Os nomes de domínio fornecidos pelo OSS suportam acesso https por padrão. Ao acessar o OSS usando um nome de domínio personalizado, você deve configure um certificado SSL para o nome de domínio para ative a transmissão criptografada por HTTPS. Isso protege a segurança dos dados e ajuda a atender aos requisitos de conformidade.
Como funciona
O HTTPS usa criptografia tls/SSL para criptografar dados de ponta a ponta e utiliza cadeias de certificados para verifique a identidade do servidor, garantindo a confidencialidade, integridade e autenticação dos dados transmitidos. O acesso HTTPS ao OSS depende de configure um certificado SSL válido para o nome de domínio de acesso no local correto. A abordagem suportada varia de acordo com o tipo de nome de domínio:
Nomes de domínio de bucket do OSS: formatados como
<bucket-name>.oss-<region-id>.aliyuncs.com, esses nomes de domínio são gerenciados pela alibaba cloud CDN com certificados SSL unificados e suportam HTTPS nativamente. Nenhuma configuração adicional é necessária, e você pode acessá-los diretamente usando o prefixohttps://.Nomes de domínio personalizados: Você deve configure um certificado SSL para o nome de domínio.
ative o acesso HTTPS
O local onde você configure o certificado depende se a aceleração de cdn está ativada.
Aceleração de CDN desativada: O tráfego chega diretamente ao OSS. Você deve configure a hospedagem de certificado para o nome de domínio personalizado no console do OSS.
Aceleração de CDN ativada: O tráfego é encaminhado para o OSS através dos pontos de presença (POPs) da CDN primeiro. Você deve configure um certificado HTTPS para o nome de domínio acelerado por CDN no console da CDN.
Use um dos métodos a seguir para verifique se a aceleração de CDN está ativada para um nome de domínio personalizado:
Console do OSS
acesse a página Buckets e clique no bucket de destino.
-
No painel de navegação à esquerda, clique em .
A lista de domínios mostra os nomes de domínio vinculados ao bucket. Se Alibaba Cloud CDN exibir Configured para um nome de domínio, o certificado HTTPS desse nome de domínio deve ser gerenciado no console da CDN.
Console da CDN
acesse a página CDN Domain Names para visualize os nomes de domínio acelerados por CDN que estão configurados e em vigor, além dos buckets de origem desses nomes de domínio.
Etapa 1: configure um certificado SSL
escolha o método correspondente para configure um certificado SSL com base no caminho de acesso do nome de domínio personalizado.
Nome de domínio personalizado do OSS
Aplica-se a cenários em que um nome de domínio personalizado é resolvido por CNAME para um nome de domínio de bucket do OSS.
Antes de começar, confirme se:
Você tem bound a custom domain name.
Você possui um certificado SSL válido que corresponde ao nome de domínio no SSL Certificates service. Você pode obter o certificado comprando um novo certificado, solicitando um certificado gratuito ou enviando um certificado de terceiros.
O certificado (chave pública) e a chave privada não devem exceder 20 KiB (20.480 caracteres) cada. Se qualquer um exceder o limite de tamanho, o envio falhará. A hospedagem de certificado suporta apenas certificados RSA e ECC.
acesse a página Buckets, clique no bucket de destino e, no painel de navegação à esquerda, clique em .
Na coluna Actions do nome de domínio personalizado de destino, clique em Upload Certificate para abrir o painel de hospedagem de certificado.
-
Na lista suspensa Certificate Name, selecione o certificado SSL que corresponde ao nome de domínio. Após selecione um certificado, a caixa Public Key é preenchida automaticamente com o conteúdo codificado em PEM do certificado. A chave privada não é exibida.
Se nenhum certificado estiver disponível na lista suspensa, clique em Upload SSL Certificate para obter um certificado no SSL Certificates service e, em seguida, retorne a esta página e selecione o certificado novamente.
Se quiser enviar um certificado de terceiros diretamente, na lista suspensa Certificate Source, selecione Custom Certificate (Public Key+Private Key) e insira o conteúdo do certificado codificado em PEM na caixa Public Key e a chave privada na caixa Private Key. Você também pode selecione Show PEM Encoding Example para visualize um exemplo de formato.
Clique em Upload para concluir a configuração de hospedagem do certificado. Após a configuração entrar em vigor, o nome de domínio poderá ser acessado por HTTPS.
Se nenhum certificado estiver disponível na lista suspensa Certificate Name e o console indicar que o envio de certificado personalizado não é suportado, envie o certificado no console do SSL Certificates service primeiro e, em seguida, retorne a esta página e selecione o certificado novamente.
