OSS アクセスドメインとネットワーク接続の概要 (ドメイン設定、アクセラレーション、セキュリティ、プロキシ) - Object Storage Service

Object Storage Service (OSS) は、ドメイン設定、パフォーマンス最適化、セキュリティ、専用アクセスのためのネットワークアクセスソリューションを提供します。これらのソリューションにより、効率的で安定した安全なストレージアクセスアーキテクチャを構築できます。

クイック選択

カテゴリ	シナリオ	推奨ソリューション
基本アクセス	各リージョンのエンドポイントと内部 VIP CIDR ブロックの確認。	リージョンとエンドポイント
	パブリック、内部、転送アクセラレーションなど、さまざまなドメインタイプの形式と使用方法の確認。	エンドポイントとバケットドメイン名を使用した OSS へのアクセス
	オンラインでのファイルプレビューの有効化と、ブランドアイデンティティの一貫性の維持。	カスタムドメイン名を使用した OSS へのアクセス
パフォーマンス最適化	画像、音声、動画、ドキュメントなどの静的アセットの全世界配信の高速化。	CDN アクセラレーションを使用した OSS へのアクセス
パフォーマンス最適化	長距離、クロスリージョンのデータアップロードとダウンロードの高速化。	転送アクセラレーションを使用した OSS へのアクセス
セキュリティ	カスタムドメイン名に対する HTTPS 暗号化の有効化。	HTTPS 経由での OSS へのアクセス
	VPC と OSS 間の、安全で分離されたプライベート接続の確立。	PrivateLink を使用したプライベートネットワーク経由での OSS へのアクセス
	不正な Web サイトによるリソースの無断利用と、高額なトラフィックコスト発生の防止。	ホットリンク保護
専用アクセス	静的 IP アドレス経由での OSS へのアクセス。	ECS リバースプロキシを使用した OSS へのアクセス
専用アクセス	同一バケットに対する、アプリケーションまたはチームごとのきめ細かな権限の付与。	アクセスポイント
Web アプリケーション	バケット内の静的ファイルの Web サイトとしての公開。	静的ウェブサイトホスティング
Web アプリケーション	ブラウザでの OSS リソース読み込み時における、クロスオリジンリソースアクセス問題の解決。	CORS 設定

ドメイン名の種類

OSS は、ネットワーク環境とパフォーマンス要件に基づいて、さまざまな種類のアクセスドメイン名を提供します。各ドメイン名タイプの形式、使用例、切り替え方法については、「エンドポイントとバケットドメイン名を使用した OSS へのアクセス」をご参照ください。各リージョンに対応するエンドポイントについては、「リージョンとエンドポイント」をご参照ください。

重要

コンプライアンスとセキュリティを向上させるためのポリシー変更により、2025 年 3 月 20 日以降、新規 OSS ユーザーは、中国本土リージョンにある OSS バケットでデータ API オペレーションを実行するために、カスタムドメイン名 (CNAME) を使用する必要があります。これらの操作では、デフォルトのパブリックエンドポイントの使用が制限されます。影響を受ける操作の完全なリストについては、公式発表をご参照ください。HTTPS 経由でデータにアクセスする場合は、有効な SSL 証明書をカスタムドメインにバインドする必要があります。コンソールでは HTTPS が強制されるため、これはOSS コンソールへのアクセスに必須です。

ドメイン名タイプ	ユースケース	課金	有効化が必要
パブリックアクセスドメイン名	Web アプリケーションおよびモバイルクライアントからのパブリックアクセス。	パブリックネットワークのアウトバウンドトラフィックに対して課金されます。	デフォルトで使用できます。
内部アクセスドメイン名	Alibaba Cloud ネットワーク内からのアクセス (例：ECS から OSS)。	内部トラフィックは無料です。	デフォルトで使用できます。
転送アクセラレーションドメイン名	クロスリージョンおよび国際間の高速アップロード/ダウンロード。	アウトバウンドトラフィック料金に加えて、転送アクセラレーション料金が発生します。	転送アクセラレーション機能を有効にする必要があります。
デュアルスタックドメイン名	IPv6 ネットワーク環境から OSS にアクセスします。	パブリックネットワークのアウトバウンドトラフィックに対して課金されます。	一部のリージョンでサポートされています。
CNAME ドメイン名	カスタムドメイン名をマッピングする際の DNS 解決に使用します。	パブリックネットワークのアウトバウンドトラフィックに対して課金されます。	カスタムドメイン名のマッピングと CNAME レコードの設定が必要です。

