Object Storage Service：Akses OSS melalui HTTPS

Langkah 1: Konfigurasikan penyimpanan sertifikat

Host Sertifikat SSL di OSS untuk mengaktifkan akses terenkripsi HTTPS untuk nama domain kustom.

1. Pergi ke halaman Buckets. Klik bucket target. Di panel navigasi di sebelah kiri, klik Bucket Settings > Domain Names.

2. Di kolom Aksi untuk nama domain kustom target, klik Certificate Hosting. Pilih sertifikat dari daftar drop-down Certificate Name. Jika Anda tidak dapat memilih sertifikat yang diinginkan, pergi ke halaman Pengelolaan Sertifikat SSL dan pastikan sertifikat memenuhi kondisi berikut:

   • Sertifikat telah diterbitkan dan valid.

   • Sertifikat valid untuk nama domain yang sedang dikonfigurasi.

3. Klik Upload Certificate untuk menyelesaikan konfigurasi penyimpanan sertifikat.

   

Langkah 2: Verifikasi akses HTTPS

Setelah mengonfigurasi Penyimpanan Sertifikat dan memberi waktu agar efektif, verifikasi pengaturan dengan mengakses sumber daya di browser. Konfigurasi yang berhasil memastikan transmisi data aman dan terenkripsi.

1. Pergi ke halaman Buckets dan klik nama bucket target.

2. Di kolom Aksi file objek yang ingin Anda akses, klik View Details.

3. Atur Nama Domain ke Custom Domain Name. Dari daftar drop-down, pilih nama domain kustom yang dipetakan. Lalu, klik Copy Object URL.

4. Akses URL di browser untuk memverifikasi akses terenkripsi HTTPS. Bilah alamat browser harus menampilkan ikon gembok, yang menunjukkan bahwa koneksi terenkripsi.

   

Langkah 1: Konfigurasikan Sertifikat HTTPS CDN

Konfigurasikan Sertifikat SSL untuk nama domain yang dipercepat di Konsol CDN untuk mengaktifkan percepatan aman HTTPS.

1. Pergi ke Konsol CDN. Klik nama domain yang dipercepat target. Klik HTTPS. Selanjutnya, di samping HTTPS Certificate, klik Modify.

2. Pilih HTTPS Secure Acceleration. Baca pengingat penagihan dan klik OK.

3. Berdasarkan daftar drop-down Certificate Source, pilih Sertifikat SSL atau masukkan informasi sertifikat pihak ketiga.

   • SSL Certificates Service: Dari daftar drop-down Certificate Name, pilih sertifikat. Jika Anda tidak dapat memilih sertifikat target, pergi ke halaman Pengelolaan Sertifikat SSL dan pastikan sertifikat memenuhi kondisi berikut:

     • Sertifikat telah diterbitkan dan berada dalam periode validitasnya.

     • Sertifikat valid untuk nama domain yang sedang dikonfigurasi.

   • Custom Certificate (Certificate + Private Key): Masukkan Certificate Name, Certificate (Public Key), dan Private Key.

4. Klik OK untuk menyelesaikan konfigurasi Sertifikat HTTPS.

   

Langkah 2: Verifikasi akses HTTPS CDN

Konfigurasi HTTPS untuk nama domain yang dipercepat membutuhkan waktu sekitar satu menit untuk diterapkan. Setelah konfigurasi efektif, verifikasi dengan mengakses sumber daya OSS melalui HTTPS di browser (contohnya, https://example.com/dest.jpg, di mana example.com adalah nama domain yang dipercepat). Kunjungan yang berhasil menampilkan ikon gembok di bilah alamat browser, menunjukkan bahwa transmisi data terenkripsi.

Praktik terbaik

• Paksa Akses HTTPS: Konfigurasikan Kebijakan Kontrol Akses

  Dalam produksi, kami merekomendasikan untuk memaksakan HTTPS untuk semua klien. Ini mencegah data disadap atau dirusak selama transmisi dan membantu Anda memenuhi persyaratan kepatuhan perlindungan data.

  • Untuk Nama Domain Kustom, tolak semua permintaan HTTP dengan mengonfigurasi kebijakan bucket.

    Contoh Konfigurasi

    Pergi ke halaman Buckets. Klik bucket target. Di panel navigasi di sebelah kiri, klik Access Control > Bucket Policy. Pilih Add by Syntax untuk menambahkan kebijakan bucket berikut.

    Saat menambahkan kebijakan, ganti bucketname dalam konfigurasi sampel dengan nama bucket Anda.

    {
    	"Version": "1",
    	"Statement": [{
    		"Effect": "Deny",
    		"Action": [
    			"oss:*"
    		],
    		"Principal": [
    			"*"
    		],
    		"Resource": [
    			"acs:oss:*:*:bucketname",
    			"acs:oss:*:*:bucketname/*"
    		],
    		"Condition": {
    			"Bool": {
    				"acs:SecureTransport": [
    					"false"
    				]
    			}
    		}
    	}]
    }

    Setelah Anda mengonfigurasi kebijakan bucket, semua permintaan HTTP ditolak.

