腾讯云账号实名迁移 腾讯云 COS 针对特定 IP 限制访问（Bucket Policy）不生效排查

腾讯云 COS 针对特定 IP 限制访问（Bucket Policy）不生效排查

遇到“腾讯云 COS 针对特定 IP 限制访问（Bucket Policy）不生效排查”时，先别急着改策略。先判断请求路径、授权来源、网络链路，再动规则。下面按现场排障的顺序给出定位要点与可落地的修复做法，并给出与账号与费用相关的注意事项，避免上线后再次失效。

腾讯云账号实名迁移 问题分析：先确认这三件事

1. 请求如何到达 COS：直连 COS 源站域名，还是经 CDN/静态网站托管/代理转发。
2. 权限从哪来：是匿名访问靠 Bucket/对象 ACL，还是子账号/临时密钥（STS）或预签名 URL。
3. 客户端出口 IP 是否与你认为的一致：是否存在 NAT、公司代理、云厂商 EIP 变更、IPv6 出口。

常见原因与定位步骤

1. 使用 CDN 或静态网站托管，源站看不到真实客户端 IP

CDN 回源到 COS 时，COS 看到的是 CDN 节点 IP，而非用户真实 IP。Bucket Policy 做 IP 限制会对 CDN 节点生效，导致要么错误放行，要么误拦截。

• 快速验证：用源站域名（形如 <bucket-appid>.cos.<region>.myqcloud.com）直接访问；若直连有效、经 CDN 无效，即为该原因。
• 正确做法：把 IP 限制放在 CDN 边缘访问控制（边缘黑白名单、UA/Referer、鉴权签名、WAF）。COS 端仅对回源身份做最小权限控制。

2. 桶/对象 ACL 放开，策略仅写了 Allow 缺少显式 Deny

若 Bucket 或对象 ACL 为“公有读/公有读写”，即便在 Bucket Policy 里对特定 IP写了 Allow，也可能因其它授权路径而被放行。权限评估时，“显式拒绝”优先级最高。

• 检查点：控制台查看 Bucket ACL、对象 ACL 是否有公有读；是否只写了按 IP 的 Allow，没有对非白名单 IP 的 Deny。
• 修复建议：将桶/对象 ACL 调整为私有；在策略中增加对非白名单 IP 的显式 Deny，再对白名单 IP 做 Allow。

腾讯云账号实名迁移 3. 子账号/CAM 策略或临时密钥授权绕过

开发或运维账号可能拥有“直接 Allow”访问 COS 的权限，绕过了你在 Bucket Policy 层的限制。若无显式 Deny，访问依然放行。

• 腾讯云账号实名迁移 检查点：在访问日志中确认访问使用了密钥（含 Authorization 头或临时凭证）。核对子账号或角色绑定的 CAM 策略是否放开了 cos:GetObject/cos:PutObject。
• 修复建议：在 Bucket Policy 中加入针对外部 IP 的显式 Deny（对所有主体），或收紧子账号策略作用域（限定资源前缀、路径、条件）。

4. IPv6 未覆盖，或从内网访问绕过

客户端若走 IPv6 出口，而策略仅限制 IPv4，会出现“限制无效”的错觉。同理，VPC 内网直连 COS（同地域内网解析），真实来源与预期不一致。

• 检查点：抓取请求的响应头和本机网络，确认是否为 IPv6；在同地域云主机内网访问是否未受限。
• 修复建议：同时覆盖 IPv4/IPv6 条件；内网访问改用凭证控制，不建议对内网 IP 做强依赖（弹性扩缩容会变更）。

5. Policy 语法或绑定对象错误

常见问题包括：放在用户策略而非 Bucket Policy、资源字段未精确到对象路径、条件字段或操作符拼写错误。

• 检查点：确保策略“附加在桶上”，资源 ARN 指向目标桶或前缀；逐条核对条件键与操作符，使用控制台策略向导或官方示例对照。
• 验证方式：用最小化策略从“先 Deny 后逐步放行”开始灰度验证。

6. 访问域名与资源不一致、跨地域访问导致误判

跨 Region 桶同名或多域名并存时，容易把策略加在 A 桶，却用 B 桶域名测试。

• 检查点：nslookup 确认解析到目标 Region；对象键前缀与策略声明一致。
• 修复建议：统一测试清单与域名源，避免加速域与源站域混用。

7. 预签名 URL 的时间窗口与 IP 条件冲突

预签名 URL 若由拥有更宽权限的密钥生成，会在有效期内放行，而 IP 条件未显式 Deny 时难以生效。

• 修复建议：对非白名单 IP 配置显式 Deny；生成预签名 URL 的上游凭证策略即注入 IP 条件与更短有效期。

8. NAT/代理导致出口 IP 与申报不一致

办公网经多级 NAT 或云防火墙转发时，COS 看到的出口与IT记录不一致。

• 定位：让实际客户端访问一个回显服务（例如临时搭建的 /ip），或在 COS 开启访问日志核对 remote IP。
• 修复：改用网段范围白名单；对多出口办公网，采用鉴权签名或STS替代纯 IP 限制。