同一リージョン内の ECS インスタンスは、oss-cn-hangzhou-internal.aliyuncs.com などの内部ドメイン名を使用して OSS に直接接続できます。このトラフィックは Alibaba Cloud の内部ネットワークを経由し、パブリックインターネットを通過しないため、アウトバウンドデータ転送料金は発生しません。クラシックネットワークおよび VPC の ECS インスタンスはいずれも、同じ内部エンドポイントを使用して OSS にアクセスできます。この内部トラフィックはパブリックインターネットを回避し、アウトバウンドデータ転送料金は発生しません。リージョンをまたいで OSS にアクセスするには、パブリックネットワークまたは Cloud Enterprise Network (CEN) を使用する必要があります。

重要

OSS バケットドメイン名で HTML や画像などのファイルにアクセスすると、ブラウザでダウンロードが強制されます。ファイルプレビューを有効にするには、カスタムドメイン名を使用して OSS にアクセスする必要があります。カスタムドメイン名は、パブリックアクセスドメイン名、転送アクセラレーションドメイン名、アクセスポイントドメイン名、またはオブジェクト FC アクセスポイントドメイン名にマッピングできます。バケットが中国本土にある場合、マッピングするドメイン名には ICP 申請が必要です。

パフォーマンス最適化

CDN アクセラレーションと転送アクセラレーションは、異なるシナリオでパフォーマンスを最適化します。個別に使用することも、組み合わせて使用することもできます。

観点	CDN アクセラレーション	転送アクセラレーション
仕組み	世界中のエッジノードに静的リソースをキャッシュし、最寄りのロケーションからユーザーリクエストに応答します。	Alibaba Cloud のバックボーンネットワーク上でインテリジェントルーティングを使用し、データ転送パスを最適化します。
ユースケース	画像、音声、動画、ドキュメントのダウンロードなど、静的アセットの頻繁な読み取り。	長距離、クロスリージョン、国際間のデータアップロード/ダウンロード。
アップロードのサポート	アップロードには推奨されません。	高速化されたアップロードがサポートされています。
課金	CDN 料金 + OSS CDN back-to-origin トラフィック	アウトバウンドトラフィック料金 + 転送アクセラレーション料金
組み合わせ利用	CDN のオリジンフェッチに転送アクセラレーションドメイン名を使用するように設定します。これにより、CDN のエッジキャッシュとバックボーンネットワークアクセラレーションを組み合わせたデュアルアクセラレーションアーキテクチャを構築できます。

セキュリティ

HTTPS

OSS バケットドメイン名は、追加設定なしでデフォルトで HTTPS アクセスをサポートします。カスタムドメイン名を使用して OSS にアクセスする場合は、そのドメイン名に SSL 証明書を設定する必要があります。CDN が有効でない場合は、OSS コンソールでバケットにマッピングされたカスタムドメイン名に対して 証明書をアップロード を設定します。CDN が有効な場合は、CDN コンソールで CDN ドメイン名に対して HTTPS 証明書 を設定します。本番環境では、HTTP リクエストをすべて拒否するバケットポリシーを使用して HTTPS アクセスを強制することを推奨します。Alibaba Cloud の SSL 証明書は、証明書ホスティングによる自動更新をサポートしています。詳細については、「HTTPS 経由での OSS へのアクセス」をご参照ください。

PrivateLink

PrivateLink は、Virtual Private Cloud (VPC) 内に OSS 用の専用プライベートエンドポイントを作成します。すべてのトラフィックはパブリックインターネットではなく Alibaba Cloud のバックボーンネットワークを経由してルーティングされます。これにより、デフォルトの OSS 内部アクセスドメイン名よりも強力なセキュリティ分離を実現します。

機能	内部ドメイン	PrivateLink
攻撃対象領域	すべての VPC に公開されるパブリックサービスのエントリポイント。	エントリポイントが VPC 内にあるため、他の VPC からの検出やアクセスを防止できます。
ネットワークレベルの制御	セキュリティグループで制御できません。	セキュリティグループを関連付けることで、送信元 IP によるアクセス制御をきめ細かく設定できます。
監査機能	成功したリクエストのみをログに記録します。	VPC フローログをサポートし、すべての接続試行を監査できます。
IP 計画	100.64.0.0/10 CIDR ブロックを使用するため、オンプレミスデータセンターと競合する可能性があります。	VPC の CIDR ブロックから IP アドレスを使用するため、独自の IP 計画に沿った運用が可能です。