Se Alibaba Cloud CDN exibir Configured para o nome de domínio de destino, o tráfego para esse nome de domínio é encaminhado do OSS pela CDN. Nesse caso, o certificado deve ser gerenciado no console da CDN, e a hospedagem de certificado não está disponível no console do OSS. Para mais informações, consulte a aba de nome de domínio acelerado por CDN deste tópico.
Nome de domínio acelerado por CDN
Aplica-se a cenários em que o tráfego é encaminhado de um nome de domínio acelerado por CDN para um bucket do OSS.
Antes de começar, confirme se você tem configured CDN acceleration e usa o nome de domínio acelerado como o endpoint de acesso, e que possui um certificado SSL válido que corresponde ao nome de domínio. Você pode obter o certificado comprando um novo certificado, solicitando um certificado gratuito ou enviando um certificado de terceiros. Você também pode insira diretamente o conteúdo e a chave privada de um certificado de terceiros nas etapas de configuração subsequentes.
acesse o console da CDN, clique no nome de domínio acelerado de destino e clique em HTTPS. Ao lado de SSL Certificate, clique em Modify.
selecione HTTPS Secure Acceleration, leia o aviso de faturamento e clique em OK.
-
Na seção Certificate Source, selecione um certificado SSL ou insira as informações do certificado de terceiros.
SSL Certificates Service: selecione um certificado na lista suspensa à direita de Certificate Name.
Custom Certificate (Certificate+Private Key): Siga as instruções na tela para insira Certificate Name, Certificate (Public Key) e Private Key.
Clique em OK para concluir a configuração do certificado HTTPS.
Se não for possível selecione o certificado de destino, acesse o console do SSL Certificates service e confirme se o certificado atende às seguintes condições:
O certificado foi emitido e está dentro do seu período de validade.
Os nomes de domínio aos quais o certificado está vinculado incluem o nome de domínio que você deseja configure.
Etapa 2: verifique o acesso HTTPS
Após concluir a configuração, aguarde até que ela entre em vigor (a configuração HTTPS da CDN leva cerca de 1 minuto) e verifique o acesso HTTPS em um navegador:
Nome de domínio personalizado do OSS
acesse a página Buckets e clique no nome do bucket de destino.
Clique no nome do arquivo do objeto de destino ou em View Details na coluna Actions. Para Domain Name, selecione Custom Domain, selecione o nome de domínio personalizado vinculado na lista suspensa e clique em Copy Object URL.
Nome de domínio acelerado por CDN
Construa uma URL de acesso usando o nome de domínio acelerado por CDN, por exemplo, https://example.com/example.jpg , onde example.com é o nome de domínio acelerado por CDN.
acesse a URL em um navegador. Se um ícone de cadeado seguro for exibido na barra de endereços, a conexão está criptografada.
Force o acesso HTTPS
Em ambientes de produção, recomendamos que você force o HTTPS para todos os clientes para evitar que os dados sejam roubados ou adulterados durante a transmissão. escolha o método de configuração correspondente com base no tipo de nome de domínio.
Nome de domínio personalizado do OSS
acesse a página Buckets, clique no bucket de destino e, no painel de navegação à esquerda, clique em . escolha Add by Syntax para adicionar a seguinte Bucket Policy que nega todas as solicitações HTTP.
Substitua <bucket-name> no exemplo pelo nome real do bucket. Se já existir uma política, adicione o Statement à política existente.
{
"Version": "1",
"Statement": [{
"Effect": "Deny",
"Action": ["oss:*"],
"Principal": ["*"],
"Resource": [
"acs:oss:*:*:<bucket-name>",
"acs:oss:*:*:<bucket-name>/*"
],
"Condition": {
"Bool": {
"acs:SecureTransport": ["false"]
}
}
}]
}
Nome de domínio acelerado por CDN
Use um dos métodos a seguir para forçar o acesso HTTPS para os clientes:
-
configure o redirecionamento forçado:
acesse o console da CDN, clique no nome de domínio acelerado de destino e clique em HTTPS.
-
Ao lado de HTTP/S Redirect, clique em Modify, selecione HTTP - > HTTPS e clique em OK.
Após a conclusão da configuração, a CDN redireciona forçadamente as solicitações HTTP para solicitações HTTPS usando redirecionamentos 301. Para mais informações, consulte Configure HTTP/S redirection.
-
ative o HSTS:
acesse o console da CDN, clique no nome de domínio acelerado de destino e clique em HTTPS.
-
Ao lado de HSTS, clique em Modify, ative o HSTS e clique em OK.
Após a conclusão da configuração, o navegador converte automaticamente as solicitações HTTP em solicitações HTTPS. Para mais informações, consulte Configure HSTS.
Gerenciamento do ciclo de vida do certificado
visualize o tempo de expiração do certificado
Nome de domínio personalizado do OSS
acesse a página Buckets, clique no bucket de destino e, no painel de navegação à esquerda, clique em .
