CDN:プライベート OSS バケットからのオリジンフェッチ

仕組みと利点

• 仕組み：この機能を有効にすると、CDN または DCDN がプライベート OSS バケットにオリジンフェッチリクエストを送信する際に、リクエストヘッダーに Authorization フィールドが自動的に追加されます。このフィールドの値は、STS 一時トークンや AccessKey などの認可された ID 情報から生成された有効な署名です。OSS はこの署名を使用してリクエストを認証します。

• 安全なアクセス：CDN または DCDN に限定的な読み取り専用権限を付与することで、オリジンフェッチリクエストの正当性を確保し、プライベートバケットを公開することによるセキュリティリスクを回避します。

• コストの最適化：エンドユーザーのリクエストは CDN キャッシュから提供されるため、OSS から直接提供するよりもコスト効率が高くなります。CDN または DCDN から OSS へのオリジンフェッチトラフィックは、より高価な OSS のアウトバウンドインターネットトラフィックとしてではなく、より安価な CDN オリジンフェッチトラフィックとして課金されます。これにより、全体的なコストが削減されます。詳細については、「CDN で高速化された OSS リソースの課金」をご参照ください。

操作手順

設定には 2 つのステップがあります。まず、アカウントに 1 回限りの権限を付与し、次に特定の高速化ドメイン名に対してこの機能を有効にします。

1. CDN または DCDN に OSS へのアクセスを権限付与します。アカウント内のドメイン名でこの機能を有効にする前に、CDN または DCDN に OSS へのアクセス権限を付与する必要があります。これは 1 回限りのアカウントレベルの操作です。権限付与を求められない場合は、次のステップに進んでください。

   (推奨) ワンクリック認可

   1. CDN コンソールにログインします。

   2. 左側のナビゲーションウィンドウで、ドメイン名 をクリックします。

   3. ドメイン名 ページで、管理するドメイン名を見つけ、[操作] 列の 管理 をクリックします。

   4. ドメイン名の設定ページの左側のナビゲーションウィンドウで、Back-to-Origin 設定 をクリックします。

   5. OSS 非公開バケットへのアクセス セクションで、権限付与 をクリックします。表示される確認ダイアログボックスで、[権限付与] をクリックします。

      [ロール権限] 行には、CDN サービスが OSS バケットへのアクセスを許可されていないことが示されます。[ステータス] スイッチはデフォルトでオフになっています。

   (代替) RAM を使用した手動認可

   1. Resource Access Management (RAM) コンソールにログインします。

   2. 左側のナビゲーションウィンドウで、[権限] > [ポリシー] の順に選択します。

   3. [ポリシー] ページで、[ポリシーの作成] をクリックします。

   4. [スクリプトエディター] タブで、次のポリシー内容を入力します。

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "oss:List*",
                   "oss:Get*"
               ],
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }

   5. OK をクリックします。[ポリシーの作成] ページで、次の情報を入力し、OK をクリックします。

   6. ポリシー名：AliyunCDNAccessingPrivateOSSRolePolicy

   7. 備考：CDN または DCDN がプライベート OSS バケットからオリジンフェッチを実行できるようにするロールの権限付与ポリシーです。このポリシーは OSS への読み取り専用権限を付与します。

   左側のナビゲーションウィンドウで、[ID] > [ロール] の順に選択します。

   1. [ロール] ページで、[ロールの作成] をクリックします。

   2. [信頼できるプリンシパルタイプ] を [クラウドアカウント] に設定し、[信頼できるプリンシパル名] として [現在のクラウドアカウント] を選択して、OK をクリックします。

   3. [ロールの作成] ステップで、次の情報を入力します。

   4. ロール名：AliyunCDNAccessingPrivateOSSRole

   ロールが作成されたら、[ロール] ページの一覧で AliyunCDNAccessingPrivateOSSRole を見つけてクリックし、ロールの詳細ページを開きます。

   1. [信頼ポリシー] タブで、[信頼ポリシーの編集] をクリックし、次の内容を入力してから OK をクリックします。

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "Service": [
             "cdn.aliyuncs.com"
           ]
         }
       }
     ],
     "Version": "1"
   }

   2. [権限] タブに切り替えます。権限付与 タブで、[権限の追加] をクリックします。

   3. リソース範囲：アカウントレベル

   4. プリンシパル：作成した AliyunCDNAccessingPrivateOSSRole ロールを選択します。

   5. ポリシー：[カスタムポリシー] を選択し、作成した AliyunCDNAccessingPrivateOSSRolePolicy ポリシーを選択してから、[新しい権限の確認] をクリックします。

   [新しい権限の確認] をクリックした後、CDN コンソールの Back-to-Origin 設定 ページに戻ります。OSS 非公開バケットへのアクセス 機能が権限付与されていることを確認できます。

