Overview of OSS access domains and network connectivity (domain configuration, acceleration, security, and proxy) - Object Storage Service: Central de Documentação do Alibaba Cloud

Seleção rápida

Categoria	Cenário	Solução recomendada
Acesso básico	Consulte os endpoints e os blocos CIDR de VIP interno de cada região.	Regions and endpoints
	Conheça o formato e o uso de diferentes tipos de domínio, como público, interno e de aceleração de transferência.	Access OSS by using endpoints and bucket domain names
	Ative a visualização online de arquivos e mantenha uma identidade de marca consistente.	Access OSS by using a custom domain name
Otimização de desempenho	Acelere a entrega global de ativos estáticos, como imagens, áudios, vídeos e documentos.	Access OSS by using CDN acceleration
Otimização de desempenho	Acelere uploads e downloads de dados em longas distâncias e entre regiões.	Access OSS by using transfer acceleration
Segurança	Ative a criptografia HTTPS para um domínio personalizado.	Access OSS over HTTPS
	Estabeleça uma conexão privada, isolada e segura entre uma VPC e o OSS.	Access OSS over a private network by using PrivateLink
	Impeça que sites não autorizados usem seus recursos e gerem altos custos de tráfego.	Hotlink protection
	Acesso dedicado	Acesse o OSS por meio de um endereço IP estático.	Access OSS by using an ECS reverse proxy
Conceda permissões granulares ao mesmo bucket para diferentes aplicações ou equipes.	Acesso dedicado	Access point
Aplicações web	Publique arquivos estáticos de um bucket como um site.	Static website hosting
Aplicações web	Resolva problemas de acesso a recursos de origem cruzada ao carregar recursos do OSS no navegador.	CORS configuration

Tipos de domínio

O OSS oferece diferentes tipos de domínios de acesso com base no seu ambiente de rede e nas necessidades de desempenho. Para obter informações sobre o formato, exemplos de uso e métodos de alternância de cada tipo de domínio, consulte Access OSS by using endpoints and bucket domain names. Para os endpoints correspondentes a cada região, consulte Regions and endpoints.

Importante

Devido a uma mudança de política para melhorar a conformidade e a segurança, a partir de 20 de março de 2025, os novos usuários do OSS devem use a custom domain name (CNAME) para executar operações de API de dados em buckets do OSS localizados nas regiões da China continental. Os endpoints públicos padrão têm acesso restrito para essas operações. Consulte o anúncio oficial para obter a lista completa das operações afetadas. Se você acessar seus dados via HTTPS, precisará bind a valid SSL Certificate ao seu domínio personalizado. Isso é obrigatório para o acesso ao console do OSS, pois o console exige HTTPS.

Tipo de domínio	Caso de uso	Faturamento	Ativação necessária
Domínio de acesso público	Acesso público a partir de aplicações web e clientes móveis.	Cobrança por tráfego de saída pela rede pública.	Disponível por padrão.
Domínio de acesso interno	Acesso a partir da rede da Alibaba Cloud (por exemplo, do ECS para o OSS).	O tráfego interno é gratuito.	Disponível por padrão.
Domínio de aceleração de transferência	Uploads e downloads internacionais e entre regiões em alta velocidade.	Gera transfer acceleration fees além das taxas de tráfego de saída.	Requer a ativação do recurso transfer acceleration.
Domínio de pilha dupla	Acesso ao OSS a partir de um ambiente de rede IPv6.	Cobrança por tráfego de saída pela rede pública.	Suportado em algumas regiões.
Domínio CNAME	Usado para resolução de DNS ao mapear um domínio personalizado.	Cobrança por tráfego de saída pela rede pública.	Requer mapping a custom domain name and configuring a CNAME record.

