使用腾讯云SCF实现COS费用封顶的最佳实践 世界观天下
发布时间：2023-04-08 04:57:39
来源：腾讯云
概述
腾讯云COS对象存储，在使用的过程中，为了降低开发成本或单纯的出于“便捷”的考虑，往往将存储桶设置为公有读状态。但这也埋下了巨大的安全风险的种子，在各种流量盗刷场景下，会快速吸干账户余额，正可谓“公有一时爽，盗刷就破产”。
那么对于我们这些中小企业个人用户，盗刷都有哪些具体危害呢？
【资料图】
那么有没有一种折中方案，允许我们在使用匿名用户访问的情况下的安全使用呢？既在常态模式下方便用户访问，又能在极端情况下为我们及时止损。
下面就介绍一下用过使用SCF来自动实现COS的权限修改的方式。
整体的逻辑为 创建SCF云函数-->定时拉取存bucket的准实时流量-->判断流量是否超过阈值-->修改为私有读方式
功能事件图
实现方式
功能介绍与组件
方案中所用到的产品包括
1.云函数（Serverless Cloud Function，SCF）
云函数的主要作用和优势
1）可以创建主动型触发事件，可根据需要设定触发周期。
2）已内置腾讯云 通用云openapi SDK以及COS SDK库，无需外部引用。
3）同园区与COS内网互访，不产生外网流量。
2.腾讯云可观测平台（Tencent Cloud Observability Platform，TCOP） AKA ：（云监控）
云监控主要作用
1）多维度采集COS监控项，包括外网流量，请求次数，CDN回源流量，跨地域复制流量等等。更多指标详见
https://cloud.tencent.com/document/product/248/45140
2）数据采集延时低，通过实际测试，一般10分钟内可采集到分钟级数据指标。
实现逻辑与步骤
云监控调用方法
# MetricName 参数 InternetTraffic 指的是外网下行流量 req = models.GetMonitorDataRequest() params = { "Namespace": "QCE/COS", "MetricName": "InternetTraffic", "Period": 60, "StartTime": time_start.strftime("%Y-%m-%d %H:%M:%S"), "EndTime": time_end.strftime("%Y-%m-%d %H:%M:%S"), "Instances": [ { "Dimensions": [ { "Name": "bucket", "Value": bucket } ] } ] } req.from_json_string(json.dumps(params))返回数据
{ "Response": { "DataPoints": [ { "Dimensions": [ { "Name": "bucket", "Value": "wainsun-1253985742" } ], "Timestamps": [ 1680576000, 1680576060, 1680576120, 1680576180, 1680576240, 1680576300 ], "Values": [ 155189649, 169098752, 0, 0, 0, 0 ] } ], "EndTime": "2023-04-04 10:45:00", "MetricName": "InternetTraffic", "Msg": "", "Period": 60, "RequestId": "57d5d310-0989-47db-8982-26b1903afe85", "StartTime": "2023-04-04 10:40:00" }}返回结果中
Timestamps以及对应的Values是我们得到并用于判断的数据信息。通过简单的SUM就可以得到这个时间段的总流量，从而做出限制性操作。
实践案例
介绍一个具体的实践案例，展示如何使用以上方法来实现流量费用封顶。
1. 登录腾讯云官网，进入到SCF控制台--函数服务--选择园区--点击“新建”按钮
2. 选择模板创建--过滤 timer关键词--找到定时拨测 标签：python3.6的模板
3. 确认配置
1）修改自定义函数名称，修改对应函数描述。
2）确认函数代码执行环境为运行环境：Python3.6执行方法： index.main_handler
3）启动日志，选择默认配置
4）修改触发器为自定义创建，触发方式定时触发，周期修改为每1分钟
5）点击完成
4. 创建函数并设置函数代码
创建过程很快，十几秒可创建成功。
进入到函数管理--函数代码--复制文章下面附件中的函数代码内容并粘贴进来
注意，这里需要按照自己的环境，修改4个必选变量
secret_id 和 secret_key
这个是账号的API 秘钥，建议使用子账号秘钥，子账号需要授权COS存储桶的putbucketacl权限。
region
这个是存储桶所在地域，更多地域信息可参见 COS地域列表
bucket
这个是存储桶的完整名称，通常为bucket-appid的形式，这个可以在COS控制台的桶列表中查看到。
其他可选变量
"MetricName":"InternetTraffic",
这里默认设置为公网下行流量，其他监控指标详见
if_flow>100*1024*1024:#超过100MB流量阈值
这里默认设置100MB，主要用于测试，测试完成后根据业务所需要的限额流量自行设置。
5. 部署与测试
点击测试，会自动执行 ：部署+1次函数 触发
执行正常可以看到测试成功，并返回执行日志。
6. 验证有效性
设置对应存储桶权限为公共读权限，并验证匿名访问一个对象，正常可以返回200 ok
找到一个大于我们设置阈值100MB的文件，再次下载。
注意：不要使用同地域的CVM或docker测试，同地域走内网，不会产生公网下行流量。
大约10分钟后，可以看到云函数检查到了公网下行流量超过阈值，并将存储桶ACL改为私有。
控制台检查并再次匿名测试下载资源
均符合预期。
这样就实现了盗刷场景发生后自动及时止损。这里为什么会延时10分钟的，这个是因为存储桶数据的采集，向云监控推送，统一计算等等均需要时间。所以根据实践测试，将延时设置为10分钟。
总结
上面通过这个实践，我们将SCF，COS，云监控整合在一起，通过基础数据采集，事件触发，ACL修改等方式，实现了盗刷即停服的保护措施，同时又弥补了告警+人工处理的时效性低的问题。针对于费用敏感又必须使用匿名方式对外提供访问的用户，是一个比较适合的方案。
多说几句。
上面的实践是通过检测外网下行流量并修改存储桶的ACL的方式实现止损。
如果使用CDN（回源鉴权）+COS的方式，那么修改私有是没有效果的，因为CDN的回源参数都会带上签名，这样的场景就需要修改授权CDN的策略来实现止损，(需要将授权给CDN策略的allow改为deny），接口调用方式详见。如果有朋友需要也可以在下面留言，我会再补充文档。
再多说几句。
如果对停服敏感，可以将代码中这段注释去掉。这样就可实现盗刷流量峰值过去后即恢复服务。但可能有反复盗刷的情况。对于结果优劣各位亲家自行评估。
标签：
