腾讯云存储桶(Bucket) 安全管理详细操作方法

腾讯云存储桶(Bucket) 安全管理详细操作方法

1. 访问权限设置

• ACL（访问控制列表）

• 进入 COS 控制台 → 选择目标 Bucket → 权限管理 → Bucket ACL

  

• 设置 公有读/私有读写 或自定义用户权限

• Policy（存储桶策略）

• 进入 权限管理 → Policy 权限设置

  

• 使用 JSON 策略语法精细控制访问权限（如限制特定 IP、用户、操作）

2. 数据加密

• 服务器端加密（SSE-COS）

• 进入 基础配置 → 加密方式 → 选择 SSE-COS（腾讯云托管密钥）

• 客户端加密

• 在上传前使用 SDK（如 Python、Java）对数据进行加密

3. 日志监控

• 开启访问日志

• 进入 日志管理 → 访问日志 → 选择 目标存储桶 存放日志

• 配置云监控告警

• 进入 云监控 → 告警策略 → 设置 异常访问、流量突增 等告警规则

4. 防盗链配置

• 设置 Referer 白名单

• 进入 安全防护 → 防盗链设置 → 填写 允许的域名（如 *.example.com）

• 空 Referer 控制

• 选择 是否允许空 Referer 访问（建议禁止）

小程序相关说明

小程序的网络请求的 referer 是固定格式为：https://servicewechat.com/{appid}/{version}/page-frame.html。

如果存储桶打开了防盗链限制，并且需要允许小程序加载 COS 图片，请在 对象存储控制台 配置防盗链白名单：servicewechat.com。

5. 版本控制

• 启用版本管理

• 进入 基础配置 → 版本控制 → 开启 版本控制

• 生命周期规则

• 进入 生命周期 → 设置 自动删除旧版本文件（如 30 天后清理）

6. 跨域设置（CORS）

• 配置 CORS 规则

• 进入 安全防护 → 跨域访问 CORS 设置

• 填写 允许的域名、HTTP 方法（GET/PUT）、Headers

7. 安全加固

• 定期轮换访问密钥

• 进入 CAM 控制台 → 访问密钥 → 定期更新 SecretId/SecretKey

• MFA 删除保护

• 进入 权限管理 → Bucket 设置 → 开启 MFA 删除（需二次验证）

8. 合规检查

• 使用安全合规扫描

• 进入 安全合规 → 风险检测 → 扫描 敏感数据、权限漏洞

• 定期审计权限

• 进入 访问管理（CAM） → 检查 Bucket 相关策略

9. 网络隔离

• VPC 访问控制

• 进入 安全防护 → 私有网络（VPC） → 绑定 指定 VPC

• IP 黑白名单

• 进入 安全防护 → IP 黑白名单 → 添加 允许/拒绝的 IP 段

10. 备份保护

• 跨地域复制

• 进入 数据管理 → 跨地域复制 → 设置 目标 Bucket（不同地域）

• 数据不可变保护（合规存储）

• 进入 基础配置 → 合规存储 → 启用 WORM（一次写入，多次读取）

最佳实践建议

✅ 最小权限原则：仅授予必要权限
✅ 定期审计：检查日志、权限、加密设置
✅ 多因素认证（MFA）：防止误删或恶意操作
✅ 监控告警：实时检测异常访问

按照以上步骤操作，可有效提升腾讯云存储桶的安全性。