Object Storage Service:Access OSS over HTTPS

Adım 1: Sertifika barındırma yapılandırma

Özel bir alan adı için HTTPS şifreli erişimi etkinleştirmek üzere OSS'te bir SSL Sertifikası barındırın.

1. Paketler sayfasına gidin. Hedef paketi tıklayın. Sol gezinme bölmesinde Bucket Settings > Domain Names seçeneğini tıklayın.

2. Hedef özel alan adının İşlemler sütununda Certificate Hosting seçeneğini tıklayın. Certificate Name açılır listesinden bir sertifika seçin. İstediğiniz sertifikayı seçemiyorsanız SSL Certificate Management sayfasına gidin ve sertifikanın aşağıdaki koşulları karşıladığından emin olun:

   • Sertifika verilmiş ve geçerlidir.

   • Sertifika, yapılandırdığınız alan adı için geçerlidir.

3. Sertifika barındırma yapılandırmasını tamamlamak için Upload Certificate öğesini tıklayın.

   

Adım 2: HTTPS erişimini doğrulama

Sertifika barındırma işlemi etkili olduktan sonra tarayıcıdan bir kaynağa erişerek kurulumu doğrulayın.

1. Paketler sayfasına gidin ve hedef paketin adını tıklayın.

2. Erişmek istediğiniz nesne dosyasının İşlemler sütununda View Details seçeneğini tıklayın.

3. Alan Adı değerini Custom Domain Name olarak ayarlayın. Açılır listeden eşlenen özel alan adını seçin. Ardından Copy Object URL seçeneğini tıklayın.

4. HTTPS şifreli erişimi doğrulamak için URL'ye bir tarayıcı üzerinden erişin. Tarayıcının adres çubuğunda bağlantının şifrelendiğini gösteren bir kilit simgesi görünmelidir.

   

Adım 1: CDN HTTPS sertifikasını yapılandırma

HTTPS güvenli hızlandırmayı etkinleştirmek için CDN konsolunda hızlandırmalı alan adı için bir SSL Sertifikası yapılandırın.

1. CDN konsoluna gidin. Hedef hızlandırmalı alan adını tıklayın. HTTPS seçeneğini tıklayın. HTTPS Certificate öğesinin yanındaki Modify seçeneğini tıklayın.

2. HTTPS Secure Acceleration seçeneğini belirleyin. Faturalandırma hatırlatmasını okuyun ve OK seçeneğini tıklayın.

3. Certificate Source açılır listesine göre bir SSL Sertifikası seçin veya üçüncü taraf sertifika bilgilerini girin.

   • SSL Certificates Service: Certificate Name açılır listesinden bir sertifika seçin. Hedef sertifikayı seçemiyorsanız SSL Certificate Management sayfasına gidin ve sertifikanın aşağıdaki koşulları karşıladığından emin olun:

     • Sertifika verilmiş ve geçerlilik süresi içinde olmalıdır.

     • Sertifika, yapılandırdığınız alan adı için geçerli olmalıdır.

   • Custom Certificate (Certificate + Private Key): Certificate Name, Certificate (Public Key) ve Private Key bilgilerini girin.

4. HTTPS sertifika yapılandırmasını tamamlamak için OK seçeneğini tıklayın.

   

Adım 2: CDN HTTPS erişimini doğrulama

HTTPS yapılandırmasının dağıtılması yaklaşık 1 dakika sürer. Bir OSS kaynağına HTTPS üzerinden erişerek doğrulama yapın (örneğin, https://example.com/dest.jpg; burada example.com hızlandırmalı alan adınızdır). Tarayıcı adres çubuğundaki kilit simgesi şifreli iletimi onaylar.

En iyi uygulamalar

• HTTPS erişimini zorlama: Erişim kontrol ilkesi yapılandırma

  Veri dinlemeyi önlemek ve uyumluluk gereksinimlerini karşılamak için tüm istemciler için HTTPS kullanımını zorunlu kılın.

  • Özel alan adları için, bir paket ilkesi yapılandırarak tüm HTTP isteklerini reddedin.