    

  • Untuk Nama Domain yang Dipercepat CDN, konfigurasikan pengalihan paksa atau aktifkan HTTP Strict Transport Security (HSTS) untuk memaksa klien menggunakan HTTPS, meningkatkan tingkat keamanan keseluruhan.

    Contoh Konfigurasi

    • Konfigurasikan Pengalihan Paksa

      Pergi ke halaman Konsol CDN. Klik nama domain yang dipercepat target. Klik HTTPS, lalu di samping HTTP/S Redirect, klik Modify. Konfigurasikan pengalihan seperti yang ditunjukkan pada gambar berikut. Setelah konfigurasi selesai, CDN menggunakan pengalihan 301 untukmengubah permintaan HTTP dari klien menjadi permintaan HTTPS.

      

    • Aktifkan HSTS

      Pergi ke halaman Konsol CDN. Klik nama domain yang dipercepat target. Klik HTTPS, lalu di samping HSTS, klik Modify. Aktifkan HSTS seperti yang ditunjukkan pada gambar berikut. Setelah konfigurasi selesai, permintaan HTTP klien dipaksa diubah menjadi permintaan HTTPS.

      

• Pembaruan Otomatis: Kelola Siklus Hidup Sertifikat

  Sertifikat SSL memiliki periode validitas tetap. Sertifikat yang kedaluwarsa akan menyebabkan gangguan layanan dan kerugian bisnis. Pantau kedaluwarsa sertifikat dan atur peringatan. Perbarui sertifikat 30 hari sebelumnya untuk memberikan waktu yang cukup untuk pengujian dan penerapan. Untuk sertifikat SSL Alibaba Cloud, aktifkan penyimpanan sertifikat mengurangi intervensi manual. Untuk sertifikat pihak ketiga, buat proses pembaruan reguler dan tunjuk personel yang bertanggung jawab untuk memastikan kelangsungan bisnis.

• Optimasi Performa: Aktifkan HTTP/2 dan Kompresi

  Browser modern dan CDN banyak mendukung protokol HTTP/2, yang menawarkan keunggulan teknis dibandingkan HTTP/1.1, seperti multiplexing, kompresi header, dan dorongan server. Fitur-fitur ini secara signifikan meningkatkan kecepatan pemuatan halaman. Dalam konfigurasi CDN Anda, aktifkan protokol HTTP/2 dan kompresi Gzip untuk mengoptimalkan efisiensi transmisi, mengurangi konsumsi bandwidth, dan meningkatkan pengalaman pengguna.

Mitigasi risiko

• Kontingensi Kegagalan Sertifikat: Menetapkan Mekanisme Sertifikat Cadangan

  Persiapkan sertifikat SSL cadangan untuk kejadian tak terduga, seperti kegagalan sertifikat utama, penghapusan tidak sengaja, atau masalah terkait CA. Untuk sistem bisnis kritis, gunakan sertifikat dari beberapa Otoritas Sertifikat (CA) sebagai cadangan. Jika sertifikat utama gagal, cepat beralih ke cadangan untuk meminimalkan waktu henti layanan dan memastikan kelangsungan bisnis.

• Kebijakan Penurunan Akses: Kembali ke HTTP dalam Keadaan Darurat

  Meskipun HTTPS adalah praktik terbaik, miliki rencana darurat untuk kembali ke HTTP jika masalah sertifikat parah yang tidak dapat diselesaikan terjadi. Miliki prosedur tanggap darurat standar dan manual operasi untuk sementara mengizinkan akses HTTP selama pemecahan masalah. Tingkatkan pemantauan dan pencatatan untuk memastikan deteksi masalah tepat waktu dan pemulihan layanan cepat.

Latar belakang

Untuk memastikan lingkungan keamanan jaringan yang andal secara terus-menerus, Mozilla menerapkan kebijakan kepercayaan sertifikat root baru pada awal 2023. Menurut kebijakan ini, sertifikat root apa pun yang digunakan untuk autentikasi server dengan tanggal penerbitan lebih dari 15 tahun tidak lagi dipercaya oleh Mozilla. Terpengaruh oleh kebijakan ini, GlobalSign mengeluarkan pemberitahuan peningkatan sertifikat root, menyatakan bahwa sertifikat root GlobalSign Root R1 menjadi tidak valid mulai 15 April 2025. Untuk informasi lebih lanjut, lihat Pemberitahuan Mozilla tentang Pembaruan Kebijakan Kepercayaan Sertifikat Root dan Pemberitahuan Peningkatan Sertifikat Root GlobalSign.

