OSS サンドボックス：サンドボックス化されたバケットの予防措置と修復 - Object Storage Service

Object Storage Service (OSS) のバケットが攻撃を受けたり、違法なコンテンツの配信に使用されたりすると、OSS は自動的にそのバケットをサンドボックスに移動します。サンドボックス化されたバケットは引き続きリクエストに応答しますが、サービス品質が低下します。これにより、ネットワークの可用性に影響が生じ、リクエストタイムアウトが発生し、アプリケーションに顕著な影響を与える可能性があります。

重要事項

攻撃によって発生したすべてのコストは、お客様の負担となります。
バケットがポルノ、政治、テロリズムなどの違法なコンテンツの配信に使用された場合、OSS はそのバケットをサンドボックスに移動します。重大な違反は、法的措置につながる可能性があります。

攻撃に対する予防措置

DDoS、CC、またはその他の攻撃によってバケットがサンドボックス化されるのを防ぐには、OSS DDoS 保護を設定するか、Elastic Compute Service (ECS) リバースプロキシを設定して Anti-DDoS Proxy インスタンスにバインドします。次の表は、これら2つのソリューションを比較したものです。

ソリューション	説明	メリット	デメリット
ソリューション1：OSS DDoS 保護の設定	OSS DDoS 保護は、OSS と Anti-DDoS Proxy を統合したプロキシベースの DDoS 緩和サービスです。保護されたバケットが大量の攻撃を受けた場合、OSS DDoS 保護は攻撃トラフィックをスクラビングクラスターにリダイレクトします。その後、正常なトラフィックはターゲットバケットに転送され、事業継続性が確保されます。	多様なユースケース：バケットエンドポイントとカスタムドメイン名の両方を保護します。低コスト：DDoS 保護料金は、Anti-DDoS Proxy インスタンスの数、保護されるトラフィック量、リクエスト数に基づいて計算されます。詳細については、「Anti-DDoSの料金」をご参照ください。簡単な設定：コンソールでグラフィカルインターフェイスを利用できます。	保護できるバケット数に制限があります。リージョンごとに作成できる OSS DDoS 保護インスタンスは1つのみで、最大10個のバケットにバインドできます。
ソリューション2：ECS リバースプロキシの設定と Anti-DDoS Proxy インスタンスのバインド	セキュリティ上の理由から、バケットのデフォルトドメイン名はランダムに変化する IP アドレスに解決されます。固定 IP アドレスを介して OSS にアクセスする必要がある場合は、ECS インスタンスにリバースプロキシを設定することを推奨します。ECS インスタンスの Elastic IP アドレス (EIP) を Anti-DDoS Proxy インスタンスにバインドすることで、DDoS および CC 攻撃を防御できます。	固定 IP アドレスを介して OSS にアクセスする必要があるシナリオに最適です。	複雑な設定：Nginx リバースプロキシをご自身で設定する必要があります。高コスト：リバースプロキシを設定するために、追加の ECS インスタンスを購入する必要があります。

これら2つのソリューションを実装するには、次の手順に従ってください。

ソリューション1：OSS DDoS 保護の設定
OSS コンソールでバケットに対して OSS DDoS 保護を設定するには、次の手順に従ってください。
1. OSS DDoS 保護インスタンスを作成します。
2. バケットをバインドします。
  
  バケットをバインドすると、OSS DDoS 保護インスタンスはバケットのパブリックエンドポイントの保護を開始します。
  
  OSS DDoS 保護は、oss-cn-hangzhou.aliyuncs.com などのパブリックバケットエンドポイントのみをサポートしています。次のエンドポイントタイプはサポートされていません。
  - 転送アクセラレーションエンドポイント (oss-accelerate.aliyuncs.com および oss-accelerate-overseas.aliyuncs.com)
  - アクセスポイント (例: ap-01-3b00521f653d2b3223680ec39dbbe2****-ossalias.oss-cn-hangzhou.aliyuncs.com)
  - Object FC アクセスポイント (例: fc-ap-01-3b00521f653d2b3223680ec39dbbe2****-opapalias.oss-cn-hangzhou.aliyuncs.com)
  - IPv6 経由でアクセスされるエンドポイント (例: cn-hangzhou.oss.aliyuncs.com)
  - Amazon S3 互換エンドポイント (例: s3.oss-cn-hongkong.aliyuncs.com)
  詳細については、「OSS DDoS 保護」をご参照ください。
ソリューション2：ECS リバースプロキシの設定と Anti-DDoS Proxy インスタンスのバインド

ECS リバースプロキシを設定し、Anti-DDoS Proxy インスタンスをバインドするには、次の手順に従ってください。
1. ECS リバースプロキシを設定します。
  1. CentOS または Ubuntu の ECS インスタンスを作成します。詳細については、「ECSインスタンスの作成」をご参照ください。
    
    重要
    バケットが大量のネットワークトラフィックや多数のリクエストを処理することが予想される場合は、ECS インスタンスの仕様をアップグレードするか、ECS クラスターを設定してください。
  2. OSS にアクセスするための ECS リバースプロキシを設定します。詳細については、「ECS インスタンスをリバースプロキシとして使用して OSS にアクセスする」をご参照ください。
2. Anti-DDoS Proxy インスタンスをバインドします。
  1. ビジネス要件に基づいてAnti-DDoS Proxyインスタンスを購入します。
  2. Web サイト設定を追加する。 Anti-DDoS Proxy コンソールで、Web サイト設定を追加します。 ドメイン で、[標準機能] または [拡張機能] を選択します。 [Web サイト] フィールドに、www.example.com などのドメイン名を入力します。 [プロトコルタイプ] で、HTTPS を選択します。 [サーバーアドレス] で [オリジン IP] を選択し、オリジン IP アドレスを入力します。 HTTPS の [サーバーポート] は 443 です。詳細設定を展開して、[HTTPS 強制リダイレクト]、[オリジンへの HTTP 有効化]、[HTTP/2 の有効化]、および [OCSP の有効化] などのオプションを設定します。設定が完了したら、[追加] をクリックします。

攻撃によりサンドボックス化されたバケットの修復

Alibaba Cloud は、バケットをサンドボックスから直接削除することはありません。攻撃によってバケットがサンドボックス化された場合は、次の手順に従ってください。

次のシナリオでは、バケットに対して OSS DDoS 保護を設定する必要があります。

繰り返し攻撃を受けたため、バケットがサンドボックスに移動された場合。
アカウント内の複数のバケットが繰り返し攻撃を受けた場合、そのアカウント内の既存および新規のすべてのバケットがデフォルトでサンドボックスに移動されます。

詳細な手順については、OSS DDoS 保護の設定をご参照ください。設定が完了すると、サービスは自動的にバケットをサンドボックスから削除し、そのトラフィックをネイティブエンドポイントまたは Anti-DDoS で保護された IP アドレス経由でルーティングします。