2. OSS 非公開バケットへのアクセス を有効にし、オリジンタイプを設定します。

   1. OSS 非公開バケットへのアクセス セクションで、スイッチをオンにします。

   2. 表示される OSS 非公開バケットへのアクセス ダイアログボックスで、オリジンタイプを選択し、確定 をクリックします。

      オリジンタイプ	説明
      同一アカウント内のバケット	(推奨) CDN または DCDN サービスと OSS バケットが同じ Alibaba Cloud アカウントに属する場合にこのオプションを使用します。システムは STS 一時トークンを使用して認証するため、設定が簡素化され、キー管理が不要になり、セキュリティが向上します。 STS 一時トークンを使用して、アカウント間のオリジンフェッチを行うこともできます。詳細については、「STS を使用して別のアカウントのプライベート OSS バケットにアクセスする」をご参照ください。
      アカウント間または同一アカウント内のバケット	CDN または DCDN サービスと OSS バケットが異なる Alibaba Cloud アカウントに属する場合にこのオプションを使用します。このオプションは、同一アカウントのシナリオもサポートします。プライベート OSS バケットを所有するアカウントの AccessKey ID と AccessKey シークレットを提供する必要があります。詳細については、「AccessKey の作成」をご参照ください。

      説明

      • アクセス範囲：この機能を有効にすると、高速化ドメイン名はオリジンのプライベートバケット内のすべてのリソースにアクセスできます。CDN または DCDN を使用して、バケット内の特定のリソースへのアクセスを制限することはできません。

      • 署名の競合：OSS の認証失敗を防ぐため、オリジンフェッチリクエストにリクエストヘッダーと URL パラメーターの両方に署名が含まれていないことを確認してください。

      • 機能の競合：この機能は、OSS の静的 Web サイトホスティング機能のデフォルトのインデックスページ設定と競合します。両方の機能を同時に使用する必要がある場合は、「関連ドキュメント」をご参照ください。

セキュリティに関する推奨事項

プライベートバケットからのオリジンフェッチを有効にすると、オリジンデータは安全になります。ただし、CDN POP にキャッシュされたリソースは、デフォルトでパブリックアクセス可能です。トラフィックの盗用を防ぐには、CDN または DCDN の追加のセキュリティ機能を使用してください。

• Referer ブラックリストまたはホワイトリストの設定：特定の Web サイトからのリクエストに CDN リソースへのアクセスを制限します。

• URL 署名の設定：リソース URL に動的な署名と有効期限を設定して、悪意のあるダウンロードを効果的に防止します。

プライベート OSS バケットのオリジンフェッチの無効化

高速化ドメイン名がプライベートバケット内のリソースにアクセスする必要がなくなった場合は、Resource Access Management (RAM) コンソールに移動して、対応するロールの権限を取り消すことができます。これにより、CDN がプライベート OSS バケットにアクセスすることを許可する権限が取り消されます。

1. CDN コンソールで機能を無効にします。

   1. CDN コンソールにログインします。

   2. 左側のナビゲーションウィンドウで、ドメイン名 をクリックします。

   3. ドメイン名 ページで、管理するドメイン名を見つけ、[操作] 列の 管理 をクリックします。

   4. 左側のナビゲーションウィンドウで、Back-to-Origin 設定 をクリックします。

   5. OSS 非公開バケットへのアクセス セクションで、OSS 非公開バケットへのアクセス スイッチをオフにします。

2. RAM コンソールで権限を完全に削除します。

   1. RAM コンソールにログインします。

   2. 左側のナビゲーションウィンドウで、を選択します。

   3. [ロール名] リストで、AliyunCDNAccessingPrivateOSSRole ロールをクリックします。

      ロールの詳細ページで、[権限] タブに移動します。権限が付与されたシステムポリシーを表示できます。これには、「CDN/DCDN がプライベート OSS バケットからオリジンフェッチを実行し、OSS への読み取り専用権限を付与するロールの権限付与ポリシー」という備考があります。リソース範囲はアカウントレベルです。[操作] 列には [権限の取り消し] リンクがあり、ページの右上隅に [ロールの削除] ボタンがあります。

   4. AliyunCDNAccessingPrivateOSSRole ロールからすべての権限を削除します。

      1. ポリシーの [権限の取り消し] をクリックします。

      2. 表示される確認ダイアログボックスで、[権限の取り消し] をクリックします。

   5. ページに戻り、AliyunCDNAccessingPrivateOSSRole ロールを削除します。

      1. AliyunCDNAccessingPrivateOSSRole ロールを見つけ、[操作] 列の [ロールの削除] をクリックします。

      2. [ロールの削除] 確認ダイアログボックスで、[ロールの削除] をクリックします。

   6. ページに戻り、AliyunCDNAccessingPrivateOSSRolePolicy ポリシーを削除します。

      1. AliyunCDNAccessingPrivateOSSRolePolicy ポリシーを見つけ、[操作] 列の [ポリシーの削除] をクリックします。

      2. [ポリシーの削除] 確認ダイアログボックスで、ポリシー名を入力し、[ポリシーの削除] をクリックします。

よくある質問

関連ドキュメント

CDN を使用して OSS リソースへのアクセスを高速化するためのベストプラクティス