    Yapılandırma örneği

    Paketler sayfasına gidin. Hedef paketi tıklayın. Sol taraftaki gezinme bölmesinde Access Control > Bucket Policy seçeneğini tıklayın. Aşağıdaki paket ilkesini eklemek için Add by Syntax seçeneğini belirleyin.

    İlkeyi eklerken örnek yapılandırmadaki bucketname ifadesini kendi paket adınızla değiştirin.

    {
    	"Version": "1",
    	"Statement": [{
    		"Effect": "Deny",
    		"Action": [
    			"oss:*"
    		],
    		"Principal": [
    			"*"
    		],
    		"Resource": [
    			"acs:oss:*:*:bucketname",
    			"acs:oss:*:*:bucketname/*"
    		],
    		"Condition": {
    			"Bool": {
    				"acs:SecureTransport": [
    					"false"
    				]
    			}
    		}
    	}]
    }

    Paket ilkesini yapılandırdıktan sonra tüm HTTP istekleri reddedilir.

    

  • CDN hızlandırmalı alan adları için, istemcileri HTTPS kullanmaya zorlayarak genel güvenlik düzeyini artırmak amacıyla bir zorunlu yeniden yönlendirme yapılandırın veya HTTP Strict Transport Security (HSTS) özelliğini etkinleştirin.

    Yapılandırma örneği

    • Zorunlu yeniden yönlendirme yapılandırma

      CDN konsolu sayfasına gidin. Hedef hızlandırmalı alan adını tıklayın. HTTPS seçeneğini tıklayın ve ardından HTTP/S Redirect öğesinin yanındaki Modify seçeneğini tıklayın. Yeniden yönlendirmeyi aşağıdaki şekilde gösterildiği gibi yapılandırın. Yapılandırma tamamlandıktan sonra CDN, istemcilerden CDN düğümlerine gelen HTTP isteklerini HTTPS isteklerine dönüştürmek için 301 yönlendirmesi kullanır.

      

    • HSTS'yi etkinleştirme

      CDN konsolu sayfasına gidin. Hedef hızlandırmalı alan adını tıklayın. HTTPS seçeneğini tıklayın ve ardından HSTS öğesinin yanındaki Modify seçeneğini tıklayın. Aşağıdaki şekilde gösterildiği gibi HSTS'yi etkinleştirin. Yapılandırma tamamlandıktan sonra istemci HTTP istekleri zorunlu olarak HTTPS isteklerine dönüştürülür.

      

• Otomatik yenileme: Sertifika yaşam döngüsünü yönetme

  SSL sertifikalarının sabit bir geçerlilik süresi vardır; süresi dolmuş bir sertifika hizmet kesintilerine neden olur. Süre sonunu izleyin ve en az 30 gün önce yenileyin. Alibaba Cloud sertifikaları için otomatik yenilemeleri sağlamak amacıyla sertifika barındırmayı etkinleştirin. Üçüncü taraf sertifikalar için düzenli bir güncelleme süreci oluşturun.

• Performans optimizasyonu: HTTP/2 ve sıkıştırmayı etkinleştirme

  HTTP/2, çoklu bağlantı, başlık sıkıştırma ve sunucu itme özellikleri sunarak HTTP/1.1'e göre sayfa yükleme hızlarını artırır. Bant genişliğini azaltmak ve performansı artırmak için CDN yapılandırmanızda HTTP/2 protokolünü ve Gzip sıkıştırmayı etkinleştirin.

Risk azaltma

• Sertifika arızası durumunda yedekleme: Yedek sertifika mekanizması oluşturma

  Kritik sistemler için farklı bir CA'dan yedek bir SSL sertifikası hazırlayın. Birincil sertifika başarısız olursa çalışma süresini en aza indirmek için yedek sertifikaya geçiş yapın.

• Erişim düşürme ilkesi: Acil durumlarda HTTP'ye geri dönme

  Ciddi bir sertifika sorunu oluşursa geçici olarak HTTP'ye geri dönmek için bir acil durum planı oluşturun. Prosedürü belgeleyin, izlemeyi güçlendirin ve mümkün olan en kısa sürede HTTPS'ye geri dönün.

