分享一個對象存儲和 CDN 配合使用的話題，一般來講，公有云廠商提供對象存儲的服務之外，還會附帶一些增值服務，這些服務是適配不同的應用場景的。什么意思？

對象存儲本質上解決了海量存儲的問題，但是數據不僅要可靠的存儲，大部分情況數據還要處理才會有價值，所以一般公有云廠商還會有數據處理的服務，比如圖像處理，類似縮略圖，音視頻轉碼，視屏截幀。

其次，數據訪問，也有特殊需求，比如一次上傳，多次下載的場景，就配合使用 CDN 的服務，因為 CDN 的下載流量會比對象存儲服務下載的成本要低。

什么是 CDN ？全稱 Content Delivery Network，本質上是部署在各地的邊緣服務器，提供數據的就近訪問體驗，并有效降低數據服務器后端壓力。

從技術實現來講，CDN 其實是后端服務器的緩存代理。

示意圖：

公有云廠商提供對象存儲服務的同時，還會提供 cdn 服務，因為這兩個服務都是一家，所以自然方便協同操作。

數據上傳：

1. 數據上傳走對象存儲服務的域名（endpoint）；

數據下載：

1. 數據下載可以走對象存儲服務的域名；
2. 也可以走 cdn 域名下載；

對象存儲開啟 cdn 之后，客戶端使用 cdn 服務的域名請求數據。如果數據不在 cdn 服務，cdn 服務會自動使用對象存儲 Bucket 域名回源，拉取數據到 cdn 的緩存下來。這樣之后的壓力全都卸載于 cdn 服務上。所以，從以上描述我們再一次體會：cdn 其實就是簡單的后端存儲服務的緩存代理。如果業務要使用 cdn 的話，需要明確 cdn 服務的域名，對象存儲的域名，將映射關系配置在 cdn 服務中（這一步其實是公有云廠商幫我們做好）。上傳數據使用對象存儲域名，讀取數據使用 cdn 域名。

cdn 在用戶請求不命中的時候，需要回源后端拉取數據。那么不知道大家有沒有思考過，cdn 使用什么樣的方案才能正確的獲取數據呢？（因為 S3 協議是有權限校驗的，也就是數字簽名，S3 v4 協議會把 host 簽在數字身份校驗中，也就是說，一般情況，cdn 是無法直接轉發的）。一般，對象存儲服務和 cdn 配合實現有三種解決方案：

1. presign
2. 授權讀
3. 公共讀

presign 也叫預簽名。這種方案是客戶端把簽名完全準備好，所有的簽名元素和校驗全都在 query url 里面。cdn 這種場景下真的就是做一個純粹轉發代理。但 presign 有個限制是只能使用 S3 V2 版本簽名，因為cdn 回源時 host 會變，v4 版本簽名會簽 host，所以這種情況下簽名校驗會不通過。

這個是通用的方式，S3 的 Bucket 支持細粒度的權限分配，也就是 Policy 策略。它允許把各種操作權限分配給各種指定的對象。

在公有云上，用戶申請 cdn 服務的資源，主要做幾個配置（公有云廠商幫你搞定的）：

• 提供CDN域名與Bucket域名的映射關系
• 業務和 CDN 之間的認證方式

公有云廠商還會將業務方的 Bucket 授予 cdn 服務讀權限。這樣，當 cdn 未命中，cdn 回源，就可以使用自己的賬號向對象存儲服務請求數據（因為開啟 cdn 的時候，已經通過 policy 授權給 cdn 了，所以能讀到數據）。

S3 的 Bucket 是可以配置成公共讀，也叫做匿名訪問。隨便任何客戶端直接 curl 都能得到數據，所以 cdn 自然也能得到數據。這個是一個特殊方案，我們通常不會這樣操作。這種方式可想而知，適用場景有限，因為數據安全是無法保證的