概要
Alibaba Cloud Object Storage Service (OSS) では、HTTP および HTTPS のいずれでもバケット内のリソースにアクセスできます。HTTP はセキュリティリスクにさらされやすいため、OSS リソースへのアクセスには HTTPS を使用することを推奨します。
方法
ご利用の環境に応じて、以下のいずれかの方法で OSS リソースに HTTPS 経由でアクセスしてください。
-
インスタンスの構成やデータの変更など高リスク操作を実行する前に、ご利用のインスタンスが十分なディザスタリカバリおよびフォールトトレランス機能を備えていることを確認し、データを保護してください。
-
ECS インスタンスや ApsaraDB RDS インスタンスなど、インスタンスの構成またはデータを変更する前に、スナップショットを作成するか、ApsaraDB RDS のログバックアップなどの機能を有効にしてください。
-
Alibaba Cloud 管理コンソールでユーザー名やパスワードなどの機密情報を入力済みの場合、または権限を付与済みの場合は、速やかに変更してください。
OSS 提供のドメイン名を使用する
OSS では HTTPS アクセスをサポートするドメイン名を提供しています。これらのドメイン名を確認するには、OSS コンソール にログインします。左側のナビゲーションウィンドウで [Buckets] をクリックし、対象のバケット名をクリックします。[概要] ページの [ポート] セクションで、バケットのドメイン名とその HTTPS サポート状況を確認できます。
URL にアクセスした際、ブラウザのアドレスバーにロックアイコンが表示されれば、アクティブな HTTPS 接続が確立されています。ロックアイコンをクリックすると証明書情報を確認できます。\*.oss.aliyuncs.com に対して有効な証明書が発行されていれば、HTTPS アクセスは正しく設定されています。
OSS 提供のドメイン名には制限があります。画像や静的 HTML などのコンテンツにこれらのドメイン名を使ってアクセスすると、ブラウザ上に表示されるのではなく、リソースが直接ダウンロードされます。この動作を回避するには、カスタムドメイン名をバケットにマッピングすることを推奨します。
カスタムドメイン名をバケットにマッピングする
カスタムドメイン名をバケットにマッピングできます。詳細については、「カスタムドメイン名のマッピング」をご参照ください。また、マッピングしたドメイン名に対して証明書ホスティングを有効にすることで、HTTPS 経由でのアクセスをサポートできます。詳細については、「HTTPS 経由での OSS アクセス」をご参照ください。
バケットへのすべてのリクエストを強制的に HTTPS にするには、バケットポリシーを設定してください。詳細については、「HTTPS リクエストと証明書の設定」をご参照ください。
Alibaba Cloud CDN を使用して OSS アクセスを高速化する
Alibaba Cloud CDN は HTTPS をサポートしています。CDN ドメイン名に証明書を設定することで、OSS リソースへのアクセスを高速化できます。
-
OSS バケットに CDN ドメイン名をマッピングする方法については、「CDN ドメイン名のマッピング」をご参照ください。
-
CDN ドメイン名に HTTPS 証明書を設定する方法については、「HTTPS 証明書の設定」をご参照ください。
リバースプロキシを設定する
ECS インスタンスに NGINX をインストールし、リバースプロキシを設定することで HTTPS アクセスを有効にできます。詳細については、「CentOS 上での OSS 向け ECS リバースプロキシの設定」をご参照ください。
HTTPS アクセスの問題をトラブルシューティングする
HTTPS 経由で OSS リソースにアクセスする際に問題が発生した場合は、以下の方法でトラブルシューティングを行ってください。
-
ブラウザ上で、使用しているドメイン名と証明書が一致していることを確認します。特に OSS 提供のドメイン名や CDN ドメイン名を使用している場合、不一致がないか注意してください。
-
ブラウザに接続が終了した旨のエラーメッセージが表示される場合は、そのドメイン名に HTTPS 証明書が設定されているか確認してください。その後、
telnetコマンドを使用してポート 443 への接続性をテストします。
参照
HTTPS 経由で特定のリソースへのアクセスをユーザーに許可する方法については、「バケットポリシーを使用した指定リソースへのユーザーアクセス許可」をご参照ください。