As instâncias do ECS na mesma região conectam-se diretamente ao OSS por meio de um domínio interno, como oss-cn-hangzhou-internal.aliyuncs.com. Esse tráfego percorre a rede interna da Alibaba Cloud, sem passar pela internet pública nem incorrer em taxas de transferência de dados de saída. Instâncias do ECS na rede clássica e em VPCs podem usar o mesmo endpoint interno para acessar o OSS, evitando a internet pública e isentando o tráfego de saída de custos. Para acessar o OSS entre regiões, use a rede pública ou a Cloud Enterprise Network (CEN).

Importante

O acesso a arquivos como HTML ou imagens por meio de um domínio de bucket do OSS exige que você baixe o arquivo no navegador em vez da visualização online. Para ativar a visualização de arquivos, consulte access OSS by using a custom domain name. Mapeie um domínio personalizado para um domínio de acesso público, domínio de aceleração de transferência, domínio de ponto de acesso ou domínio de ponto de acesso de objeto FC. Se o seu bucket estiver na China continental, o domínio mapeado deve ter um registro ICP.

Otimização de desempenho

Os recursos CDN acceleration e transfer acceleration otimizam o desempenho em diferentes cenários. Use-os de forma individual ou combinada.

Dimensão	Aceleração de CDN	Aceleração de transferência
Como funciona	Armazena recursos estáticos em cache nos nós de borda globais para atender às solicitações dos usuários a partir da localização mais próxima.	Usa roteamento inteligente na rede backbone da Alibaba Cloud para otimizar os caminhos de transferência de dados.
Caso de uso	Leituras de alta frequência de ativos estáticos, como downloads de imagens, áudios, vídeos e documentos.	Uploads e downloads de dados em longas distâncias, entre regiões e internacionais.
Suporte a upload	Não recomendado para uploads.	Há suporte para uploads acelerados.
Faturamento	CDN fees + CDN back-to-origin traffic do OSS	Taxas de tráfego de saída + transfer acceleration fees
Uso combinado	Configure o CDN para usar um domínio de aceleração de transferência na busca de origem. Isso cria uma arquitetura de aceleração dupla que combina o cache de borda do CDN com a aceleração da rede backbone.

Segurança

HTTPS

Os domínios de bucket do OSS suportam acesso HTTPS por padrão, sem necessidade de configuração extra. Ao acessar o OSS com um domínio personalizado, configure um certificado SSL para esse domínio. Se o CDN não estiver ativado, configure Upload Certificate para o domínio personalizado mapeado para o bucket no console do OSS. Se o CDN estiver ativado, configure um SSL Certificate para o domínio do CDN no console do CDN. Para ambientes de produção, recomendamos impor o acesso HTTPS com uma política de bucket que negue todas as solicitações HTTP. Os certificados SSL da Alibaba Cloud suportam renovação automática por meio da hospedagem de certificados. Para mais informações, consulte Access OSS over HTTPS.

PrivateLink

O PrivateLink cria um endpoint privado dedicado para o OSS dentro da sua Virtual Private Cloud (VPC). Todo o tráfego é roteado pela rede backbone da Alibaba Cloud, sem passar pela internet pública. Isso oferece um isolamento de segurança mais forte do que o domínio de acesso interno padrão do OSS.

Capacidade	Domínio interno	PrivateLink
Superfície de ataque	Ponto de entrada de serviço público exposto a todas as VPCs.	O ponto de entrada fica dentro de uma VPC, o que impede a descoberta e o acesso a partir de outras VPCs.
Controle no nível de rede	Não controlável por grupos de segurança.	Suporta a vinculação de grupos de segurança para controle preciso de acesso por IP de origem.
Capacidades de auditoria	Gera logs apenas de solicitações bem-sucedidas.	Suporta logs de fluxo da VPC para auditar todas as tentativas de conexão.
Planejamento de IP	Usa o bloco CIDR 100.64.0.0/10, que pode entrar em conflito com data centers on-premises.	Usa um endereço IP do bloco CIDR da sua VPC, seguindo o seu plano de IP personalizado.

Conecte dispositivos on-premises ou data centers à sua VPC com um circuito SSL-VPN ou Express Connect para acessar o OSS por meio do PrivateLink. Para mais informações, consulte Access OSS over a private network by using PrivateLink.

