云服务器内容精选

  • OBS工具汇总 对象存储服务 (Object Storage Service,OBS)提供如表1所示工具,供用户使用。 表1 OBS工具一览表 工具 说明 应用场景 OBS Browser+ OBS Browser+是一款用于访问和管理对象存储服务的图形化工具,支持完善的桶管理和对象管理操作。OBS Browser+的图形化界面可以非常方便地让用户在本地对OBS进行管理。 适用于在中小型企业中上传、下载和分享个人数据等场景。推荐非IT行业,如医疗、交通、教育等行业用户使用,方便对数据执行操作。 obsutil obsutil是一款用于访问管理OBS的命令行工具,可以对OBS进行常用的配置管理操作,如创建桶、上传文件/文件夹、下载文件/文件夹、删除文件/文件夹等。对于熟悉命令行程序的用户,obsutil是执行批量处理、自动化任务的好的选择。 建议中小型企业的IT运维管理人员在备份、分享、管理数据时使用。命令行方式更高效,可以和脚本集成做简单自动化处理。 基因、教育等行业也可以使用obsutil将每日增量数据同步上云。 s3fs s3fs是一款基于用户空间文件系统(Filesystem in Userspace,简称FUSE)的文件系统工具,支持您在Linux系统中,将OBS对象桶挂载到本地文件系统,让您能够像操作本地文件一样操作对象,实现数据的共享。 适用于原本使用本地文件系统存储数据的用户,可以把数据存储在OBS上但不改变数据的访问方式。 obsfs(已下线) obsfs工具于2024年7月1日下线,下线后OBS不再对此工具提供维护和客户支持服务,请使用s3fs将OBS对象桶挂载至Linux系统。给您带来不便敬请谅解。 - obsftp(已下线) obsftp工具于2021年2月9日正式下线,下线后OBS不再对此工具提供维护和客户支持服务,给您带来不便敬请谅解。 - OBS Browser(已下线) OBS Browser已于2020年4月15日下线,相关功能已集成到新版客户端工具OBS Browser+中,请获取最新的OBS Browser+工具。给您带来不便敬请谅解。 -
  • 方案架构 应用客户端每个请求都将向应用服务器申请预签名URL,该预签名URL有效期由应用服务器管理。具体流程如图1。 图1 移动应用访问OBS数据流程 角色分析如下: 应用客户端:即最终用户手机上的APP,负责向应用服务器申请包含预签名的URL,以及访问OBS完成数据上传或下载。 应用服务器:即提供该Android/iOS应用的开发者开发的APP后台服务,用于管理凭证信息以及发放预签名URL。 OBS:即华为云对象存储,负责处理移动应用的数据请求。 实现流程如下: 移动应用客户端向应用服务器申请一个预签名的URL。 Android和iOS应用使用OBS服务时,不需要存储访问密钥(AK/SK)。应用在上传前必须向用户的应用服务器申请访问OBS的URL,并携带必须信息,包括请求类型、资源路径和资源名称。比如上传操作需要标识该URL为上传请求,需要包含上传的路径以及上传对象的名称;下载操作需要标识该URL为下载请求,需要包含所下载对象的名称。 应用服务器作为可信设备,在应用服务器上存储访问密钥(AK/SK)。应用服务器在验证客户端身份合法之后,使用应用服务器保存的访问密钥(AK/SK)以及客户端访问的资源、操作类型生成预签名URL。举例: https://examplebucket.obs.cn-north-4.myhuaweicloud.com/objectkey?AccessKeyId=AccessKeyID&Expires=1532779451&Signature=0Akylf43Bm3mD1bh2rM3dmVp1Bo%3D Android/iOS移动应用获取此URL,直接使用该URL操作数据,比如上传或者下载操作。 URL中会包含用户的AK、签名、有效期、资源等信息,任何拿到这个URL的人均可执行这个操作。OBS服务收到这个请求并验证签名后,认为该请求就是签发URL的用户自己在执行操作。例如构造一个携带签名信息的下载对象URL,拿到相应URL的人能下载这个对象,但该URL只在Expires指定的失效时间内有效(如果使用临时访问密钥,有效期为临时访问密钥有效时长和Expires的最小值)。URL中携带签名主要用于在不提供给其他人SK的情况下,让其他人能用预签发的URL来进行身份认证,并执行预定义的操作。
