如果加速域名的源站使用的是阿里云的云存储OSS,并且OSS的Bucket被配置为私有模式(可以起到访问鉴权的作用,避免非授权的请求盗刷流量),该情况下您需要给加速域名开启OSS私有Bucket回源功能。本文为您介绍如何开启和关闭私有Bucket回源。

背景信息

您可以配合使用阿里云CDN提供的Referer防盗链功能、URL鉴权功能,来更有效地保护您的资源不被盗刷,更多信息,请参见配置Referer防盗链URL鉴权

注意
  • 开启OSS私有Bucket回源授权后,即授权CDN对您所有Bucket的只读权限,不只是对当前Bucket授权。
  • 授权成功并开启了对应域名的私有Bucket回源授权功能,该加速域名可以访问您的私有Bucket内的所有资源。开启该功能前,请根据您的实际业务情况谨慎决策。如果您授权的私有Bucket内容并不适合作为CDN加速的回源内容,请勿授权或开启此功能。
  • 如果您的网站有被攻击的风险,请购买高防服务,同时谨慎授权或开启私有Bucket回源授权功能。
  • CDN回源OSS私有Bucket功能与OSS的静态网站托管功能的默认首页配置存在冲突,两个功能需要同时使用的情况下,请参见说明文档

开启私有Bucket回源

  1. 登录CDN控制台
  2. 在左侧导航栏,单击域名管理
  3. 域名管理页面,单击目标域名对应的管理
  4. 在指定域名的左侧导航栏,单击回源配置
  5. 可选:您首次授权时,需要执行该步骤,在阿里云OSS私有Bucket回源区域,单击点击授权,继续单击同意授权
    同意授权
  6. 阿里云OSS私有Bucket回源区域,打开阿里云OSS私有Bucket回源开关。
    说明 当CDN回源OSS私有Bucket访问非加密文件时,完成以上配置即可正常访问文件。如果您在OSS上对文件进行了KMS加密,此时将无法直接访问,需要为AliyunCDNAccessingPrivateOSSRole角色添加AliyunKMSCryptoUserAccess权限才能正常访问文件。
  7. 可选:AliyunCDNAccessingPrivateOSSRole角色添加AliyunKMSCryptoUserAccess权限。
    1. 登录RAM控制台
    2. 在左侧导航栏,选择身份管理 > 角色
    3. 角色名称列表下,找到AliyunCDNAccessingPrivateOSSRole角色。
    4. 单击添加权限被授权主体会自动填入。
    5. 系统策略下搜索AliyunKMSCryptoUserAccess,并单击AliyunKMSCryptoUserAccess,会添加到已选择列表。
    6. 单击确定,显示授权成功。
    7. 单击完成

关闭私有Bucket回源

如果您不希望加速域名能够访问您私有Bucket内资源的权限,您可以通过访问控制RAM(Resource Access Management)控制台,取消对应角色名称的授权,关闭私有Bucket回源功能。

  1. 登录RAM控制台
  2. 在左侧导航栏,单击身份管理 > 角色
  3. 角色名称列表下,单击AliyunCDNAccessingPrivateOSSRole角色。
    RAM角色管理
  4. 移除角色AliyunCDNAccessingPrivateOSSRole中的所有权限。
    1. 单击权限对应的移除权限
    2. 在移除权限的确认对话框中,单击确定
  5. 返回身份管理 > 角色页面,删除AliyunCDNAccessingPrivateOSSRole角色。
    1. 单击AliyunCDNAccessingPrivateOSSRole角色对应的删除
    2. 删除RAM角色的确认对话框中,单击确定