Na coluna SSL Certificate do nome de domínio de destino, clique em Certificate Details e visualize a data de emissão e a data de expiração do certificado na caixa de diálogo de detalhes do certificado.
A coluna SSL Certificate também mostra o status de hospedagem do certificado, como Hosting, Hosting (Expiring Soon) e Hosting (Expired). Você pode usar o status para determinar se precisa atualize o certificado.
Nome de domínio acelerado por CDN
acesse o console da CDN e clique em Certificate Center no painel de navegação à esquerda para visualize o tempo de expiração do certificado.
atualize um certificado
O procedimento para atualize um certificado é o mesmo da configuração inicial. escolha o caminho correspondente com base no tipo de nome de domínio e no método de atualização.
Console
Nome de domínio personalizado do OSS: acesse a página Buckets. Em do bucket de destino, clique em Upload Certificate na coluna Actions do nome de domínio de destino, selecione um novo certificado e clique em Upload and Overwrite. O novo certificado substituirá o certificado original.
Nome de domínio acelerado por CDN: acesse o console da CDN e selecione ou envie um novo certificado em HTTPS do nome de domínio acelerado de destino.
CLI e API
Nome de domínio personalizado do OSS: Vincule um certificado a um nome de domínio personalizado usando o ossutil. Para mais informações, consulte put-cname. A atualização de um certificado não afeta o registro CNAME ou o bucket que já estão vinculados, e você não precisa recriá-los.
Nome de domínio acelerado por CDN: Defina um certificado de nome de domínio da CDN usando a Alibaba Cloud CLI. Para mais informações, consulte gerencie Alibaba Cloud CDN with the CLI e SetCdnDomainSSLCertificate.
Renovação automática
Os certificados SSL têm um período de validade fixo, e o acesso é interrompido após a expiração do certificado. Recomendamos que você atualize os certificados com 30 dias de antecedência.
Certificados SSL da Alibaba Cloud: Purchase and ative automatic certificate hosting suporta renovação automática para reduzir a intervenção manual.
Certificados de terceiros: Estabeleça um processo de atualização regular e designe responsáveis para garantir a renovação no prazo.
Desative o acesso HTTPS
Se você não precisar mais do acesso HTTPS criptografado, poderá desativá-lo usando os métodos a seguir.
Nome de domínio personalizado do OSS
acesse a página Buckets, clique no bucket de destino e, no painel de navegação à esquerda, clique em .
Na coluna SSL Certificate do nome de domínio de destino, clique no ícone de exclua ao lado de Certificate Details e clique em OK. Após a exclusão do certificado, o nome de domínio não poderá mais ser acessado por HTTPS. confirme se você desativou o acesso HTTPS forçado e concluído a migração do service relacionada.
Nome de domínio acelerado por CDN
Para evitar interrupções de acesso, antes de desativar o HTTPS, você deve restaurar o tipo de redirecionamento forçado para o valor padrão e desativar o HSTS.
acesse o console da CDN, clique no nome de domínio acelerado de destino e clique em HTTPS. Ao lado de SSL Certificate, clique em Modify.
Desative a HTTPS Secure Acceleration e clique em OK.
Use HTTPS em ambientes de produção
Otimização de desempenho
Navegadores modernos e CDNs geralmente suportam HTTP/2, o que oferece vantagens como multiplexação e compressão de cabeçalhos em comparação ao HTTP/1.1. Ao configure a CDN, Configure HTTP/2 e Gzip compression podem otimizar a eficiência de transmissão enquanto garantem a segurança.
Mitigação de riscos
Mecanismo de certificado de backup: Prepare um certificado SSL de backup caso o certificado principal se torne inválido ou a CA falhe. Para cargas de trabalho de missão crítica, recomendamos o uso de certificados de CAs diferentes como backup, permitindo uma troca rápida quando o certificado principal apresentar problemas.
Estratégia de fallback HTTP: Se ocorrer um problema grave de configuração de certificado que não possa ser corrigido rapidamente, estabeleça um procedimento de emergência padrão para permitir temporariamente o acesso HTTP, reforçando o monitoramento para garantir uma recuperação oportuna.
Faturamento
Após ativar o HTTPS na CDN, você é cobrado separadamente com base no número de solicitações HTTPS estáticas geradas. Para mais informações, consulte Static HTTPS requests.
FAQ
Por que meu navegador ainda relata "Não seguro" ou um erro de certificado após eu configure um certificado SSL?
Se um aviso de segurança ainda aparecer após a conclusão da configuração, solucione o problema usando os métodos a seguir:
verifique o local da configuração: confirme se a aceleração de CDN está ativada para o nome de domínio de acesso. Se a aceleração de CDN estiver ativada, você deve configure o certificado HTTPS no console da CDN. A hospedagem de certificado configurada no console do OSS não terá efeito.