  • 资源和成本规划 最佳实践中涉及的资源如下: 表1 资源说明 资源 资源说明 应用客户端(APP Client) 最终用户手机上的APP,负责向应用服务器申请包含预签名的URL,以及访问OBS完成数据上传或下载。 应用服务器(APP Server) 提供该Android/iOS应用的开发者开发的APP后台服务,用于管理凭证信息以及发放预签名URL。 对象存储服务(OBS) 华为云对象存储服务,负责处理移动应用的数据请求。
  • OBS最佳实践汇总 本文汇总了基于对象存储服务(OBS,Object Storage Service)常见应用场景的操作实践,为每个实践提供详细的方案描述和操作指导,帮助用户轻松构建基于OBS的存储业务。 表1 OBS最佳实践一览表 最佳实践 说明 面向AI场景使用OBS+SFS Turbo的存储加速实践 针对AI训练场景中面临的问题,华为云提供了基于对象存储服务OBS+高性能文件服务SFS Turbo的AI 云存储 解决方案。华为云高性能文件服务SFS Turbo HPC型支持和OBS数据联动,您可以通过SFS Turbo HPC型文件系统来加速对OBS对象存储中的数据访问,并将生成的结果数据异步持久化到OBS对象存储中长期低成本保存。 OBS安全配置建议 本章节提供了OBS使用过程中的安全最佳实践,旨在为提高整体安全能力提供可操作的规范性指导。 企业数据权限控制最佳实践 本最佳实践提供了企业开通OBS后可以设置的四种常见权限控制。 为不同职能部门的员工设置不同的访问权限,以此达到不同部门人员访问公司数据的权限隔离。 设置权限允许其他部门/项目用户下载共享数据,禁止写删。 给各业务部门分配各自所需的 IAM 用户,通过桶策略给每个业务部门下的IAM用户授予独立的资源权限。 通过OBS Browser+添加外部桶的方式实现业务部门之间桶资源隔离。 搬迁本地数据至OBS 本章节根据用户本地(个人电脑或自建存储服务器)数据大小,介绍了几种将本地数据搬迁至OBS的方式,并针对不同方式提供了对应操作流程及指导。 迁移第三方云厂商的数据至OBS 本章节根据存储在第三方云厂商的数据量及迁移场景,介绍了几种迁移方式,并针对不同方式提供了对应操作流程及指导。 OBS之间数据迁移 本章节介绍如何在华为云对象存储服务OBS之间进行跨账号、跨地域、以及同地域内的数据迁移。 使用备份软件实现本地数据备份至OBS 本章节描述了备份本地数据至OBS的背景以及OBS支持的备份软件,并以Commvault备份软件为例,介绍了备份本地数据至OBS的基本流程。 在E CS 上通过内网访问OBS ECS支持通过公网和华为云内网两种方式访问OBS,为优化性能、节省开支,建议通过华为云内网访问OBS。本章节详细描述了在ECS上如何通过华为云内网访问OBS服务。 通过 CDN加速 访问OBS OBS支持通过CDN加速实现快速获取存储在OBS上的数据,提升终端用户体验,降低OBS流量开销。本章节以OBS文件下载加速为例,介绍了如何通过CDN加速访问OBS。 使用自定义 域名 托管静态网站 本章节详细描述了在OBS上使用自定义域名托管静态网站的操作流程及步骤,无需搭建网站服务器,即可快速发布个人及企业静态网站。 OBS数据一致性校验 对象数据在上传下载过程中,有可能会因为网络劫持、数据缓存等原因,存在数据不一致的问题。本章介绍如何利用OBS提供的通过计算MD5值的方式,对上传下载的数据进行一致性校验。 性能优化最佳实践 本章节介绍如何通过给对象添加随机前缀名,对高速率访问请求进行水平扩展,以达到提升访问速率,降低访问时延的效果。 