阿里云ACP认证之对象存储OSS知识整理（考题占比 17%）

什么是对象存储OSS？

阿里云对象存储服务（Object Storage Service，简称 OSS），是阿里云提供的海量、安全、低成本、高可靠的云存储服务。其数据设计持久性不低于 99.9999999999%（12 个 9），服务设计可用性（或业务连续性）不低于 99.995%。

对象是OSS存储数据的基本单元，也被称为OSS的文件。对象由元信息（ObjectMeta）、用户数据（Data）和文件名（Key）组成。对象由存储空间内部唯一的Key来标识。对象元信息是一组键值对，表示了对象的一些属性，比如最后修改时间、大小等信息，同时也可以在元信息中存储一些自定义的信息。

对象存储OSS VS 自建服务器存储：

对象存储OSS基础概念

• 存储类型（Storage Class）
  OSS 提供标准、低频访问、归档三种存储类型，全面覆盖从热到冷的各种数据存储场景。其中标准存储类型提供高可靠、高可用、高性能的对象存储服务，能够支持频繁的数据访问；低频访问存储类型适合长期保存不经常访问的数据（平均每月访问频率 1 到 2 次），存储单价低于标准类型；归档存储类型适合需要长期保存（建议半年以上）的归档数据，在三种存储类型中单价最低。
• 存储空间（Bucket）
  存储空间是您用于存储对象（Object）的容器，所有的对象都必须隶属于某个存储空间。存储空间具有各种配置属性，包括地域、访问权限、存储类型等。您可以根据实际需求，创建不同类型的存储空间来存储不同的数据。
• 对象/文件（Object）
  对象是 OSS 存储数据的基本单元，也被称为 OSS 的文件。对象由元信息（Object Meta）、用户数据（Data）和文件名（Key）组成。对象由存储空间内部唯一的 Key 来标识。对象元信息是一组键值对，表示了对象的一些属性，例如最后修改时间、大小等信息，同时您也可以在元信息中存储一些自定义的信息。
• 地域（Region）
  地域表示 OSS 的数据中心所在物理位置。您可以根据费用、请求来源等选择合适的地域创建 Bucket。
• 访问域名（Endpoint）
  Endpoint 表示 OSS 对外服务的访问域名。OSS 以 HTTP RESTful API 的形式对外提供服务，当访问不同地域的时候，需要不同的域名。通过内网和外网访问同一个地域所需要的域名也是不同的。
• 访问密钥（AccessKey）
  AccessKey（简称 AK）指的是访问身份验证中用到的 AccessKeyId 和 AccessKeySecret。OSS 通过使用 AccessKeyId 和 AccessKeySecret 对称加密的方法来验证某个请求的发送者身份。AccessKeyId 用于标识用户；AccessKeySecret 是用户用于加密签名字符串和 OSS 用来验证签名字符串的密钥，必须保密。

对象存储OSS常用功能

对象存储OSS计费

计费方式

OSS 的计费方式分为按量计费和包年包月两种。

• 按量付费：按实际使用量*单价的方式计费，每小时统计前一小时的实际用量并从账户余额中扣除实际消费金额。例如当前时间是 9:30，结算的是 8:00-9:00 产生的费用。
• 包年包月：预先购买指定资源包，之后使用资源时，扣除相应的额度。一般情况下，包年包月比按量付费更加优惠。资源包目前仅提供标准（LRS）存储包、低频（LRS）存储包、归档（LRS）存储包、标准（ZRS）存储包、低频（ZRS）存储包、下行流量包、 回源流量包、传输加速包

费用组成

OSS 服务费用由存储费用、流量费用、请求费用、数据处理费用、对象标签费用、传输加速费用组成：

欠费说明

如果您的 OSS 服务产生欠费，请知悉：

• 在欠费后 24 小时内进行充值，您的服务将不会受到停服影响。
• 当 OSS 服务处于欠费状态，且欠费时间超过 24 小时，OSS 服务将自动停止。而您所占用的存储空间的这部分资源仍会继续扣费， 因此欠费余额会累计。
• 如您欠费时间超过 24 小时，则您的 OSS 服务将自动停止，您可以在 15 天内充值补足欠费后，服务会自动开启，可以继续使用。
• 欠费超过 15 天，将视为您主动放弃 OSS 存储服务，阿里云不承诺继续保留您的数据，数据可能会被回收清理，清理后数据不可恢复。请注意数据清理之前仍会产生计费，因此如果您确认不再使用 OSS 存储服务，请务必自行删除 OSS 上的数据。

对象存储OSS使用限制

对象存储OSS存储类型

标准存储类型（Standard）

OSS标准存储类型提供高可靠、高可用、高性能的对象存储服务，能够支持频繁的数据访问。OSS高吞吐和低延时的服务响应能力能够有效支持各种热点类型数据的访问。标准存储类型是各种社交、分享类的图片、音视频应用、大型网站、大数据分析的合适选择。标准存储提供本地冗余存储（LRS）和同城冗余存储（ZRS）两种数据冗余存储方式：

