华为云CDN源站是私有OBS桶，策略如何配置？

在现代互联网架构中,内容分发网络（CDN）与对象存储服务（OBS）的结合已成为提升网站性能、优化用户体验并降低带宽成本的黄金组合，华为云提供的OBS服务以其高可靠性和安全性著称，而将其私有桶作为CDN的源站，更是实现了数据安全与全球加速的完美平衡，本文将深入探讨如何在华为云上，将自定义OBS私有桶配置为CDN源站的完整策略与步骤。

架构优势与核心挑战

将OBS私有桶作为CDN源站的核心优势显而易见,数据安全得到根本保障，所有原始内容均存储在私有桶中，不对外直接暴露，杜绝了未授权访问的风险，通过CDN的边缘缓存，极大地减少了回源到OBS的请求次数，从而显著降低了OBS的下行流量费用，用户可以就近从CDN节点获取内容，大幅降低了访问延迟，提升了页面加载速度。

这种架构也带来一个核心挑战：CDN如何被授权访问一个私有的OBS桶？直接配置显然会因权限不足而失败，华为云通过一套精密的鉴权机制，优雅地解决了这个问题，其核心在于CDN服务使用特定的访问凭证，以“合法用户”的身份向OBS发起请求。

第一步：配置OBS桶策略（源站侧授权）

要让CDN能够访问私有桶,首要任务是在OBS端为CDN服务“开门”，这并非将桶设为公开读写，而是通过精细化的桶策略，仅授予CDN服务必要的读取权限。

1. 确认桶状态：确保您的OBS桶为“私有”状态，这是安全的基础，避免任何公共访问。

2. 创建自定义桶策略：登录华为云控制台，进入OBS服务，选择目标桶，在“权限”管理中找到“桶策略”配置项，选择“使用策略编辑器创建”，然后切换到“JSON视图”，输入以下策略内容。

   {
       "Version": "2008-10-17",
       "Id": "CDNAccessPolicy",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "cdn.amazonaws.com"
                   ]
               },
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                   "arn:aws:s3:::your-bucket-name/*"
               ]
           }
       ]
   }

   策略解析：

   • "Effect": "Allow"：表示允许执行操作。
   • "Principal": {"Service": ["cdn.amazonaws.com"]}：这是关键所在，它定义了被授权的主体为CDN服务，而不是某个具体的IAM用户，华为云后台会自动识别并允许其CDN服务扮演此角色。
   • "Action": ["s3:GetObject"]：仅授予“获取对象”的权限，遵循最小权限原则，确保CDN只能读取文件，无法进行其他如删除、写入等危险操作。
   • "Resource": ["arn:aws:s3:::your-bucket-name/*"]：指定此权限作用的资源范围，请务必将 your-bucket-name 替换为您实际的桶名称， 表示桶内的所有对象。

3. 保存策略：确认策略内容无误后保存，至此，OBS桶已准备好接收来自CDN的授权访问请求。

   

第二步：配置CDN回源鉴权（CDN侧认证）

OBS端已“放行”，接下来需要在CDN端配置“身份证明”，让CDN在回源时能够出示正确的凭证。

1. 添加CDN域名：在华为云CDN控制台，添加您的加速域名，进入域名配置详情页。

2. 配置源站信息：在“基本配置”或“源站配置”模块中，进行如下设置：

   • 源站类型：选择“OBS桶域名”。
   • 源站地址：输入您的OBS桶的访问域名，格式通常为 your-bucket-name.obs.region.myhuaweicloud.com。
   • 回源Host：通常可以设置为您的加速域名，或保持默认。

3. 开启私有桶回源：这是整个配置的核心环节，在源站配置区域，找到“私有桶回源”或“OBS委托授权”选项，并将其开启。

   • 开启后,系统会要求您提供OBS的访问凭证，这里强烈建议不要使用您的华为云主账号的AK/SK。
   • 最佳实践：创建一个专用的IAM用户，仅授予其“只读”或仅针对该特定桶GetObject的策略，然后使用这个IAM用户的“访问密钥ID”和“秘密访问密钥”来配置，这样即使密钥泄露，风险也被控制在最小范围。

4. 保存配置：完成上述设置后，保存CDN域名配置，华为云CDN会自动进行配置下发，通常在几分钟内生效。

配置核心要点小编总结

为了更清晰地展示两端配置的对应关系,下表进行了归纳：

验证与调试

配置完成后,验证工作至关重要，您可以通过以下步骤进行检验：

1. 通过CDN加速域名访问桶内的一个测试文件。
2. 若访问成功,说明配置生效。
3. 若访问失败（如403 Forbidden），首先检查CDN配置中的AK/SK是否正确且有效；检查OBS桶策略的JSON语法及桶名是否正确。
4. 可以通过查看CDN的访问日志和OBS的访问日志,确认请求路径：用户请求 -> CDN节点（缓存未命中） -> CDN回源到OBS -> OBS返回数据给CDN -> CDN返回给用户，日志能清晰地揭示问题出在哪个环节。

通过以上严谨的策略配置,您便成功构建了一个既安全又高效的加速体系，让存储在华为云OBS私有桶中的内容，能够通过CDN网络快速、安全地分发给全球用户。

相关问答FAQs

配置完成后，通过CDN访问文件仍然报错403 Forbidden，最可能的原因是什么？

解答：出现403 Forbidden错误，核心在于权限验证失败，排查思路如下：

1. CDN侧密钥错误：检查CDN“私有桶回源”配置中填写的AK/SK是否正确，是否已过期，或者该IAM用户是否已被禁用，这是最常见的原因。
2. OBS桶策略错误：仔细检查OBS桶的桶策略JSON内容，确认your-bucket-name已替换为实际的桶名，JSON语法无误，且Principal中的服务主体是正确的。
3. IAM用户权限不足：如果您创建了专用IAM用户，请确保该用户除了拥有CDN配置中使用的AK/SK外，其自身也被授予了至少对该桶的GetObject权限，有时仅依赖桶策略是不够的，需要IAM策略和桶策略双重允许。
4. CDN缓存问题：如果之前配置错误，CDN可能缓存了403的错误状态，尝试在CDN控制台对对应的URL进行缓存刷新。

使用私有桶作为CDN源站，除了桶策略和IAM用户，还有哪些额外的安全加固措施？

解答：是的，为了构建纵深防御体系，您还可以在CDN层启用以下安全功能：

1. Referer防盗链：配置白名单或黑名单，只允许特定域名或空Referer的请求访问您的资源，可以有效防止其他网站恶意盗链。
2. URL鉴权：为资源生成有时效性的加密URL，即使URL被泄露，过期后也会自动失效，适用于版权保护要求高的内容。
3. IP黑白名单：通过设置IP访问控制列表，直接允许或拒绝特定IP地址段的访问请求。
4. 开启访问日志：同时开启OBS和CDN的访问日志，OBS日志可以监控所有回源请求，而CDN日志则记录了所有用户访问详情，通过定期审计日志，可以及时发现异常访问模式，为安全事件追溯提供依据。