SSL-VPN または Express Connect 回線でオンプレミスのデバイスやデータセンターを VPC に接続し、PrivateLink 経由で OSS にアクセスできます。詳細については、「PrivateLink を使用したプライベートネットワーク経由での OSS へのアクセス」をご参照ください。

ホットリンク保護

他の Web サイトが OSS リソースをホットリンクし、トラフィックコストが増加する場合は、Referer ベースのブラックリストとホワイトリストを設定してアクセスを制御できます。OSS は、次の優先順位でアクセス制御を適用します：empty Referer check > blacklist check > whitelist check。ホットリンク保護は、匿名アクセスと署名付き URL にのみ適用されます。この制限は、AccessKey で署名された API 呼び出しには適用されません。OSS に CDN アクセラレーションを使用する場合は、CDN レイヤーでもホットリンク保護ルールを設定する必要があります。設定しない場合、ホットリンクのリクエストが CDN キャッシュにヒットして OSS の検証をバイパスする可能性があります。詳細については、「ホットリンク保護」をご参照ください。

専用アクセス

ECS リバースプロキシ

OSS は DNS 解決により動的 IP アドレスを提供します。このため、ファイアウォールのホワイトリスト登録や特定のシステムとの統合が複雑になる場合があります。静的なパブリック IP アドレスを持つ ECS インスタンスに Nginx リバースプロキシをデプロイし、リクエストを OSS に転送できます。これにより、固定 IP アドレスを介して OSS リソースにアクセスできます。本番環境では、複数のアベイラビリティーゾーンにまたがる ECS インスタンスグループと Server Load Balancer (SLB) を使用した高可用性アーキテクチャを推奨します。詳細については、「ECS リバースプロキシを使用した OSS へのアクセス」をご参照ください。

アクセスポイント

アクセスポイントは、バケット用の専用エントリポイントを提供します。異なる権限レベルを持つ複数のアプリケーションやチームが同一バケットにアクセスする必要がある場合、それぞれに個別のアクセスポイントを作成できます。これにより、単一のバケットポリシーに複雑なルールを作り込むことなく、アクセスポイントポリシーを使用して権限を個別に管理できます。各アクセスポイントには、独自のエイリアス、アクセスポリシー、およびネットワークオリジン設定 (パブリックインターネットまたは指定した VPC) があります。3 層ポリシーモデルにおいて、RAM ポリシーおよびバケットポリシーと組み合わせたフェデレーション認証をサポートします。詳細については、「アクセスポイント」をご参照ください。

Web アプリケーション

静的ウェブサイトホスティング

OSS を使用すると、バケット内の静的ファイル (HTML、CSS、JavaScript など) を、サーバーの保守なしで、パブリックにアクセス可能な Web サイトとして直接公開できます。デフォルトのホームページ、サブディレクトリのホームページ、カスタム 404 エラーページを設定できます。また、404 ページを index.html に設定し、エラーレスポンスコードを 200 に設定することで、シングルページアプリケーション (SPA) のルーティングもサポートします。詳細については、「静的ウェブサイトホスティング」をご参照ください。

重要

OSS バケットドメイン名を使用して HTML ファイルにアクセスすると、ブラウザでダウンロードが強制されます。通常の Web ブラウジングを有効にするには、カスタムドメイン名をマッピングする必要があります。

CORS 設定

ウェブサイトが OSS からリソースを読み込むと、ブラウザが blocked by CORS policy エラーを報告することがあります。これは、オリジン間リソースアクセスを制限するブラウザの同一オリジンポリシーが原因です。バケットに ソース、許可されたメソッド、許可されたヘッダー などの CORS ルールを設定することで、指定したウェブサイトによる OSS リソースへのアクセスを承認できます。複数のソースまたはワイルドカードを使用する場合は、キャッシュ汚染を防ぐために Vary: Origin を有効にします。バケットで CDN アクセラレーションを使用している場合は、CDN コンソールでオリジン間ルールを設定するか、CDN が OSS からの CORS レスポンスヘッダーをパススルーするように設定する必要があります。詳細については、「CORS の設定」をご参照ください。

