Ini memungkinkan Anda mengelola izin secara individual melalui kebijakan titik akses, menghindari aturan kompleks dalam satu kebijakan bucket. Setiap titik akses memiliki alias, kebijakan akses, dan konfigurasi origin jaringan sendiri (internet publik atau VPC tertentu). Ini mendukung autentikasi federasi dengan kebijakan RAM dan kebijakan bucket dalam model kebijakan tiga lapis. Untuk informasi lebih lanjut, lihat Titik Akses.

Aplikasi web

Hosting website statis

OSS memungkinkan Anda mempublikasikan file statis (seperti HTML, CSS, dan JavaScript) di bucket langsung sebagai website yang dapat diakses publik, tanpa perlu pemeliharaan server. Anda dapat mengonfigurasi halaman utama default, halaman utama subdirektori, dan halaman error 404 kustom. Ini juga mendukung routing untuk aplikasi halaman tunggal (SPAs) dengan mengatur halaman 404 ke index.html dan kode respons error ke 200. Untuk informasi lebih lanjut, lihat Hosting Website Statis.

Penting

Saat Anda menggunakan nama domain bucket OSS untuk mengakses file HTML, browser akan memaksa unduhan. Anda harus memetakan nama domain kustom untuk mengaktifkan penjelajahan web normal.

Konfigurasi CORS

Saat website Anda memuat resource dari OSS, browser mungkin melaporkan error blocked by CORS policy. Hal ini disebabkan oleh kebijakan asal sama browser, yang membatasi akses resource lintas origin. Dengan mengonfigurasi aturan CORS untuk bucket Anda (seperti Origin, Allowed Methods, dan Allowed Headers), Anda dapat mengizinkan website tertentu mengakses resource OSS Anda. Saat menggunakan beberapa sumber atau wildcard, aktifkan Vary: Origin untuk mencegah polusi cache. Jika bucket Anda menggunakan akselerasi CDN, Anda harus mengonfigurasi aturan lintas origin di Konsol CDN atau mengatur CDN untuk meneruskan header respons CORS dari OSS. Untuk informasi lebih lanjut, lihat Konfigurasi CORS.

FAQ

Akses dengan URL non-tanda tangan jangka panjang

Anda dapat menggunakan salah satu metode berikut:

Atur ACL objek ke public-read: Siapa pun dapat mengakses objek tanpa batasan. Untuk mencegah biaya tambahan akibat penggunaan tidak sah, pastikan untuk mengonfigurasi perlindungan hotlink guna membatasi sumber akses.
Akses OSS Menggunakan Akselerasi CDN: Pertahankan izin objek sebagai private dan aktifkan fitur back-to-origin bucket private CDN untuk menyediakan akses publik. CDN menawarkan kinerja akses dan caching yang lebih baik. Anda harus mengonfigurasi aturan perlindungan hotlink di lapisan CDN untuk mencegah penggunaan tidak sah.

Atasi unggah atau unduh lambat

Kecepatan transfer OSS bergantung pada bandwidth jaringan klien, kualitas koneksi, dan strategi transfer. Atasi dan optimalkan menggunakan panduan berikut:

Bandwidth dan Kualitas Koneksi: Pastikan bandwidth saat ini tidak melebihi batas bandwidth bucket Anda. Gunakan tool MTR untuk menganalisis koneksi jaringan terhadap kehilangan paket, latensi tinggi, atau anomali routing. Untuk transfer lintas batas atau jarak jauh, kami merekomendasikan mengaktifkan akselerasi transfer.
Pemilihan Tool: Gunakan ossutil untuk mentransfer file besar atau banyak. Anda dapat menggunakan perintah probe-nya untuk memeriksa status jaringan saat ini.
Penyetelan SDK: Untuk file besar, selalu gunakan unggah multi-bagian dan unggah yang dapat dilanjutkan. Konfigurasikan ukuran bagian (part_size) dan jumlah thread konkuren (num_threads) secara tepat. Di jaringan yang baik, tingkatkan ukuran bagian untuk mengurangi jumlah permintaan. Saat menginisialisasi klien, Anda dapat menonaktifkan validasi CRC64 (misalnya, atur enable_crc=False di Python) dan gunakan header permintaan Content-MD5 untuk pemeriksaan integritas. Ini dapat meningkatkan kinerja transfer sekaligus memastikan keamanan data.

Atasi error jaringan

Jika permintaan telah mencapai OSS (respons berisi Request ID), dapatkan Request ID tersebut dan gunakan tool diagnostik self-service OSS untuk melakukan pemeriksaan.

Jika permintaan belum mencapai OSS (Request ID kosong), atasi berdasarkan jenis error:

Jenis Error	Penyebab Umum	Solusi
Connection refused	Port diblokir, atau penggunaan titik akhir internal untuk akses lintas wilayah.	Gunakan titik akhir publik yang benar. Gunakan `ping` dan `telnet` untuk memeriksa aturan firewall dan konektivitas jaringan.
ConnectionTimeOut	Kondisi jaringan buruk atau pengaturan timeout terlalu singkat.	Tingkatkan timeout koneksi dan pembacaan SDK, serta aktifkan mekanisme retry. Untuk file besar, gunakan unggah multi-bagian dan unggah yang dapat dilanjutkan untuk stabilitas lebih baik. Pertimbangkan menggunakan akselerasi CDN atau akselerasi transfer.
Socket timeout / closed	Koneksi timeout atau ditutup secara tak terduga.	Tingkatkan pengaturan socket timeout di SDK Anda (misalnya, `ClientConfiguration.setSocketTimeout` di Java SDK).
Connection reset	Konfigurasi titik akhir salah atau pembatasan keamanan pada bucket.	Atasi dengan urutan berikut: 1. Periksa konektivitas jaringan dengan `ping` atau Alibaba Kunlun Diagnostic Tool. 2. Pastikan titik akhir mencakup prefiks protokol yang benar (`http://` atau `https://`). 3. Pastikan bucket tidak ditempatkan di sandbox OSS karena alasan keamanan. 4. Tangkap paket dengan Wireshark dan hubungi Dukungan Teknis.