Alibaba Cloud CDN を使用して OSS バケット内の静的アセットを高速化する際に、静的ウェブサイトホスティングとプライベートバケットの Back-to-Origin 機能の両方を有効にすると、アクセスエラーが発生する可能性があります。このトピックでは、この問題の解決方法について説明します。
背景
- OSS 静的ウェブサイトホスティング：静的ウェブサイトホスティング。
- プライベート OSS バケットの Back-to-Origin：プライベートバケットの Back-to-Origin。
問題
この問題は、OSS バケットがプライベートに設定され、静的ウェブサイトホスティングが有効になっており、かつ Alibaba Cloud CDN でプライベートバケットの Back-to-Origin が有効になっている場合に発生します。
ユーザーが
https://example.com/ にアクセスしてデフォルトホームページの https://example.com/index.html を表示しようとすると、Alibaba Cloud CDN PoP (Point of Presence) は 403 Forbidden エラーとメッセージ You don't have permission to access the URL on this server を返します。ブラウザの開発者ツールには、レスポンスヘッダー x-tengine-error: You are forbidden to list buckets が表示されます。
403 Forbidden
You don't have permission to access the URL on this server.
Powered by Tengine
Response Headers
content-type: text/html
date: Sun, 01 Mar 2020 01:31:13 GMT
eagleid: xxx
server: xxx
status: 403
timing-allow-origin: *
via: cache51.l2cn2302[,0], kunlun7.cn250[9,403-1280,M], kunlun2.cn250[12,0]
x-cache: MISS TCP_MISS dirn:-2:-2
x-swift-cachetime: 1
x-swift-error: orig response 4XX error
x-swift-savetime: Sun, 01 Mar 2020 01:31:13 GMT
x-tengine-error: You are forbidden to list buckets
Request Headers
:authority: xxx.xxx.com原因
Alibaba Cloud CDN のプライベートバケットの Back-to-Origin 機能が、OSS 静的ウェブサイトホスティングのデフォルトホームページ設定と競合します。
説明 OSS バケットの静的ウェブサイトホスティングを設定する際、
index.html などのデフォルトホームページを指定する必要があります。匿名ユーザーが https://example.com/ などのウェブサイトドメインにアクセスすると、OSS は自動的に https://example.com/index.html などのデフォルトホームページを提供します。しかし、Alibaba Cloud CDN でプライベートバケットの Back-to-Origin を有効にすると、CDN から OSS への Back-to-Origin リクエストは、ルートディレクトリにアクセスするための認証済みリクエストになります。匿名リクエストとは異なり、OSS はデフォルトホームページを自動的に提供しません。その代わり、OSS はこのリクエストをバケットのコンテンツを一覧表示しようとする試みとして解釈しますが、この試みはプライベートバケットではデフォルトで拒否されます。これにより、「You are forbidden to list buckets」エラーが発生します。解決策
- 解決策1：静的ウェブサイトホスティング機能が不要な場合は、OSS バケットでこの機能を無効にしてください。手順については、「静的ウェブサイトホスティング」をご参照ください。
- 解決策2：静的ウェブサイトホスティングが必要な場合は、Alibaba Cloud CDN で URI 書き換えルールを設定してください。これにより、Alibaba Cloud CDN がルートディレクトリをターゲットとする Back-to-Origin リクエストを送信するのを防ぎます。
ルールを設定するには、書き換えのパス を
^/$に設定してルートディレクトリへのリクエストを照合し、変更後のパス を/index.htmlに設定し、フラグ を [リダイレクト] に設定します。ルール設定後、クライアントがwww.example.com/をリクエストすると、Alibaba Cloud CDN PoP は 302 リダイレクトを返し、クライアントにwww.example.com/index.htmlをリクエストするよう指示します。詳細な手順については、「アクセスURLの書き換え」をご参照ください。