よくある質問

署名なし URL を使用してオブジェクトに長期間アクセスするにはどうすればよいですか？

次のいずれかの方法があります：

オブジェクト ACL を公開読み取りに設定：誰でも制限なくオブジェクトにアクセスできます。不正利用による追加コストを防ぐため、アクセス元を制限するホットリンク保護を必ず設定してください。
CDN アクセラレーションを使用した OSS へのアクセス：オブジェクトの権限をプライベートのままにし、CDN のプライベートバケット back-to-origin 機能を有効にしてパブリックアクセスを提供します。CDN は、より優れたアクセスパフォーマンスとキャッシュを提供します。不正利用を防ぐため、CDN レイヤーでホットリンク保護ルールを設定する必要があります。

アップロードまたはダウンロードが遅い場合はどうすればよいですか？

OSS の転送速度は、クライアントのネットワーク帯域幅、リンク品質、転送戦略に依存します。次のガイドラインに従ってトラブルシューティングと最適化を行ってください。

帯域幅とリンク品質：現在の帯域幅がバケットの帯域幅制限を超えていないことを確認します。MTR ツールを使用して、パケット損失、高遅延、ルーティング異常などのネットワークリンクの状態を分析します。国境を越える転送や長距離転送では、転送アクセラレーションを有効にすることを推奨します。
ツールの選択: 大容量または多数のファイルを転送するには、ossutil を使用します。その probe コマンドを使用して、現在のネットワークステータスを確認できます。
SDK のチューニング：大きなファイルでは、常にマルチパートアップロードと再開可能なアップロードを使用してください。パートサイズ (part_size) と同時スレッド数 (num_threads) を適切に設定します。ネットワークが良好な場合は、パートサイズを増やしてリクエスト数を減らします。クライアントの初期化時に CRC64 検証を無効化し (例：Python では enable_crc=False を設定)、整合性チェックには Content-MD5 リクエストヘッダーを使用できます。これにより、データセキュリティを確保しながら転送パフォーマンスを向上できます。

ネットワークエラーが発生した場合はどうすればよいですか？

リクエストが OSS に到達している場合 (レスポンスに Request ID が含まれる場合)、Request ID を取得し、OSS セルフサービス診断ツールを使用してチェックを実行します。

リクエストが OSS に到達していない場合 (Request ID が空の場合)、エラータイプに基づいてトラブルシューティングを行います。

エラータイプ	主な原因	解決策
Connection refused	ポートがブロックされている、またはリージョンをまたぐアクセスに内部エンドポイントを使用している。	正しいパブリックエンドポイントを使用してください。`ping` と `telnet` を使用して、ファイアウォールルールとネットワーク接続を確認してください。
ConnectionTimeout	ネットワーク状態が悪い、またはタイムアウト設定が短い。	SDK の接続および読み取りタイムアウトを増やし、リトライメカニズムを有効にしてください。大きなファイルでは、安定性を高めるためにマルチパートアップロードと再開可能なアップロードを使用してください。CDN アクセラレーションまたは転送アクセラレーションの使用を検討してください。
Socket timeout / closed	接続がタイムアウトした、または予期せずクローズされた。	SDK のソケットタイムアウト設定を増やしてください (例：Java SDK の `ClientConfiguration.setSocketTimeout`)。
Connection reset	エンドポイント設定が正しくない、またはバケットにセキュリティ制限がある。	次の順序でトラブルシューティングを行ってください：1. `ping` または Alibaba Kunlun Diagnostic Tool でネットワーク接続を確認してください。2. エンドポイントに正しいプロトコルプレフィックス (`http://` または `https://`) が含まれていることを確認してください。3. セキュリティ上の理由でバケットが OSS sandbox に移されていないことを確認してください。4. Wireshark でパケットをキャプチャし、Technical Support にお問い合わせください。

SDK アップロード後に生成される URL に oss- プレフィックスがない場合はどうすればよいですか？

エンドポイントに oss- プレフィックスが含まれていない状態で SDK クライアントを初期化した場合 (例：oss-cn-hangzhou.aliyuncs.com ではなく cn-hangzhou.aliyuncs.com)、SDK は DNS で解決できないドメイン名のオブジェクト URL を生成し、リクエストは OSS に到達する前に失敗します。

SDK クライアントの初期化時に指定したエンドポイントを確認し、次のいずれかの形式に修正してください：

パブリックエンドポイント：oss-cn-<region>.aliyuncs.com。例：oss-cn-hangzhou.aliyuncs.com。
内部エンドポイント：oss-cn-<region>-internal.aliyuncs.com。例：oss-cn-hangzhou-internal.aliyuncs.com。

各リージョンのエンドポイントについては、「リージョンとエンドポイント」をご参照ください。