• 本地冗余
  采用数据冗余存储机制，将每个对象的不同冗余存储在同一个区域内多个设施的多个设备上，确保硬件失效时的数据可靠性和可用性。
  关键特性：
  • 按照99.999999999%（11个9）数据可靠性设计
  • 按照99.99%服务可用性设计
  • 低延时、高吞吐的访问性能
  • 支持HTTPS加密传输
  • 支持图片处理
• 同城冗余
  采用多可用区（AZ）机制，将用户的数据分散存放在同一地域（Region）的3个可用区。当某个可用区不可用时，仍然能够保障数据的正常访问。
  关键特性：
  • 按照99.9999999999%（12个9）数据可靠性设计
  • 按照99.995%服务可用性设计
  • 低延时、高吞吐的访问性能
  • 支持HTTPS加密传输
  • 支持图片处理

低频访问存储类型（Infrequent Access）

OSS低频访问存储类型适合长期保存不经常访问的数据（平均每月访问频率1到2次）。存储单价低于标准类型，适合各类移动应用、智能设备、企业数据的长期备份，支持实时数据访问。低频访问存储类型的Object有最短存储时间，存储时间短于30天的Object提前被删除会产生一定费用。低频访问存储Object有最小计量空间，Object大小低于64KB，会按照64KB计算存储空间。数据获取会产生数据取回费用。低频访问存储提供本地冗余存储和同城冗余存储两种数据冗余存储方式：

• 本地冗余
  采用数据冗余存储机制，将每个对象的不同冗余存储在同一个区域内多个设施的多个设备上，确保硬件失效时的数据可靠性和可用性。
  关键特性：
  • 按照99.999999999%（11个9）数据可靠性设计
  • 按照99.99%服务可用性设计
  • 支持实时访问
  • 支持HTTPS加密传输
  • 支持图片处理
  • 有最短存储时间和最小计量空间
• 同城冗余
  采用多可用区（AZ）机制，将用户的数据分散存放在同一地域（Region）的3个可用区。当某个可用区不可用时，仍然能够保障数据的正常访问。
  关键特性：
  • 按照99.9999999999%（12个9）数据可靠性设计
  • 按照99.995%服务可用性设计
  • 支持实时访问
  • 支持HTTPS加密传输
  • 支持图片处理
  • 有最短存储时间和最小计量空间

归档存储类型（Archive）

OSS归档存储类型在三种存储类型中单价最低，适合需要长期保存（建议半年以上）的归档数据，在存储周期内极少被访问，数据进入到可读取状态需要1分钟的解冻时间。适合需要长期保存的档案数据、医疗影像、科学资料、影视素材。归档存储类型的Object有最短存储时间，存储时间短于60天的Object提前删除会产生一定费用。归档类型存储Object有最小计量空间，Object大小低于64KB，会按照64KB计算存储空间。数据获取会产生数据取回费用。

关键特性：

• 按照99.999999999%（11个9）数据可靠性设计
• 按照99.99%服务可用性设计
• 已经存储的数据从冷冻状态恢复到可读取状态需要1分钟的等待时间
• 支持HTTPS加密传输
• 支持图片处理，但需要先解冻
• 有最短存储时间和最小计量空间

存储类型对比

对象存储OSS安全性

对象存储OSS加密

OSS提供服务器端加密、客户端加密以及数据传输加密三种数据加密方式。

• 服务器端加密
  OSS通过服务器端加密机制，提供静态数据保护。适合于对于文件存储有高安全性或者合规性要求的应用场景。例如，深度学习样本文件的存储、在线协作类文档数据的存储。
  针对不同的应用场景，OSS有如下三种服务器端加密方式：
  • 使用OSS默认托管的KMS密钥（SSE-KMS）
  • 使用BYOK进行加密（SSE-KMS BYOK）
  • 使用OSS完全托管加密（SSE-OSS）
• 客户端加密
  客户端加密是指将数据发送到OSS之前在用户本地进行加密，对于数据加密密钥的使用，目前支持如下两种方式：
  • 使用KMS托管用户主密钥
    当使用KMS托管用户主密钥用于客户端数据加密时，无需向OSS加密客户端提供任何加密密钥。只需要在上传对象时指定KMS用户主密钥ID（也就是CMK ID）。其具体工作原理如下图所示。
    
  • 使用用户自主管理密钥
    使用用户自主管理密钥，需要用户自主生成并保管加密密钥。当用户本地客户端加密时，由用户自主上传加密密钥（对称加密密钥或者非对称加密密钥）至本地加密客户端。其具体加密过程如下图所示。
    
• 数据传输加密
  OSS支持通过HTTP或HTTPS的方式访问，但您可以在Bucket Policy中设置仅允许通过HTTPS（TLS）来访问OSS资源。安全传输层协议（TLS）用于在两个通信应用程序之间提供保密性和数据完整性。

