OSS menyediakan nama domain yang mendukung HTTPS secara default. Saat menggunakan nama domain kustom untuk mengakses OSS, konfigurasikan Sertifikat SSL untuk domain tersebut guna mengaktifkan transmisi terenkripsi HTTPS. Hal ini melindungi data Anda dan membantu memenuhi persyaratan kepatuhan.
Cara kerja
HTTPS menggunakan protokol TLS/SSL untuk mengenkripsi data dari ujung ke ujung dan memverifikasi identitas server melalui rantai sertifikat. Ini menjamin kerahasiaan, integritas, dan otentikasi selama transmisi data. Untuk mengaktifkan HTTPS pada OSS, konfigurasikan Sertifikat SSL yang valid untuk nama domain Anda di lokasi yang tepat. Metode yang digunakan bergantung pada jenis domain Anda:
Nama domain bucket: Formatnya adalah
<bucket-name>.oss-<region-id>.aliyuncs.com. Alibaba Cloud mengelola Sertifikat SSL untuk domain-domain ini, sehingga mendukung HTTPS secara native tanpa perlu konfigurasi tambahan. Cukup gunakan awalanhttps://untuk mengakses.Nama domain kustom: Anda harus mengonfigurasi Sertifikat SSL untuk domain tersebut.
Aktifkan akses HTTPS
Lokasi konfigurasi sertifikat bergantung pada apakah akselerasi CDN diaktifkan atau tidak.
CDN tidak diaktifkan: Trafik langsung menuju OSS. Konfigurasikan penyimpanan sertifikat untuk nama domain kustom di Konsol OSS.
CDN diaktifkan: Trafik melewati titik keberadaan (POPs) CDN sebelum mencapai OSS. Konfigurasikan Sertifikat HTTPS untuk nama domain akselerasi CDN di Konsol CDN.
Gunakan salah satu metode berikut untuk memeriksa apakah akselerasi CDN diaktifkan untuk nama domain kustom Anda:
Konsol OSS
Buka halaman Buckets dan klik bucket target.
Di panel navigasi sebelah kiri, klik .
Daftar domain menampilkan semua domain yang dipetakan ke bucket tersebut. Jika Alibaba Cloud CDN menampilkan Configured, kelola Sertifikat HTTPS-nya di Konsol CDN.
Konsol CDN
Buka halaman CDN Domain Name List untuk melihat daftar nama domain akselerasi CDN yang telah dikonfigurasi dan aktif beserta informasi bucket origin-nya.
Langkah 1: Konfigurasikan Sertifikat SSL
Pilih metode konfigurasi berdasarkan jalur trafik nama domain kustom Anda.
Nama domain kustom OSS
Ini berlaku ketika nama domain kustom Anda menggunakan CNAME untuk mengarah ke nama domain bucket OSS.
Sebelum memulai, pastikan Anda telah memetakan nama domain kustom ke bucket OSS. Anda juga harus memiliki Sertifikat SSL yang valid dan sesuai dengan nama domain di SSL Certificates Service. Anda dapat memperoleh sertifikat dengan membeli sertifikat baru, mengajukan sertifikat gratis, atau mengunggah sertifikat pihak ketiga.
Buka halaman Buckets. Klik bucket target. Di panel navigasi sebelah kiri, klik .
Di kolom Actions untuk nama domain kustom target, klik Upload Certificate. Dari daftar drop-down Certificate Name, pilih sertifikat.
Klik Upload untuk menyelesaikan konfigurasi penyimpanan sertifikat.
Nama domain akselerasi CDN
Ini berlaku ketika nama domain akselerasi CDN Anda mengambil konten dari bucket OSS.
Sebelum memulai, pastikan Anda telah mengonfigurasi akselerasi CDN untuk bucket OSS dan menggunakan nama domain akselerasi sebagai titik akhir. Anda juga harus memiliki Sertifikat SSL yang valid dan sesuai dengan nama domain di SSL Certificates Service. Anda dapat memperoleh sertifikat dengan membeli sertifikat baru, mengajukan sertifikat gratis, atau mengunggah sertifikat pihak ketiga. Anda juga dapat memasukkan konten sertifikat pihak ketiga dan kunci privat pada langkah-langkah berikutnya.