Strategi respons OSS

Sebagai tanggapan terhadap perubahan kebijakan kepercayaan sertifikat root, Alibaba Cloud Object Storage Service (OSS) telah mengadopsi strategi berikut untuk memastikan transisi yang lancar dan ketersediaan layanan terus-menerus. Untuk informasi lebih lanjut, lihat Pengumuman Peningkatan Sertifikat Root HTTPS Layanan Penyimpanan Objek Alibaba Cloud.

• Rencana Pembaruan Sertifikat

  Mulai 1 Juli 2024, sertifikat baru yang diterbitkan oleh OSS menggunakan GlobalSign Root R3 untuk memastikan kompatibilitas dengan standar keamanan terbaru dan mencegah gangguan akses yang disebabkan oleh perubahan kebijakan kepercayaan sertifikat root.

• Solusi Kompatibilitas Lintas-Sertifikat

  Untuk memastikan kompatibilitas luas selama periode transisi, sertifikat OSS yang ada menggunakan mekanisme lintas-sertifikat untuk bermigrasi dengan lancar dari GlobalSign Root R1 ke GlobalSign Root R3. Sertifikat lintas berdasarkan GlobalSign Root R1 valid hingga 28 Januari 2028. Mengingat bahwa aplikasi sertifikat harus diajukan 13 bulan sebelum kedaluwarsa, selesaikan semua persiapan pembaruan sertifikat root terkait sebelum 28 Desember 2026.

• Rencana Masa Depan dan Rekomendasi

  Untuk pengembangan jangka panjang, meskipun GlobalSign Root R3 adalah solusi saat ini, itu juga akan berhenti dipercaya oleh Mozilla mulai 15 April 2027, dan akhirnya kedaluwarsa pada 18 Maret 2029. Oleh karena itu, perbarui sertifikat root Anda tepat waktu dan pastikan daftar sertifikat root Anda mencakup beberapa sertifikat root otoritatif seperti GlobalSign R1, R3, R6, dan R46 untuk memenuhi kebutuhan rotasi sertifikat di masa depan.

Apa yang perlu Anda lakukan

Untuk sebagian besar pengguna, tidak diperlukan tindakan. Sistem operasi modern (seperti Windows 7+, macOS 10.12.1+, dan distribusi Linux utama dari 5 tahun terakhir) dan browser (seperti Chrome, Firefox, dan Safari) secara otomatis memperbarui perpustakaan sertifikat root bawaan mereka. Mereka akan secara otomatis mempercayai sertifikat root baru.

Ikuti langkah-langkah berikut hanya jika Anda mengalami kesalahan sertifikat saat mengakses OSS melalui HTTPS pada sistem operasi lama, perangkat tertanam, atau klien kustom yang sudah usang.

ls /etc/ssl/certs/ | grep GlobalSign

Bagaimana cara memperbarui sertifikat yang diganti atau telah kedaluwarsa?

Prosedur pembaruan sama dengan konfigurasi awal. Pilih jalur pembaruan yang sesuai dengan jenis nama domain Anda.

• Nama Domain Kustom OSS: Pergi ke halaman Buckets, dan di bagian Penyimpanan Sertifikat untuk manajemen domain bucket target, pilih sertifikat baru.

• Nama Domain yang Dipercepat CDN: Pergi ke Konsol CDN. Di pengaturan HTTPS untuk nama domain yang dipercepat target, pilih atau unggah sertifikat baru.

Setelah saya mengonfigurasi Sertifikat SSL, mengapa browser saya masih menampilkan pesan 'tidak aman' atau 'kesalahan sertifikat'?

Jika peringatan keamanan tetap ada setelah konfigurasi, atasi masalah tersebut sebagai berikut:

• Periksa Lokasi Konfigurasi: Konfirmasikan apakah percepatan CDN diaktifkan untuk domain akses. Jika ya, Anda harus mengonfigurasi HTTPS di Konsol CDN Alibaba Cloud untuk nama domain yang dipercepat. Pengaturan penyimpanan sertifikat di Konsol OSS tidak akan berlaku.

• Hapus Cache Browser: Browser Anda mungkin telah menyimpan status sertifikat lama. Coba hapus cache browser Anda dan akses situs lagi.

• Tunggu Konfigurasi Efektif: Konfigurasi sertifikat membutuhkan waktu untuk diterapkan. Harap tunggu beberapa menit sebelum mencoba kembali.

• Periksa Integritas Rantai Sertifikat: File sertifikat yang dikeluarkan oleh CA perantara berisi beberapa sertifikat. Gabungkan sertifikat server dengan sertifikat perantara untuk membentuk rantai sertifikat lengkap sebelum mengunggah. Otoritas Sertifikat biasanya memberikan instruksi untuk penggabungan ini. Tinjau dokumentasi terkait dengan cermat.

Bagaimana cara menangani pengecualian sertifikat saat mengakses OSS melalui HTTPS?