Proteção contra hotlink

Se outros sites fizerem hotlink dos seus recursos do OSS e aumentarem seus custos de tráfego, configure listas de bloqueios e listas de permissões baseadas em Referer para controlar o acesso. O OSS aplica o controle de acesso na seguinte ordem de prioridade: empty Referer check > blacklist check > whitelist check. A proteção contra hotlink aplica-se apenas ao acesso anônimo e a URLs assinadas. Essa restrição não se aplica a chamadas de API assinadas com um AccessKey. Se você usar a aceleração de CDN para o OSS, também configure regras de proteção contra hotlink na camada do CDN. Caso contrário, as solicitações de hotlink podem atingir o cache do CDN e ignorar a verificação do OSS. Para mais informações, consulte Hotlink protection.

Acesso dedicado

Proxy reverso do ECS

O OSS fornece endereços IP dinâmicos por meio da resolução de DNS. Esse dinamismo pode complicar a lista de permissões do firewall e integrações específicas do sistema. Implante um proxy reverso Nginx em uma instância do ECS com um endereço IP público estático para encaminhar solicitações ao OSS. Isso permite acessar os recursos do OSS por meio de um endereço IP fixo. Para ambientes de produção, recomendamos uma arquitetura de alta disponibilidade que use o Server Load Balancer (SLB) com um grupo de instâncias do ECS em várias zonas de disponibilidade. Para mais informações, consulte Access OSS by using an ECS reverse proxy.

Ponto de acesso

Um ponto de acesso fornece um ponto de entrada dedicado para um bucket. Quando várias aplicações ou equipes com diferentes níveis de permissão precisam acessar o mesmo bucket, crie um ponto de acesso separado para cada uma. Isso permite que você gerencie as permissões individualmente por meio de políticas de ponto de acesso, evitando regras complexas em uma única política de bucket. Cada ponto de acesso tem seu próprio alias, política de acesso e configuração de origem de rede (internet pública ou uma VPC especificada). Há suporte para autenticação federada com políticas do RAM e políticas de bucket em um modelo de política de três camadas. Para mais informações, consulte Access point.

Aplicações web

Hospedagem de site estático

O OSS permite publicar arquivos estáticos (como HTML, CSS e JavaScript) em um bucket diretamente como um site acessível publicamente, sem a necessidade de manutenção de servidor. Configure uma página inicial padrão, páginas iniciais de subdiretório e uma página de erro 404 personalizada. Também há suporte para roteamento de aplicações de página única (SPAs) ao definir a página 404 como index.html e o código de resposta de erro como 200. Para mais informações, consulte Static website hosting.

Importante

Ao usar um domínio de bucket do OSS para acessar um arquivo HTML, o navegador exige que você baixe o arquivo. É necessário map a custom domain name para ativar a navegação web normal.

Configuração de CORS

Quando o seu site carrega recursos do OSS, o navegador pode relatar um erro blocked by CORS policy. Isso ocorre devido à política de mesma origem do navegador, que restringe o acesso a recursos de origem cruzada. Ao configurar regras de CORS para o seu bucket (como Origin, Allowed Methods e Allowed Headers), autorize sites específicos a acessarem seus recursos do OSS. Ao usar várias origens ou curingas, ative Vary: Origin para evitar a poluição do cache. Se o seu bucket usar aceleração de CDN, configure regras de origem cruzada no console do CDN ou defina o CDN para repassar os cabeçalhos de resposta CORS do OSS. Para mais informações, consulte CORS configuration.

Perguntas frequentes

Acesso com URLs de longo prazo e não assinadas

Use um dos seguintes métodos:

Set the object ACL to public-read: Qualquer pessoa pode acessar o objeto sem restrições. Para evitar custos extras por uso não autorizado, configure hotlink protection para restringir as origens de acesso.
Access OSS by using CDN acceleration: Mantenha a permissão do objeto como privada e ative o recurso de back-to-origin de bucket privado do CDN para fornecer acesso público. O CDN oferece melhor desempenho de acesso e cache. Configure regras de hotlink protection na camada do CDN para evitar uso não autorizado.