Arka plan

Mozilla, 2023'ün başlarında sunucu kimlik doğrulaması için 15 yıldan eski kök sertifikalara güvenilmemesine yönelik bir politika uygulamaya koydu. Bu politika kapsamında GlobalSign Root R1, 15 Nisan 2025 tarihinde geçersiz hale geldi. Bkz. Mozilla'nın kök CA yaşam döngüsü politikası ve GlobalSign'in kök sertifika yükseltme bildirimi.

OSS yanıt stratejisi

Alibaba Cloud OSS, sorunsuz bir geçiş için aşağıdaki stratejileri benimsedi.

• Sertifika güncelleme planı

  1 Temmuz 2024 tarihinden itibaren OSS tarafından verilen yeni sertifikalar, en son güvenlik standartlarıyla uyumluluğu sağlamak ve kök sertifika güven politikasındaki değişikliklerden kaynaklanan erişim kesintilerini önlemek için GlobalSign Root R3 kullanır.

• Çapraz sertifika uyumluluk çözümü

  Mevcut OSS sertifikaları, GlobalSign Root R1'den R3'e geçiş yapmak için çapraz sertifikalar kullanır. R1 tabanlı çapraz sertifikanın geçerlilik süresi 28 Ocak 2028'de sona erer. Sertifika başvurularının süreden 13 ay önce yapılması gerektiğinden, tüm kök sertifika güncelleme hazırlıklarını 28 Aralık 2026'ya kadar tamamlayın.

• Gelecek planları ve öneriler

  GlobalSign Root R3, Mozilla tarafından 15 Nisan 2027'de güvenilir olmaktan çıkacak ve 18 Mart 2029'da süresi dolacaktır. Gelecekteki rotasyonlara uyum sağlamak için kök sertifika listenizde GlobalSign R1, R3, R6 ve R46'nın bulunduğundan emin olun.

Yapmanız gerekenler

Çoğu kullanıcı için herhangi bir işlem gerekmez. Modern işletim sistemleri (Windows 7+, macOS 10.12.1+, son 5 yılda çıkan önemli Linux dağıtımları) ve tarayıcılar (Chrome, Firefox, Safari) kök sertifika depolarını otomatik olarak günceller.

Aşağıdaki adımları yalnızca eski işletim sistemlerinde, gömülü cihazlarda veya güncel olmayan özel istemcilerde HTTPS üzerinden OSS'e erişirken sertifika hatalarıyla karşılaşırsanız uygulayın.

ls /etc/ssl/certs/ | grep GlobalSign

Değiştirilen veya süresi dolan bir sertifikayı nasıl güncellerim?

Güncelleme prosedürü ilk yapılandırma ile aynıdır. Alan adı türünüzle ilgili güncelleme yolunu seçin.

• OSS özel alan adı: Paketler sayfasına gidin ve hedef paketin alan adı yönetimi bölümündeki Sertifika Barındırma kısmından yeni sertifikayı seçin.

• CDN hızlandırmalı alan adı: CDN konsoluna gidin. Hedef hızlandırmalı alan adının HTTPS ayarlarından yeni sertifikayı seçin veya yükleyin.

Bir SSL Sertifikası yapılandırdıktan sonra tarayıcım neden hala 'güvenli değil' veya 'sertifika hatası' mesajı gösteriyor?

Yapılandırmadan sonra bir güvenlik uyarısı devam ederse sorunu şu şekilde giderin:

• Yapılandırma konumunu kontrol edin: CDN hızlandırma etkinse HTTPS'yi CDN konsolunda yapılandırın; OSS sertifika barındırma ayarı CDN hızlandırmalı alan adları için geçerli değildir.

• Tarayıcı önbelleğini temizleyin: Tarayıcı eski sertifika durumunu önbelleğe almış olabilir. Önbelleği temizleyin ve tekrar deneyin.

• Yapılandırmanın etkili olması için bekleyin: Sertifika yapılandırmalarının devreye alınması birkaç dakika sürebilir.