Buka Konsol CDN. Klik nama domain akselerasi target. Klik HTTPS. Di sebelah SSL Certificate, klik Modify.
Pilih HTTPS Secure Acceleration. Baca pengingat penagihan lalu klik OK.
Berdasarkan daftar drop-down Certificate Source, pilih Sertifikat SSL atau masukkan informasi sertifikat pihak ketiga.
SSL Certificates Service: Dari daftar drop-down Certificate Name, pilih sertifikat.
Custom Certificate (Certificate+Private Key): Masukkan Certificate Name, Certificate (Public Key), dan Private Key.
Klik OK untuk menyelesaikan konfigurasi Sertifikat HTTPS.
Jika Anda tidak dapat memilih sertifikat target, buka Konsol SSL Certificates Service dan pastikan sertifikat memenuhi kondisi berikut:
Sertifikat telah diterbitkan dan masih berlaku.
Sertifikat berlaku untuk nama domain yang sedang Anda konfigurasikan.
Langkah 2: Verifikasi akses HTTPS
Setelah konfigurasi, tunggu hingga perubahan berlaku. Konfigurasi HTTPS CDN membutuhkan waktu sekitar satu menit. Lalu verifikasi akses HTTPS melalui browser:
Nama domain kustom OSS
Buka halaman Buckets dan klik nama bucket target.
Klik nama file atau View Details di kolom Actions. Atur Domain Name ke Custom Domain. Dari daftar drop-down, pilih nama domain kustom yang telah dipetakan. Lalu klik Copy Object URL.
Nama domain akselerasi CDN
Buat URL akses menggunakan nama domain akselerasi CDN, misalnya https://example.com/example.jpg, di mana example.com adalah nama domain akselerasi CDN Anda.
Akses URL tersebut di browser. Pastikan ikon gembok muncul di bilah alamat browser, yang menunjukkan bahwa koneksi telah dienkripsi.
Paksa akses HTTPS
Di lingkungan produksi, paksa semua klien untuk menggunakan HTTPS guna mencegah intersepsi atau perusakan data selama transmisi. Pilih metode konfigurasi berdasarkan jenis domain Anda.
Nama domain kustom OSS
Buka halaman Buckets. Klik bucket target. Di panel navigasi sebelah kiri, klik . Pilih Add by Syntax untuk menambahkan kebijakan bucket berikut guna menolak semua permintaan HTTP.
Ganti <bucket-name> dalam contoh dengan nama bucket aktual Anda. Jika Anda memiliki kebijakan yang sudah ada, tambahkan pernyataan ini ke dalamnya.
{
"Version": "1",
"Statement": [{
"Effect": "Deny",
"Action": ["oss:*"],
"Principal": ["*"],
"Resource": [
"acs:oss:*:*:<bucket-name>",
"acs:oss:*:*:<bucket-name>/*"
],
"Condition": {
"Bool": {
"acs:SecureTransport": ["false"]
}
}
}]
}Nama domain akselerasi CDN
Paksa klien untuk menggunakan HTTPS dengan salah satu metode berikut:
Konfigurasikan pengalihan paksa:
Buka Konsol CDN. Klik nama domain akselerasi target. Klik HTTPS.
Di sebelah HTTP/S Redirect, klik Modify. Pilih HTTP → HTTPS. Klik OK.
Setelah konfigurasi, CDN menggunakan pengalihan 301 untuk mengubah permintaan HTTP dari klien ke node CDN menjadi permintaan HTTPS. Untuk informasi lebih lanjut, lihat Configure Protocol Redirection.
Aktifkan HSTS:
Buka Konsol CDN. Klik nama domain akselerasi target. Klik HTTPS.
Di sebelah HSTS, klik Modify. Aktifkan HSTS. Klik OK.
Setelah konfigurasi, browser secara otomatis mengubah permintaan HTTP menjadi permintaan HTTPS. Untuk informasi lebih lanjut, lihat Configure HSTS.