将WordPress远程附件存储到OBS 本章节介绍如何通过插件,将WordPress远程附件存储到华为云OBS。 Web端通过PostObject接口直传OBS 本章节介绍一种在Web端利用PostObject接口直传文件至OBS的方法,即使用表单上传方式上传文件至OBS。该方案省去了应用服务器这一步骤,提高了传输效率,不会对服务器产生压力,且服务端签名后直传可以保证传输的安全性。 移动应用直传 本章节介绍了应用客户端访问OBS的两种方法,从而更好地保护应用数据,避免被攻击后数据泄露以及越权访问的风险。 小程序直传OBS 本章节通过一个示例程序演示了如何通过微信小程序上传文件至OBS。 通过Nginx反向代理访问OBS 本章节介绍如何通过在ECS上配置Nginx反向代理,实现通过固定IP地址访问OBS。 大数据场景下使用OBS实现存算分离 华为云存算分离大数据方案相比传统大数据方案,在同样的业务规模下所使用的计算资源、存储资源以及服务器数量都会有明显下降,同时资源利用率也能得到显著提升,可帮助企业降低业务综合成本。 通过s3fs挂载OBS对象桶 s3fs是一款基于用户空间文件系统(Filesystem in Userspace,简称FUSE)的文件系统工具。本章节介绍在Linux系统中,将OBS对象桶挂载到本地文件系统,让您能够像操作本地文件一样操作对象,实现数据的共享。 为帮助企业高效上云,华为云Solution as Code萃取丰富上云成功实践,提供一系列基于华为云可快速部署的解决方案,帮助用户降低上云门槛。同时开放完整源码,支持个性化配置,解决方案开箱即用,所见即所得。 表2 Solution as Code一键式部署类最佳实践汇总 一键式部署方案 说明 相关服务 CDN下载加速 该方案可以自动将存储在OBS中的数据按需缓存至各地CDN节点,有效加速实现静态资源访问和下载加速 CDN、OBS、DNS 全球数据传输加速 该解决方案基于华为云全站加速 WSA服务的动态加速技术构建,有效提升动态页面的加载速度和访问成功率 WSA、OBS、DNS、EIP 文字识别 -发票识别与验真 该解决方案基于华为云文字识别 OCR服务增值税发票识别与发票验真技术构建,实现财税报销自动化 FunctionGraph、OCR、OBS 内容审核 -图片审核 该解决方案可以自动识别图片中涉黄、广告、涉政涉暴、涉政敏感人物等违规内容,降低业务违规风险 FunctionGraph、Moderation、OBS 人证核身 解决方案 该解决方案基于华为云人证核身 IVS服务和 人脸识别 FRS服务构建,快速实现对用户身份真实性的核验 FunctionGraph、IVS、OBS、FRS、APIG 语音识别 解决方案 该方案支持中文普通话以及带方言口音的普通话识别以及方言(四川话、粤语和上海话)的识别 FunctionGraph、SIS、OBS 语音识别-隐私通话内容分析 适用于电商领域客服服务过程异常检测,电销领域违规、投诉、专项检测及金融领域机会点挖掘、信用分析等场景 FunctionGraph、语音识别、OBS、SIS 语音识别-客服中心语音质检 适用于货运出行行业隐私通话分析、金融保险领域业务洞察分析及安防风控领域反诈威胁分析等场景 FunctionGraph、语音识别、OBS、SIS 无服务器日志实时分析 该解决方案帮助您基于无服务器架构实现弹性云服务器 ECS日志的采集、分析、告警以及存档 FunctionGraph、OBS、ECS、LTS、 SMN 无服务器图片生成缩略图 基于 函数工作流 FunctionGraph快速实现生成图片缩略图,适用于各种Web网页场景 FunctionGraph、OBS 无服务器文件解压 基于函数工作流 FunctionGraph快速实现对象存储 OBS桶里的ZIP或者TAR类型压缩包的自动在线解压 FunctionGraph、OBS CDN日志定时转储解决方案 基于函数工作流 FunctionGraph帮助用户定时转储CDN服务产生的日志到指定对象存储桶中 FunctionGraph、CDN、OBS 无服务器告警推送 提供一种免开发、易使用、低成本的方式,自动推送华为云的资源告警信息到您常用的通讯平台或统一告警平台 ECS、EVS、OBS、 CES 、SMN、FunctionGraph、DEW、VPC