可执行的修复方案（分层落地）

优先级1：在正确的层做正确的事

• 直连 COS 源站：在 Bucket Policy 中使用“显式 Deny + 精准 Allow”，并把桶/对象 ACL 置为私有。
• 经 CDN/网站托管：把 IP/地区/UA 控制迁移到 CDN 边缘；COS 端仅校验回源身份与路径前缀。
• 程序/子账号访问：在 CAM/STS 限权（资源前缀、时间、IP），同时在 Bucket Policy 加总兜底 Deny。

优先级2：验证与灰度

1. 开通 COS 访问日志到独立桶，验证 COS 看到的来源 IP 与策略匹配情况。
2. 建立灰度对象前缀（如 /policy-test/），先在前缀上验证 Deny/Allow，再推广到全量。
3. 使用 curl 直连源站域名测试，分 IPv4/IPv6、不同出口逐一验证。

优先级3：双栈与异常路径补齐

• 双栈同时覆盖：为 IPv4/IPv6 分别设置条件；若条件不支持统一表达，拆分两条语句。
• 异常路径兜底：针对“非白名单 IP、匿名访问、未知主体”配置显式 Deny，减少绕过面。

与账号购买、实名认证、企业认证、支付与风控的关联

很多团队在跨产品联动（COS+CDN+WAF）时卡在账号侧：

• 账号购买与实名认证：未完成实名认证，部分地域与安全能力受限（例如国内加速、WAF 接入）。先完成实名再改策略，避免策略保存或接入审核被驳回。
• 企业认证：开通企业能力（工单优先级、额度提升、专线/CDN 高级访问控制）通常要求企业认证，跨部门联调更顺畅。
• 支付方式与充值续费：CDN/WAF 属于持续计费，若欠费或信用卡风控，策略虽生效但链路走回源，导致“IP 限制变化”错判。确保余额与信用卡可用。
• 风控审核：国际站新户或异常付费行为会触发风控（如暂停创建加速域名/规则），建议提前提交资质与业务说明，避免临时变更失败。

资源限制与成本控制

• 策略条目配额：Bucket Policy 的语句数量、字符长度有限。大量 IP 建议汇总为网段，或把 IP 控制前移到 CDN/WAF，减少 COS 侧策略复杂度。
• 日志成本：开启访问日志会产生少量存储与请求费用，但能显著提升定位效率，建议保留短期（如7-14天）。
• 回源与流量费：错误的 IP 限制导致 CDN 回源失败会增加重试与回源成本。把访问控制放到边缘能减少不必要的回源。

业务场景落地建议

办公室固定出口访问内部素材

做法：COS 桶 ACL 私有；Bucket Policy 对办公网出口网段 Allow+显式 Deny 其他；运维与CI用子账号/STS 细粒度授权。若员工移动办公多，改用短期预签名 URL 替代固定 IP 白名单。

对外下载但仅限合作方

做法：采用 CDN 边缘鉴权（Token 或时间戳），合作方走专属域名；COS 仅允许 CDN 节点回源。避免在 COS 端做客户端 IP 限制。

跨境团队访问中国内地桶

做法：合规前提下走 CDN 海外加速并在边缘做访问控制；COS 源站不做客户端 IP 限制，仅对 CDN 或指定子账号放行。注意账号侧实名与域名接入审核。

对比表格：把控制放在哪一层

常见错误清单

• 仅写按 IP 的 Allow，未显式 Deny 其他来源。
• 桶/对象 ACL 仍为公有读，导致绕过策略。
• 通过 CDN/静态网站访问，却在 COS 端限定客户端 IP。
• 只限制 IPv4，忽略 IPv6 出口。
• 策略附加在用户而非桶上，或资源前缀写错。
• 腾讯云账号实名迁移 子账号/临时凭证拥有更宽权限，未被策略覆盖。
• 测试域名与实际桶不一致，或跨地域误测。

FAQ

腾讯云账号实名迁移 策略多久生效？

通常很快生效。若前面接入了 CDN/WAF，需要同时刷新/生效对应配置并清理缓存再验证。

如何确认 COS 看到的来源 IP？

开启 COS 访问日志，或直连源站域名用不同出口测试；不要以浏览器显示的本机 IP 作为唯一依据。

动态 IP 用户如何做白名单？

不建议用 IP 白名单，改用短期预签名 URL、STS 临时密钥或 CDN 边缘鉴权。

策略写不下那么多 IP 怎么办？

用网段聚合，或迁移到 CDN/WAF 的边缘黑白名单；必要时走企业认证申请配额提升。

国际站账户支付失败影响吗？

CDN/WAF 欠费或风控会导致回源/策略不生效的假象。先确保充值续费正常、信用卡未被风控，再排查策略。

选择建议

优先把对外 IP 限制放在离用户最近的一层（CDN/WAF），COS 端只做源站最小权限与兜底 Deny。涉及多产品联动的变更，先完成实名认证/企业认证与支付能力校验，再灰度上线，最后用访问日志回看验证。这样能同时保证策略生效率与成本可控。