Anda dapat menggunakan metode yang sesuai berdasarkan jenis pengecualian sertifikat.

• Sertifikat Belum Dikonfigurasi: Browser menampilkan "Koneksi Anda Tidak Pribadi," dengan pesan kesalahan: NET::ERR_SSL_PROTOCOL_ERROR. Kesalahan ini mungkin menunjukkan bahwa sertifikat tidak ada atau dikonfigurasi di lokasi yang salah (misalnya, menggunakan penyimpanan sertifikat di OSS saat percepatan CDN diaktifkan). Konfigurasikan ulang HTTPS menggunakan metode yang benar.

• Sertifikat Kedaluwarsa: Browser menampilkan "Koneksi Anda Tidak Pribadi," dengan pesan kesalahan: NET::ERR_CERT_DATE_INVALID. Sertifikat yang terikat ke domain telah kedaluwarsa. Lihat tanggal kedaluwarsa di browser. Beli atau ajukan sertifikat baru, lalu perbarui dengan mengikuti prosedur konfigurasi.

• Sertifikat Tidak Cocok: Browser menampilkan "Koneksi Anda Tidak Pribadi," dengan pesan kesalahan: NET::ERR_CERT_COMMON_NAME_INVALID. Domain di URL akses tidak termasuk dalam domain sertifikat. Sebagai contoh, domain akses adalah cdn.example.com, tetapi sertifikat terikat ke oss.example.com. Konfigurasikan sertifikat yang benar untuk domain akses.

Mengapa saya tidak dapat menemukan sertifikat target saya di daftar drop-down saat memilih sertifikat?

Sertifikat mungkin tidak muncul di daftar drop-down karena alasan berikut:

• Sertifikat dan Nama Domain Tidak Cocok: Sistem hanya mencantumkan sertifikat yang cocok dengan domain yang sedang Anda konfigurasi. Sebagai contoh, saat mengonfigurasi sertifikat untuk oss.example.com, Anda tidak dapat memilih sertifikat yang diterbitkan untuk cdn.example.com.

• Sertifikat Tidak Berada di Akun Saat Ini: Konfirmasikan apakah sertifikat berada di Akun Alibaba Cloud saat ini. Jika tidak, Anda perlu mengunggah sertifikat di halaman Pengelolaan Sertifikat SSL.

• Tingkat Sertifikat Wildcard Tidak Cocok: Sertifikat wildcard hanya mendukung subdomain di tingkat yang sama. Sebagai contoh, *.example.com dapat cocok dengan www.example.com dan oss.example.com, tetapi tidak dengan cdn.oss.example.com.

Saat saya mengonfigurasi Sertifikat HTTPS di CDN, sebuah pesan menunjukkan bahwa format sertifikat salah. Bagaimana cara mengonversi format tersebut?

Konfigurasi HTTPS CDN hanya mendukung sertifikat dalam format PEM. Berbagai CA memiliki persyaratan berbeda untuk mengunggah konten sertifikat. Jika sertifikat tidak dalam format PEM, lihat Format Sertifikat. Ikuti instruksi dalam dokumen untuk mengonversi format sebelum mengunggah.

Bagaimana cara memperbarui sertifikat menggunakan baris perintah atau API?

• Nama Domain yang Dipercepat CDN: Gunakan CLI Alibaba Cloud untuk menetapkan sertifikat domain CDN. Untuk informasi lebih lanjut, lihat Contoh Integrasi Cloud Assistant CLI dan SetDomainServerCertificate API.

• Nama Domain Kustom OSS: Gunakan ossutil untuk mengikat sertifikat ke nama domain kustom. Untuk informasi lebih lanjut, lihat put-cname command.

Bagaimana cara menonaktifkan akses HTTPS?

• Nama Domain Kustom

  Untuk menonaktifkan akses HTTPS, lanjutkan dengan langkah-langkah berikut untuk menghapus sertifikat.

  1. Pergi ke halaman Buckets. Klik bucket target. Di panel navigasi di sebelah kiri, klik Bucket Settings > Domain Names.

  2. Klik ikon hapus di sebelah Certificate Details untuk nama domain target, lalu klik OK.

     

• Nama Domain yang Dipercepat CDN

  Lanjutkan dengan langkah-langkah berikut untuk menonaktifkan HTTPS.

  Penting

  Untuk menghindari gangguan akses, pertama-tama pulihkan tipe Pengalihan URL ke pengaturan default dan nonaktifkan fitur HSTS sebelum menonaktifkan HTTPS.

  1. Pergi ke Konsol CDN, klik nama domain yang dipercepat target, klik HTTPS, lalu klik Modify di sebelah HTTPS Certificate.

  2. Nonaktifkan HTTPS Secure Acceleration seperti yang ditunjukkan pada gambar berikut, lalu klik OK.