Solucionar problemas de uploads ou downloads lentos

A velocidade de transferência do OSS depende da largura de banda da rede do cliente, da qualidade do link e da estratégia de transferência. Solucione problemas e otimize o desempenho usando as seguintes diretrizes:

Largura de banda e qualidade do link: Confirme se a sua largura de banda atual não excede a bandwidth limit do bucket. Use um MTR tool para analisar o link de rede em busca de perda de pacotes, alta latência ou anomalias de roteamento. Para transferências internacionais ou de longa distância, recomendamos ativar transfer acceleration.
Seleção de ferramenta: Use ossutil para transferir arquivos grandes ou numerosos. Use o comando probe para verificar o status atual da rede.
Ajuste do SDK: Para arquivos grandes, use sempre multipart upload e resumable upload. Configure o tamanho da parte (part_size) e o número de threads simultâneas (num_threads) de forma adequada. Em uma boa rede, aumente o tamanho da parte para reduzir o número de solicitações. Ao inicializar o cliente, desative a validação CRC64 (por exemplo, defina enable_crc=False em Python) e use o cabeçalho de solicitação Content-MD5 para verificações de integridade. Isso melhora o desempenho da transferência e garante a segurança dos dados.

Solucionar problemas de erros de rede

Se a solicitação tiver chegado ao OSS (a resposta contém um Request ID), get the Request ID e use a ferramenta de diagnóstico de autoatendimento do OSS para realizar a verificação.

Se a solicitação não tiver chegado ao OSS (o Request ID está vazio), solucione o problema com base no tipo de erro:

Tipo de erro	Causa comum	Solução
Connection refused	Porta bloqueada ou uso de um endpoint interno para acesso entre regiões.	Use o endpoint público correto. Use `ping` e `telnet` para verificar as regras de firewall e a conectividade de rede.
ConnectionTimeOut	Condições de rede ruins ou configuração de tempo limite curta.	Aumente os tempos limite de conexão e leitura do SDK e ative o mecanismo de nova tentativa. Para arquivos grandes, use multipart upload e resumable upload para obter melhor estabilidade. Considere usar CDN acceleration ou transfer acceleration.
Socket timeout / closed	A conexão expirou ou foi fechada inesperadamente.	Aumente a configuração de tempo limite do socket no seu SDK (por exemplo, `ClientConfiguration.setSocketTimeout` no SDK Java).
Connection reset	Configuração de endpoint incorreta ou restrições de segurança no bucket.	Solucione o problema na seguinte ordem: 1. Verifique a conectividade de rede com `ping` ou a Ferramenta de Diagnóstico Alibaba Kunlun. 2. Certifique-se de que o endpoint inclua o prefixo de protocolo correto (`http://` ou `https://`). 3. Confirme se o bucket não foi colocado na OSS sandbox por motivos de segurança. 4. Capture pacotes com o Wireshark e entre em contato com o Suporte Técnico.

O que fazer se a URL gerada após um upload do SDK estiver sem o prefixo oss-?

Se você inicializar o cliente do SDK com um endpoint sem o prefixo oss- (por exemplo, cn-hangzhou.aliyuncs.com em vez de oss-cn-hangzhou.aliyuncs.com), o SDK cria uma URL de objeto cujo domínio não pode ser resolvido pelo DNS, e a solicitação falha antes de chegar ao OSS.

Verifique o endpoint informado ao inicializar o cliente do SDK e corrija-o para um dos seguintes formatos:

Endpoint público: oss-cn-<region>.aliyuncs.com, por exemplo oss-cn-hangzhou.aliyuncs.com.
Endpoint interno: oss-cn-<region>-internal.aliyuncs.com, por exemplo oss-cn-hangzhou-internal.aliyuncs.com.

Para o endpoint de cada região, consulte Regions and endpoints.