• Sertifika zinciri bütünlüğünü kontrol edin: Ara CA'lardan alınan sertifikalar birden çok sertifika içerir. Yüklemeyi gerçekleştirmeden önce sunucu sertifikasını ara sertifikayla birleştirerek eksiksiz bir zincir oluşturun.

HTTPS üzerinden OSS'e erişirken sertifika özel durumlarını nasıl ele alırım?

Özel durum türüne göre çözümleyin:

• Sertifika yapılandırılmadı: Tarayıcı "Bağlantınız gizli değil" mesajını gösterir ve hata iletisi şöyledir: NET::ERR_SSL_PROTOCOL_ERROR. Bu hata, sertifikanın eksik olduğunu veya yanlış konumda yapılandırıldığını (örneğin, CDN hızlandırma etkinken OSS'te sertifika barındırma kullanıldığını) gösterebilir. HTTPS'yi doğru yöntemi kullanarak yeniden yapılandırın.

• Sertifikanın süresi doldu: Tarayıcı "Bağlantınız gizli değil" mesajını gösterir ve hata iletisi şöyledir: NET::ERR_CERT_DATE_INVALID. Alan adına bağlı sertifikanın süresi dolmuştur. Son kullanma tarihini tarayıcıda görüntüleyin. Yeni bir sertifika satın alın veya başvurun, ardından yapılandırma prosedürünü izleyerek güncelleyin.

• Sertifika uyumsuzluğu: Tarayıcı "Bağlantınız gizli değil" mesajını gösterir ve hata iletisi şöyledir: NET::ERR_CERT_COMMON_NAME_INVALID. Erişim URL'sindeki alan adı, sertifikanın alan adları arasında yer almıyor. Örneğin, erişim alan adı cdn.example.com ancak sertifika oss.example.com için bağlanmış. Erişim alan adı için doğru sertifikayı yapılandırın.

Sertifika seçerken hedef sertifikamı açılır listede neden bulamıyorum?

Sertifika aşağıdaki nedenlerle açılır listede görünmeyebilir:

• Sertifika ve alan adı uyumsuzluğu: Sistem yalnızca şu anda yapılandırdığınız alan adıyla eşleşen sertifikaları listeler. Örneğin, oss.example.com için bir sertifika yapılandırırken cdn.example.com için verilen bir sertifikayı seçemezsiniz.

• Sertifika mevcut hesap altında değil: Sertifikanın mevcut Alibaba Cloud hesabı altında olup olmadığını onaylayın. Değilse sertifikayı SSL Certificate Management sayfasında yüklemeniz gerekir.

• Joker karakter sertifika düzeyi uyumsuzluğu: Joker karakter sertifikası yalnızca aynı düzeydeki alt alan adlarını destekler. Örneğin, *.example.com www.example.com ve oss.example.com ile eşleşebilir ancak cdn.oss.example.com ile eşleşmez.

CDN'de bir HTTPS sertifikası yapılandırırken sertifika biçiminin yanlış olduğu belirtilen bir ileti alıyorum. Biçimi nasıl dönüştürürüm?

CDN HTTPS yapılandırması yalnızca PEM biçimindeki sertifikaları destekler. Farklı CA'lerin sertifika içeriği yükleme konusunda farklı gereksinimleri vardır. Sertifika PEM biçiminde değilse bkz. Sertifika biçimi. Yüklemeden önce biçimi dönüştürmek için belgedeki talimatları izleyin.

Komut satırı veya API kullanarak bir sertifikayı nasıl güncellerim?

• CDN hızlandırmalı alan adı: CDN alan adı sertifikasını ayarlamak için Alibaba Cloud CLI'yı kullanın. Bkz. Cloud Assistant CLI entegrasyon örneği ve SetDomainServerCertificate API'si.

• OSS özel alan adı: Özel bir alan adına sertifika bağlamak için ossutil'i kullanın. Bkz. put-cname komutu. Sertifikanın güncellenmesi mevcut CNAME kaydını veya paketle olan bağlantısını etkilemez. CNAME kaydını veya paketi yeniden oluşturmanız gerekmez.