Manajemen siklus hidup sertifikat
Lihat waktu kedaluwarsa sertifikat
Nama domain kustom OSS
Buka halaman Buckets. Klik bucket target. Di panel navigasi sebelah kiri, klik .
Klik Certificate Details untuk nama domain target guna melihat waktu kedaluwarsanya.
Nama domain akselerasi CDN
Buka Konsol CDN. Di panel navigasi sebelah kiri, klik Certificate Center untuk melihat waktu kedaluwarsa sertifikat.
Perbarui sertifikat
Prosedur pembaruan sama dengan konfigurasi awal. Pilih jalur berdasarkan jenis domain dan metode pembaruan Anda.
Konsol
Nama domain kustom OSS: Buka halaman Buckets. Di bagian untuk bucket target, klik Upload Certificate dan pilih sertifikat baru.
Nama domain akselerasi CDN: Buka Konsol CDN. Di pengaturan HTTPS untuk nama domain akselerasi target, pilih atau unggah sertifikat baru.
Antarmuka baris perintah dan API
Nama domain kustom OSS: Gunakan ossutil untuk mengikat sertifikat ke nama domain kustom. Untuk informasi lebih lanjut, lihat put-cname.
Nama domain akselerasi CDN: Atur sertifikat untuk nama domain akselerasi menggunakan Alibaba Cloud CLI. Untuk informasi lebih lanjut, lihat CLI integration examples dan Set certificates for accelerated domain names.
Perpanjangan otomatis
Sertifikat SSL memiliki periode validitas tetap. Sertifikat yang kedaluwarsa menyebabkan gangguan layanan. Perpanjang sertifikat 30 hari sebelum masa berlakunya habis.
Sertifikat SSL Alibaba Cloud: Aktifkan penyimpanan sertifikat untuk memperpanjang sertifikat secara otomatis dan mengurangi intervensi manual.
Sertifikat pihak ketiga: Tetapkan proses pembaruan rutin dan tetapkan tanggung jawab untuk memastikan perpanjangan tepat waktu.
Nonaktifkan akses HTTPS
Jika Anda tidak lagi memerlukan akses terenkripsi HTTPS, nonaktifkan dengan cara berikut:
Nama domain kustom OSS
Buka halaman Buckets. Klik bucket target. Di panel navigasi sebelah kiri, klik .
Klik ikon hapus di sebelah Certificate Details untuk nama domain target. Klik OK.
Nama domain akselerasi CDN
Untuk menghindari gangguan akses, pertama-tama kembalikan tipe pengalihan protokol ke pengaturan default dan nonaktifkan fitur HSTS sebelum menonaktifkan HTTPS.
Buka Konsol CDN. Klik nama domain akselerasi target. Klik HTTPS. Di sebelah SSL Certificate, klik Modify.
Nonaktifkan HTTPS Secure Acceleration. Klik OK.
Penerapan di produksi
Optimasi performa
Browser modern dan CDN secara luas mendukung HTTP/2. Dibandingkan HTTP/1.1, HTTP/2 menawarkan keunggulan seperti multiplexing dan kompresi header. Dalam konfigurasi CDN Anda, aktifkan HTTP/2 dan kompresi Gzip untuk mengoptimalkan efisiensi transmisi sekaligus menjaga keamanan.
Mitigasi risiko
Mekanisme sertifikat cadangan: Siapkan Sertifikat SSL cadangan untuk menangani kegagalan sertifikat utama atau masalah CA. Untuk sistem bisnis kritis, gunakan sertifikat dari CA berbeda sebagai cadangan. Lakukan pergantian cepat jika sertifikat utama gagal.
Kebijakan fallback HTTP: Saat terjadi masalah sertifikat parah yang tidak dapat diselesaikan, ikuti prosedur darurat standar untuk mengizinkan akses HTTP sementara. Tingkatkan pemantauan untuk mendeteksi dan memperbaiki masalah secara cepat.