  • 背景信息 常见的Web端上传方法是用户通过浏览器上传文件至应用服务器,再由应用服务器上传至OBS,数据需要在应用服务器中转,传输效率较低,且多任务同时上传时应用服务器压力大。 本文介绍一种在Web端利用PostObject接口直传文件至OBS的方法,即使用表单上传方式上传文件至OBS。如图1所示,该方案省去了应用服务器这一步骤,提高了传输效率,不会对服务器产生压力,且服务端签名后直传可以保证传输的安全性。 图1 Web端PostObject直传流程图
  • 操作流程 本文档介绍面向AI场景如何使用OBS+SFS Turbo的存储加速,流程如图1所示。 图1 面向AI场景使用OBS+SFS Turbo的存储加速方案步骤 表1 面向AI场景使用OBS+SFS Turbo的存储加速流程说明 序号 步骤 说明 1 规划组网和资源 此步骤请提交工单联系技术支持人员进行支撑配置。 2 创建资源 创建VPC:创建1个虚拟私有云和子网。 创建SFS Turbo HPC型文件系统:创建1个SFS Turbo文件系统,文件系统类型选择“HPC型”,存储类型请根据存储容量和性能需求选择,AI场景建议选择250MB/s/TiB及以上的存储类型。 创建OBS桶:创建1个OBS桶,存储类别为“标准存储”,桶策略为“私有”。 创建ModelArts资源池:创建1个专属资源池。 3 基本配置 配置ModelArts和SFS Turbo间网络直通。 创建委托授权ModelArts云服务使用SFS Turbo。 配置ModelArts网络关联SFS Turbo。 配置SFS Turbo和OBS联动。 配置SFS Turbo数据自动导出到OBS桶。 配置SFS Turbo数据淘汰策略。 4 训练 上传数据至OBS并预热到SFS Turbo中。 创建训练任务。 5 例行运维 使用OBS+SFS Turbo的存储加速方案的过程中,您可以进行采取以下运维措施,保证系统正常高效运行: SFS Turbo容量监控及告警。 SFS Turbo性能监控。 调整SFS Turbo数据淘汰策略。 SFS Turbo容量及性能扩容。 OBS性能监控。 如果您想了解更多本方案相关信息,或在方案使用过程中存在疑问,可通过方案咨询渠道,寻求专业人员支持。 父主题: 面向AI场景使用OBS+SFS Turbo的存储加速实践
  • 正确的使用OBS提供的访问控制能力保护数据不泄露、不被篡改 正确的使用OBS提供的访问控制能力,可以有效预防您的数据被异常窃取或者破坏。 建议对不同角色的IAM用户仅设置最小权限,避免权限过大导致数据泄露或被误操作 为了更好的进行权限隔离和管理,建议您配置独立的IAM管理员,授予IAM管理员IAM策略的管理权限。IAM管理员可以根据您业务的实际诉求创建不同的用户组,用户组对应不同的数据访问场景,通过将用户添加到用户组并将IAM策略绑定到对应用户组,IAM管理员可以为不同职能部门的员工按照最小权限原则授予不同的数据访问权限,详情请参见部门公共数据权限管理和策略语法。 利用桶策略保护您的数据不被异常读取和操作 仅在资源上配置实际业务处理中所需权限,避免权限配置过大导致数据被错误分享给他人。详情请参见OBS权限控制概述。 OBS的桶策略支持多种Condition条件灵活设置,每一个Condition都是一个新的安全控制维度,建议您通过配置Condition进一步限定数据访问的上下文,如通过拒绝非指定源IP或非指定VPC对桶的访问,限制数据只能被指定客户端访问,避免数据被窃取。详情请参见限制指定IP地址对桶的访问权限、配置双端固定和桶策略参数说明。 建议使用双端固定,即同时设置 VPC终端节点 策略与桶策略,对OBS的资源进行权限控制 设置VPC终端节点策略可以限制VPC中的服务器(ECS/CCE/BMS)访问OBS中的特定资源;同时,设置桶策略可以限定OBS中的桶被特定VPC中的服务器访问,从而在请求来源和被访问资源两个角度保证OBS数据的安全性。