HTTPS erişimini nasıl devre dışı bırakırım?

• Özel alan adı

  HTTPS'yi devre dışı bırakmak için sertifikayı silin:

  1. Paketler sayfasına gidin. Hedef paketi tıklayın. Sol taraftaki gezinme bölmesinde Bucket Settings > Domain Names seçeneğini tıklayın.

  2. Hedef alan adı için Certificate Details öğesinin yanındaki silme simgesini tıklayın ve ardından OK seçeneğini tıklayın.

     

• CDN hızlandırmalı alan adı

  CDN konsolunda HTTPS'yi devre dışı bırakın:

  Önemli

  Erişim kesintilerini önlemek için HTTPS'yi devre dışı bırakmadan önce URL Yönlendirme türünü varsayılan ayarına geri yükleyin ve HSTS özelliğini devre dışı bırakın.

  1. CDN konsoluna gidin, hedef hızlandırmalı alan adını tıklayın, HTTPS seçeneğini tıklayın ve ardından HTTPS Certificate öğesinin yanındaki Modify seçeneğini tıklayın.

  2. Aşağıdaki şekilde gösterildiği gibi HTTPS Secure Acceleration özelliğini devre dışı bırakın ve ardından OK seçeneğini tıklayın.

     

OSS konsolunda özel bir alan adı üzerinden yükleme hatasını nasıl gideririm?

OSS konsolunda bir nesne yüklediğinizde yükleme paneli iki Domain Name seçeneği sunar: paket alan adı ve özel alan adı. Varsayılan olarak paket alan adı seçilir. Bu seçim yalnızca yükleme için kullanılan uç noktayı belirler. Paketteki sonuç nesnesi her iki durumda da aynıdır.

• Paket alan adı: Alibaba Cloud bu alan adı için SSL sertifikasını yönetir. Alan adı HTTPS'yi yerel olarak destekler ve ek yapılandırma olmadan yüklemeler başarılı olur. Daha fazla bilgi için bkz. Nasıl çalışır.

• Özel alan adı: Özel bir alan adına geçtiğinizde konsol, eşlenen özel alan adının CNAME kaydının ve sertifikasının doğru yapılandırıldığını onaylamanızı isteyen bir uyarı görüntüler. Aksi takdirde erişim başarısız olabilir. Bu uyarı, yükleme hatalarının temel nedenini gösterir: özel bir alan adı tarafınızda yapılandırma gerektirir.

Özel bir alan adı üzerinden yükleme başarısız olursa sorunu şu şekilde giderin:

• Özel alan adının mevcut pakete eşlendiğinden ve CNAME kaydının paketin uç noktasına çözümlendiğinden emin olun. Daha fazla bilgi için bkz. Özel bir alan adı üzerinden OSS'e erişim.

• Özel alan adıyla eşleşen geçerli bir SSL sertifikasının yapılandırıldığından emin olun.

  CDN hızlandırma etkin değilse OSS konsolunda sertifika barındırma yapılandırın: Paketler sayfasına gidin ve hedef paketi tıklayın. Sol gezinme bölmesinde Bucket Settings > Domain Names seçeneğini tıklayın. Ardından hedef özel alan adının İşlemler sütununda Certificate Hosting seçeneğini tıklayın ve Certificate Name açılır listesinden bir sertifika seçin.

  CDN hızlandırma etkinse sertifikayı bunun yerine CDN konsolunda yapılandırın. OSS'teki sertifika barındırma, CDN hızlandırmalı alan adları için geçerli değildir. Daha fazla bilgi için bkz. OSS'de sertifika barındırma yapılandırarak HTTPS erişimini etkinleştirme ve CDN'de HTTPS sertifikası yapılandırarak HTTPS erişimini etkinleştirme.

• Sertifika ile ilgili hatalar devam ederse bu SSS bölümündeki sertifika özel durumu girişlerine bakın.

• Yüklemeleri hemen geri yüklemek için yükleme panelini varsayılan paket alan adına geri döndürün. Yüklenen nesne, kullandığınız alan adından bağımsız olarak aynıdır.