Limpe o cache do navegador: O navegador pode armazenar em cache o estado anterior do certificado. Limpe o cache e acesse a URL novamente.
Aguarde a configuração entrar em vigor: A configuração HTTPS da CDN ou a hospedagem de certificado do OSS leva um certo tempo para entrar em vigor.
verifique a integridade da cadeia de certificados: Um certificado emitido por uma CA intermediária deve ser enviado junto com o certificado intermediário, concatenado com o certificado do servidor para formar uma cadeia de certificados completa. As autoridades certificadoras geralmente fornecem instruções de concatenação. verifique a documentação relevante com atenção.
Como lidar com erros de certificado ao acessar o OSS por HTTPS?
Use o método correspondente com base no tipo de erro de certificado:
Certificado não configurado: O navegador relata
NET::ERR_SSL_PROTOCOL_ERROR. O certificado pode não estar configurado ou pode estar configurado no local errado (por exemplo, a aceleração de CDN está ativada, mas o certificado foi configurado no console do OSS). configure-o novamente conforme descrito em Enable HTTPS access deste tópico.Certificado expirado: O navegador relata
NET::ERR_CERT_DATE_INVALID. Reconfigure o certificado conforme descrito em Update a certificate deste tópico.Incompatibilidade de certificado: O navegador relata
NET::ERR_CERT_COMMON_NAME_INVALID. O nome de domínio de acesso não está incluído nos nomes de domínio aos quais o certificado está vinculado (por exemplo, você acessacdn.example.com, mas o certificado está vinculado aoss.example.com). configure o certificado correto para o nome de domínio.
Por que não consigo encontrar meu certificado de destino na lista suspensa ao selecione um certificado?
O certificado não corresponde ao nome de domínio: O sistema lista apenas certificados que correspondem ao nome de domínio atual. Por exemplo, ao configure um certificado para
oss.example.com, você não pode selecione um certificado emitido paracdn.example.com.O certificado não está na conta atual: Envie o certificado na página SSL Certificate Management.
O nível do certificado curinga não corresponde: Um certificado curinga se aplica apenas a nomes de domínio no mesmo nível. Por exemplo,
*.example.comcorresponde awww.example.comeoss.example.com, mas não corresponde acdn.oss.example.com.
Por que o console da CDN relata um formato de certificado inválido ao configure um certificado HTTPS e como converter o formato?
A configuração HTTPS da CDN suporta apenas certificados PEM. Se o seu certificado não estiver no formato PEM, converta o formato conforme descrito em Certificate format antes de enviar o certificado.
Como solucionar falhas de envio de nome de domínio personalizado ao enviar objetos no console do OSS?
Ao enviar um objeto no console do OSS, a página de envio oferece duas opções: Internet Domain Name e Custom Domain, sendo Internet Domain Name selecionado por padrão. As duas opções afetam apenas o nome de domínio de acesso usado para o envio. Os objetos enviados para o bucket são os mesmos, e não há diferença funcional.
Internet Domain Name: O nome de domínio de acesso padrão do bucket (formatado como
<bucket-name>.oss-<region-id>.aliyuncs.com). A Alibaba Cloud gerencia certificados SSL para este nome de domínio de forma unificada, e o HTTPS é suportado nativamente, permitindo o envio de objetos sem configuração adicional.-
Custom Domain: Ao mudar para Custom Domain, o console exibe a seguinte mensagem: "Ao acessar dados usando um nome de domínio personalizado, confirme se o registro CNAME e o certificado do nome de domínio personalizado vinculado estejam configurados corretamente. Caso contrário, o acesso pode falhar." Esta mensagem aponta para a causa raiz da falha: nomes de domínio personalizados exigem configuração manual. Caso contrário, os envios falharão. Solucione o problema usando as etapas a seguir:
confirme se o nome de domínio personalizado está bound ao bucket atual e se o registro CNAME está resolvido corretamente para o nome de domínio de acesso à internet do bucket.
confirme se um certificado SSL válido e correspondente está configurado para o nome de domínio personalizado. Se a aceleração de CDN estiver desativada, acesse Bucket Settings > Domain Names, clique em Upload Certificate na coluna Actions do nome de domínio personalizado de destino e selecione um certificado. Se a aceleração de CDN estiver ativada, você deve configure o certificado no console da CDN. A hospedagem de certificado configurada no console do OSS não terá efeito.
Se os erros relacionados ao certificado persistirem, solucione o problema conforme descrito nas perguntas sobre erros de certificado anteriores nesta seção (o certificado não está configurado, expirou ou não corresponde ao nome de domínio).
Para restaurar rapidamente os envios, volte para o Internet Domain Name padrão na página de envio. O resultado do envio é o mesmo do nome de domínio personalizado.