对象存储OSS访问控制

OSS提供了多种权限控制方式，包括ACL、RAM Policy和Bucket Policy。

• ACL：OSS为权限控制提供访问控制列表（ACL）。ACL是基于资源的授权策略，可授予Bucket和Object访问权限。您可以在创建Bucket或上传Object时设置ACL，也可以在创建Bucket或上传Object后的任意时间内修改ACL。
  
  

• RAM Policy：RAM（Resource Access Management）是阿里云提供的资源访问控制服务。RAM Policy是基于用户的授权策略。通过设置RAM Policy，您可以集中管理您的用户（比如员工、系统或应用程序），以及控制用户可以访问您名下哪些资源的权限。比如能够限制您的用户只拥有对某一个 Bucket 的读权限。子账号是从属于主账号的，并且这些账号下不能拥有实际的任何资源，所有资源都属于主账号。

• Bucket Policy：Bucket Policy是基于资源的授权策略。相比于RAM Policy，Bucket Policy操作简单，支持在控制台直接进行图形化配置，并且Bucket拥有者直接可以进行访问授权，无需具备RAM操作权限。Bucket Policy支持向其他账号的RAM用户授予访问权限，以及向匿名用户授予带特定IP条件限制的访问权限。

对象存储OSS日志与监控

OSS提供访问日志存储及实时日志查询服务，便于您从多个维度来对日志进行细化跟踪。此外，OSS提供的监控服务，帮助您更好的了解OSS服务的运行状态并进行自主诊断和故障排除。

• 访问日志查询
  您在访问OSS的过程中，会产生大量的访问日志。日志存储功能，可将OSS的访问日志，以小时为单位，按照固定的命名规则，生成一个Object写入您指定的Bucket（目标 Bucket，Target Bucket）。您可以使用阿里云DataLakeAnalytics或搭建Spark集群等方式对这些日志文件进行分析。同时，您可以配置目标Bucket的生命周期管理规则，将这些日志文件转成归档存储，长期归档保存。

• 实时日志查询
  实时日志查询功能将OSS与日志服务（LOG）相结合， 允许您在OSS控制台直接查询OSS访问日志，帮助您完成OSS访问的操作审计、访问统计、异常事件回溯和问题定位等工作，提升您的工作效率并更好地帮助您基于数据进行决策。

• 监控服务
  OSS监控服务为您提供系统基本运行状态、性能以及计量等方面的监控数据指标，并且提供自定义报警服务，帮助您跟踪请求、分析使用情况、统计业务趋势，及时发现以及诊断系统的相关问题。

对象存储OSS数据保护

OSS提供合规保留策略、同城冗余存储及版本控制等特性来保障OSS的数据安全性。

• 合规保留策略
  OSS现已全面支持WORM（一次写入，多次读取）特性，允许用户以“不可删除、不可篡改”方式保存和使用数据。
  OSS提供强合规策略，用户可针对存储空间（Bucket）设置基于时间的合规保留策略。当策略锁定后，用户可以在Bucket中上传和读取文件（Object），但是在Object的保留时间到期之前，任何用户都无法删除Object和策略。Object的保留时间到期后，才可以删除Object。OSS支持的WORM特性，适用于金融、保险、医疗、证券等行业。您可以基于OSS搭建“云上数据合规存储空间”。

• 同城冗余存储
  OSS采用多可用区（AZ）机制，将用户的数据分散存放在同一地域（Region）的3个可用区。当某个可用区不可用时，仍然能够保障数据的正常访问。OSS同城冗余存储（多可用区）是基于99.9999999999%（12个9）的数据可靠性设计，并且能够提供99.995%的数据设计可用性 。
  
  OSS的同城冗余存储能够提供机房级容灾能力。当断网、断电或者发生灾难事件导致某个机房不可用时，仍然能够确保继续提供强一致性的服务能力，整个故障切换过程用户无感知，业务不中断、数据不丢失，可以满足关键业务系统对于“恢复时间目标（RTO）”以及“恢复点目标（RPO）”等于0的强需求。

• 版本控制 => 目前除华东1（杭州）、华南1（深圳）、华北3（张家口）外，其他地域均已支持版本控制功能。(2020年04月更新)
  开启存储空间（Bucket）版本控制特性后，针对数据的覆盖和删除操作将会以历史版本的形式保存下来。通过文件（Object）的版本管理，用户在错误覆盖或者删除Object后，能够将Bucket中存储的Object恢复至任意时刻的历史版本。
  版本控制应用于Bucket内的所有Object。当第一次针对Bucket开启版本控制后，该Bucket中所有的Object将在之后一直受到版本控制，并且每个版本都具有唯一的版本ID。
  Bucket开启版本控制后，针对文件的每次覆盖都会生成一个历史版本，并且针对每个版本进行收费。您可以通过生命周期规则自动删除过期版本。