Penagihan
Setelah Anda mengaktifkan HTTPS di CDN, Anda akan ditagih berdasarkan jumlah permintaan HTTPS statis. Untuk informasi lebih lanjut, lihat Static HTTPS Requests.
FAQ
Setelah saya mengonfigurasi Sertifikat SSL, mengapa browser saya masih menampilkan pesan 'tidak aman' atau 'kesalahan sertifikat'?
Jika peringatan keamanan tetap muncul setelah konfigurasi, lakukan pemecahan masalah sebagai berikut:
Periksa lokasi konfigurasi: Pastikan apakah akselerasi CDN diaktifkan untuk domain akses. Jika ya, konfigurasikan Sertifikat HTTPS di Konsol CDN. Penyimpanan sertifikat di Konsol OSS tidak akan berlaku.
Bersihkan cache browser: Browser Anda mungkin telah menyimpan status sertifikat lama. Coba bersihkan cache browser dan akses situs kembali.
Tunggu konfigurasi berlaku: Konfigurasi HTTPS CDN atau penyimpanan sertifikat OSS memerlukan waktu untuk diterapkan.
Periksa integritas rantai sertifikat: File sertifikat yang dikeluarkan oleh CA perantara berisi beberapa sertifikat. Gabungkan sertifikat server dengan sertifikat perantara untuk membentuk rantai sertifikat lengkap sebelum mengunggah. Otoritas Sertifikat biasanya menyediakan petunjuk untuk penggabungan ini. Tinjau dokumentasi terkait dengan cermat.
Bagaimana cara menangani pengecualian sertifikat saat mengakses OSS melalui HTTPS?
Anda dapat menggunakan metode yang sesuai berdasarkan jenis pengecualian sertifikat:
Sertifikat belum dikonfigurasi: Browser menampilkan kesalahan
NET::ERR_SSL_PROTOCOL_ERROR. Hal ini mungkin menunjukkan bahwa sertifikat tidak tersedia atau dikonfigurasi di lokasi yang salah (misalnya, menggunakan penyimpanan sertifikat di OSS saat akselerasi CDN diaktifkan). Konfigurasi ulang HTTPS menggunakan langkah-langkah di Aktifkan akses HTTPS.Sertifikat kedaluwarsa: Browser menampilkan kesalahan
NET::ERR_CERT_DATE_INVALID. Ikuti langkah-langkah di Perbarui sertifikat untuk mengonfigurasi ulang.Ketidaksesuaian sertifikat: Browser menampilkan kesalahan
NET::ERR_CERT_COMMON_NAME_INVALID. Domain akses tidak termasuk dalam daftar domain sertifikat (misalnya, Anda mengaksescdn.example.comtetapi sertifikat diikat keoss.example.com). Konfigurasikan sertifikat yang benar untuk domain akses.
Mengapa saya tidak dapat menemukan sertifikat target saya di daftar drop-down saat memilih sertifikat?
Ketidaksesuaian sertifikat dan nama domain: Sistem hanya menampilkan sertifikat yang sesuai dengan domain yang sedang Anda konfigurasikan. Misalnya, saat mengonfigurasi sertifikat untuk
oss.example.com, Anda tidak dapat memilih sertifikat yang diterbitkan untukcdn.example.com.Sertifikat tidak berada di bawah akun saat ini: Unggah sertifikat di halaman SSL Certificate Management.
Ketidaksesuaian tingkat sertifikat wildcard: Sertifikat wildcard hanya mendukung subdomain pada tingkat yang sama. Misalnya,
*.example.comdapat sesuai denganwww.example.comdanoss.example.com, tetapi tidak dengancdn.oss.example.com.
Saat saya mengonfigurasi Sertifikat HTTPS di CDN, muncul pesan bahwa format sertifikat salah. Bagaimana cara mengonversi formatnya?
Konfigurasi HTTPS CDN hanya mendukung sertifikat dalam format PEM. Jika sertifikat tidak dalam format PEM, lihat Certificate Formats. Ikuti petunjuk dalam dokumen tersebut untuk mengonversi format sebelum mengunggah.