详情请参见配置双端固定。 建议将需要公开访问的对象和私有的对象使用不同的桶进行存储,从而简化您的访问控制策略 推荐将需要公开访问的对象和私有的对象使用不同的桶进行存储。公开桶内请勿存放敏感数据,同时请避免私有桶误配置授权公开访问的桶策略导致私有对象泄露,建议存储私有对象的桶通过Condition进一步限制可以访问数据的源端确保数据不被外部攻击者窃取。详情请参见限制指定IP地址对桶的访问权限。 建议使用OBS的数据临时分享功能来快速分享指定数据,无需进行复杂的桶策略编写 当需要将存放在OBS中对象(文件或文件夹)分享给其他用户时,建议使用OBS的数据临时分享功能,分享的URL可指定有效期,过期自动失效,避免数据长期暴露给其他用户导致泄露。详情请参见通过临时URL访问OBS。 开启敏感操作多因子认证保护您的数据不被误删 OBS支持敏感操作保护,开启后执行删除桶等敏感操作时,系统会进行身份验证,进一步保证OBS配置和数据的安全性,对数据的高危操作进行控制。详情请参见敏感操作。
  • 加密存储数据 OBS支持SSE-KMS服务端加密方案,为桶配置SSE-KMS服务端加密能力后,对于上传到桶中的每个对象,OBS都会访问KMS服务获取您指定的KMS密钥进行 数据加密 ,避免数据明文存储。当下载对象时,OBS同样会访问KMS获取对应密钥进行数据解密,整个加解密过程中OBS都不会存储对应密钥。详情请参见配置桶默认加密。 OBS支持SSE-OBS服务端加密方案,为桶配置SSE-OBS服务端加密能力后,对于上传到桶中的每个对象,OBS都会进行数据加密,避免数据明文存储。当下载对象时,OBS会自动帮助用户进行数据解密。详情请参见配置桶默认加密。 除了SSE-KMS和SSE-OBS方案,OBS还支持SSE-C服务端加密方案,您可以在对象上传和下载的请求中携带密钥和加解密算法,OBS使用您提供的密钥和算法对对象数据进行加解密,避免数据明文存储。OBS不存储您提供的加密密钥,如果您丢失加解密密钥,则会无法获取该对象明文数据。详情请参见服务端加密SSE-C方式。
  • 使用其他云服务进一步增强对数据的安全防护 启用WAF进行静态网站防护 如果您需要使用OBS静态网站托管功能,为进一步提升您网站的安全性,建议您使用华为云的WAF服务对您的域名进行保护,降低网站被网络攻击的风险。详情请参见管理防护域名。 启用 态势感知 服务(SA)保障OBS资源安全 态势感知通过“安全上云合规检查1.0”、“等保2.0三级要求”、“护网检查”三种基线规则,检测OBS桶关键配置项,告警提示存在安全隐患的配置,并提供相应配置加固建议和帮助指导。您可以通过态势感知的资源管理功能,快速了解到OBS桶所属区域、安全状况等信息,帮助您定位安全风险问题。详情请参见资源管理。 隐私保护 随着组织管理越来越多的数据,大规模地识别和保护它们的敏感数据会变得越来越复杂、昂贵和耗时。建议您通过DSC服务对OBS桶内数据进行敏感数据识别和管理,降低隐私数据识别和保护的成本以及复杂度。详情请参见创建敏感数据识别任务。
  • 构建数据的恢复、容灾能力避免数据被异常破坏 预先构建数据的容灾和恢复能力,可以有效避免异常数据处理场景下数据误删、破坏的问题。 建议启用多版本获得异常场景数据快速恢复能力 利用多版本控制,您可以在一个桶中保留一个对象的多个版本,在意外操作或应用程序故障时通过历史版本对象快速恢复数据。详情请参见多版本控制。 建议使用跨区域复制构建异地数据容灾能力 有些数据需要异地备份存储,跨区域复制为您提供跨区域数据容灾的能力,满足您将数据复制到异地进行备份的需求。详情请参见跨区域复制。
