新闻动态

OSS（Object Storage Service）对象存储通过一系列安全措施和访问控制机制来保障数据的安全性和访问权限的合理管理。以下是对OSS如何保障数据安全与访问控制的详细分析：

一、数据安全

数据加密：

服务器端加密：OSS支持多种服务器端加密方式，如使用OSS默认托管的Key Management Service (KMS) 密钥（SSE-KMS）、使用BYOK进行加密（SSE-KMS BYOK）和使用OSS完全托管加密（SSE-OSS）。这些方法确保静态数据在存储过程中得到充分保护，并且对于用户透明，下载时自动解密。

客户端加密：用户可以在上传数据前自行加密，并在OSS中存储加密后的数据。这种加密方式允许客户对加密过程拥有完全控制权，使用自己的密钥进行加密和解密。

传输加密：OSS支持HTTPS传输协议，确保数据在从客户端到OSS服务之间的网络传输过程中得到加密，防止数据在传输过程中被截获或篡改。

数据保护：

同城冗余存储：采用多可用区（AZ）机制，将用户的数据分散存放在同一地域的多个可用区，保障数据的正常访问和高可靠性。

版本控制：启用版本控制功能，自动保存对象的历史版本，即使误操作或恶意删除，也能恢复数据到先前状态。

合规保留策略：支持WORM（一次写入，多次读取）特性，允许用户以“不可删除、不可篡改”的方式保存和使用数据。当策略锁定后，任何用户在Object的保留时间到期之前都无法删除Object和策略。

敏感数据识别与保护：

结合数据安全中心DSC（Data Security Center）使用，能够识别、分类和分级敏感数据，构建一个多层次、动态的安全和监管机制，追踪敏感数据的使用情况，并根据预先定义的安全管理策略，对数据进行保护、审计和告警。

二、访问控制

身份验证：

通过Access Key ID和Access Key Secret进行身份验证，确保只有授权用户才能访问OSS资源。

访问策略：

ACL（访问控制列表）：允许直接在Bucket或Object级别设置详细的访问权限，可以指定不同的用户（比如拥有特定AccessKey ID的用户）、用户组或其他阿里云账号拥有读、写、列举或完全控制权限。

RAM Policy（基于用户的授权策略）：通过策略的方式进行细粒度的权限管理，可以为RAM用户、角色或组分配策略，策略中定义了对OSS资源的操作权限。

Bucket Policy（基于资源的授权策略）：提供了一种更为灵活的方式来定义对Bucket及其内部Objects的访问规则，支持更复杂的条件语句，可以根据请求源IP、HTTP头部信息等多种条件来决定是否允许访问。

临时访问控制：

签名URL：生成带有过期时间和访问权限限制的URL，用于临时授予他人对特定对象的访问权限。

STS（Security Token Service）：允许生成临时的、有限制权限的Access Key ID和Secret Access Key，以及一个安全令牌。这些临时凭证可以在有效期内替代长期的Access Key用于访问OSS资源，过期后自动失效，从而提高了安全性。

防盗链：

设置referer黑名单或白名单，防止未经授权的网站通过链接直接访问OSS中的对象，有效防范盗链行为。

三、日志审计与监控

访问日志查询：OSS提供详细的访问日志记录，便于用户追踪和分析Bucket及对象的访问行为，及时发现潜在安全威胁。

实时日志查询：结合日志服务（LOG），允许用户在OSS控制台直接查询OSS访问日志，帮助完成操作审计、访问统计、异常事件回溯和问题定位。

监控服务：提供系统基本运行状态、性能以及计量等方面的监控数据指标，并支持自定义报警服务，帮助用户及时诊断系统的相关问题。

四、国际认证

OSS通过了包括Cohasset Associates审计认证、FINRA 4511、CFTC 1.31、ISO、BS10012、CSA STAR在内的多项国际合规标准认证，表明其在数据保护和隐私管理等方面符合严格的行业规范和法律法规要求。

OSS对象存储通过多层次、全方位的安全措施和访问控制机制，为用户提供了一个安全、可靠且符合合规性要求的数据存储环境。