对象存储桶公开访问自查：先看这四项
【摘要】 对象存储做公开读之前，先核对桶策略匿名主体、桶 ACL、单个对象 ACL，以及 CDN 或自定义域名是否仍在回源。
给业务桶做公开读之前，我习惯先做一轮只读自查，避免把本该私有的对象直接暴露到公网。下面四项按顺序看即可，不需要改任何配置。
1. 桶策略里有没有匿名主体
桶策略如果允许匿名主体执行 GetObject 或 ListBucket，未登录用户就能直接拉取对象。自查时先看 Action 是否包含获取对象、列出对象，再看 Resource 是不是覆盖了整个桶，而不是某个前缀。
2. 桶 ACL 是否仍是公共读
ACL 上的公共读和桶策略是两套入口。只收紧策略、没改 ACL，列表里仍可能显示公共读。两处都确认是私有，才算这一层收口。
3. 单个对象的 ACL 会不会单独放开
对象可以单独设公共读，和桶设置无关。抽查最近上传的安装包、前端静态资源和导出文件，不要只看桶这一层。历史对象尤其容易漏。
4. 自定义域名和 CDN 是否还在回源
就算桶改回私有，前面的 CDN 或自定义域名仍可能缓存着对象，短时间内外链还能打开。改权限后刷新对应 URL，并确认回源已经要求鉴权。
四项都看完，再决定要不要保留某个前缀的公开读。需要对外的静态资源，单独拆一个桶，比在业务桶上开整桶公共读更不容易误伤日志、备份和导出文件。
【声明】本内容来自华为云开发者社区博主，不代表华为云及华为云开发者社区的观点和立场。转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息，否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱：
cloudbbs@huaweicloud.com
- 点赞
- 收藏
- 关注作者
评论（0）