  • 利用OBS提供的操作日志审计是否存在异常数据访问操作 开启 云审计 服务记录OBS的所有访问操作便于事后审查 云审计服务(Cloud Trace Service, CTS ),是华为 云安全 解决方案中专业的日志审计服务,提供对各种云资源操作记录的收集、存储和查询功能,可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 您开通云审计服务并创建和配置追踪器后,CTS可记录OBS的管理事件和数据事件用于审计。详情请参见审计。 开启桶Logging记录桶的所有访问请求 通过访问日志记录,桶的拥有者可以深入分析访问该桶的用户请求性质、类型或趋势。当用户开启一个桶的日志记录功能后,OBS会自动对这个桶的访问请求记录日志,并生成日志文件写入用户指定的桶中。详情请参见日志记录。 使用 云监控服务 对安全事件进行实时监控、告警 您在使用OBS的过程中会也可能会遇到服务端返回的错误响应,为使您更好地掌握OBS桶的状态,华为云提供了 云监控 服务(Cloud Eye)。您可使用该服务监控自己的OBS桶,执行自动实时监控、告警和通知操作,帮助您实时掌握桶中所产生的请求、流量和错误响应等信息。 云监控服务不需要开通,会在用户创建资源(如OBS桶)后自动启动。 关于云监控服务的更多介绍,请参见云监控服务产品介绍。
  • 确保您的数据在传输到OBS过程中不被窃取和篡改 建议使用HTTPS协议访问OBS,确保数据传输过程中不被窃取和破坏 HTTPS(超文本传输安全协议)是一种互联网通信协议,可保护客户端与服务端之间传输的数据的完整性和机密性。建议您使用HTTPS协议进行数据访问。 建议使用桶策略限制对OBS桶的访问必须使用HTTPS协议 为避免客户端误使用HTTP协议进行OBS业务操作,建议通过桶策略中的SecureTransport条件进行限制,限制是否必须使用HTTPS协议发起请求对该桶进行操作。SecureTransport配置为True时,发起的请求必须使用SSL加密。如何配置桶策略中Condition以及SecureTransport条件,详情请参见桶策略参数说明。
  • 建议妥善管理认证凭证,减小因凭证泄漏导致的数据泄露风险 建议使用临时AK/SK进行业务处理,减小凭证泄漏导致您数据泄露的风险 当部署在ECS上的应用程序或者其他华为云服务需要访问OBS资源时,必须对访问OBS的请求进行签名,因此应用程序或服务需要持有一个可以访问OBS桶的凭证。建议您为应用程序或服务配置IAM委托或临时AK/SK,通过IAM委托可以获取一组临时AK/SK,临时AK/SK到期自动过期失效,可以有效降低凭证泄露造成的数据泄露风险。详情请参见通过临时访问密钥访问OBS和通过委托获取临时AK/SK。 定期轮转永久AK/SK减小凭证泄漏导致您数据泄露的风险 如您必须使用永久AK/SK,建议对永久AK/SK进行定期凭证轮转,同时加密存储,避免凭证长期使用过程中预置的明文凭证泄露导致数据泄露。详情请参见通过永久访问密钥访问OBS。
  • SFS Turbo容量及性能扩容 当SFS Turbo存储空间不足时,您可以对SFS Turbo存储空间进行容量扩容。 SFS Turbo HPC型是按每TB单位容量来提供一定的带宽吞吐,因此当SFS Turbo HPC性能不足时,需要通过容量扩容来提高性能吞吐。 登录SFS管理控制台,在左侧导航窗格中选择“SFS Turbo”。 在文件系统列表中,单击要扩容的文件系统所在行的“容量调整”或“扩容”,弹出对话框。 图1 SFS Turbo HPC型容量调整 根据业务需要,在“新容量”文本框中重新设置文件文系统的容量。 在弹出对话框中确认容量调整信息后,单击“是”。 在文件系统列表中查看文件系统调整后的容量信息。
  • SFS Turbo容量监控及告警 如果SFS Turbo HPC型文件系统存储空间被写满,会影响业务运行,您可以在CES云监控服务上监控SFS Turbo文件系统的容量使用情况,并创建告警规则,当容量使用率超过一定阈值,可以发送邮件、短信等告警到运维人员。当收到容量监控告警时,您需要及时清理SFS Turbo存储空间、或缩短冷数据淘汰时间加速冷数据淘汰、或对SFS Turbo进行空间扩容。详情可参见SFS Turbo监控指标说明和创建告警规则。