对象存储功能用于存储数据防泄露（DLP）获取到的取证文件。飞连内默认提供了飞连对象存储，同时也支持自行添加外部存储，灵活实现分布式存储、扩展存储空间等需求。

如果您在飞连管理后台配置了 DLP 策略，在策略生效期间系统获取到的所有取证文件均会被存储在对象存储功能中，您可以灵活配置多个存储节点以及文件上传策略，构建符合企业所需的对象存储规则。

配置飞连对象存储服务，可以实现：

• 灵活扩展存储容量
  您可以自行添加多个扩展存储节点，以确保资源文件的存储空间足够使用。
• 实现分布式存储
  分布式存储可以实现网络就近访问，数据传输效率高；多地域节点部署，数据容灾备份。
  例如，分别添加地域 A、B、C 三个扩展存储节点，再通过配置文件上传策略，按照企业员工所在地域就近存储资源。此外，当某一扩展存储节点出现异常无法存储时，通过容灾备份，将资源传输到其他可用的存储节点保存。
• 匹配企业合规要求
  在跨国企业场景中，通过在不同国家分别配置存储节点和文件上传策略，使资源可以按照国家地区实现存储隔离。

• 在未添加文件上传策略时，飞连默认会将 DLP 取证文件上传到内置的本地存储节点。
• 如果您需要添加外部存储，则需要先配置好外部存储功能。例如需要添加火山引擎对象存储（TOS）作为外部存储，则需要先完成火山引擎对象存储（TOS）的功能配置。

在扩展存储空间、构建分布式存储架构等场景，您可以添加扩展存储节点。

1. 登录管理后台。

2. 在左侧导航栏，选择系统设置 > 系统配置 ＞ 对象存储。

3. 在对象存储页面，单击进入节点配置页签。
   默认情况下，节点列表内包含了飞连提供的本地存储节点。
   

   说明

   历史版本中飞连为企业添加的额外存储节点的节点类型为外置存储。后续再添加新的外部存储时，节点类型均为扩展存储。

4. 单击添加外部存储。

5. 在详情界面，完成以下配置，并单击保存。

   配置项	说明
   节点名称	自定义名称，用于标识当前节点。多个外部存储之间的节点名称不能重复。
   存储类型	选择一个外部存储能力。可选项： 火山引擎对象存储（TOS） 阿里云对象存储（OSS） 腾讯云对象存储（COS） 金山云对象存储（KS3） Amazon Simple Storage Service（Amazon S3） 说明 你可以参考扩展存储对接示例，暂时仅有阿里云 OSS 和 AWS S3 示例。
   接入格式	仅当存储类型选择 Amazon Simple Storage Service (Amazon S3) 时显示。用于配置飞连访问存储桶的地址格式。 Virtual-Host Style：虚拟托管风格。存储桶名称包含在域名中（如 https://my-bucket.s3.amazonaws.com），为系统默认选项，适用于 AWS 公有云环境。 path-style：路径风格。存储桶名称包含在 URL 路径中（如 https://s3.amazonaws.com/my-bucket）。若您使用的是 MinIO、Ceph 等私有化部署的 S3 兼容存储系统，或在默认模式下连通性检测失败，请使用此模式。
   协议类型	外部存储的访问方式，可选择 https 或 http。
   域名类型	根据实际配置情况，选择 公网域名 或 内网域名。
   Access 相关	不同的外部存储能力，所需要配置的身份验证参数不同。例如阿里云对象存储（OSS）需要配置 AccessKey ID、AccessKey Secret 等、腾讯云对象存储（COS）需要配置 Secret ID、Secret Key 等。你需要根据实际情况，参考配置页提示信息，完成配置。
   存储空间（bucket）	将外部存储中需要使用的 bucket 配置在该参数中。bucket 名称允许重复，如果多个外部存储使用了同一个 bucket，请注意可能因数据量过多导致存储空间不足的问题。
   访问域名（endpoint）	bucket 所在地域的访问域名，需要从外部存储功能中获取。
   区域（region）	外部存储数据中心所在的地理位置代号，需要从外部存储功能中获取。
   连通性测试	完成所有参数配置后，可以单击开始检测，检测外部存储是否能够成功与飞连对象存储服务连通。

在对象存储 > 节点配置页面，支持以下操作：

• 查看当前对象存储服务中已有的存储节点列表。
• 在操作列，单击连通性检测，可检测飞连对象存储服务与对应节点之间是否正常连通。
• 对于扩展存储节点，在操作列可单击更多，选择编辑或者删除节点。

上传策略用于指定在触发 DLP 策略时，取证文件存储到对象存储节点的规则。

1. 登录管理后台。

2. 在左侧导航栏，选择系统设置 > 系统配置 ＞ 对象存储。

3. 在对象存储页面，单击进入上传策略页签。

4. 在右侧单击添加策略。
   

5. 在添加上传策略页面，完成以下配置，并单击确定。

   配置项	说明
   策略名称	自定义名称，用于标识当前策略。多个策略之间的名称不能重复。
   匹配优先级	当前策略生效的优先级，取值范围 0~100，数值越大优先级越高。如果多条策略之间优先级相同，则生效策略修改时间最新的一条。
   存储节点	选择当前策略生效的存储节点。 说明：不支持选择飞连自带的本地存储节点。如果您只需要使用本地存储节点，则无需添加上传策略，系统默认会将取证文件上传至本地存储节点。
   生效功能模块	选择 DLP-取证文件和截图。
   生效对象	支持以员工或设备维度限制生效范围。 选择员工时，您需要通过部门或角色限制员工范围。 选择设备时，您需要通过设备名称、操作系统、设备分组限制设备范围。
   排除对象	如果需要将特定对象排除在策略之外，可以选择开启排除对象开关，并添加一个或多个排除对象。最终策略生效范围为 生效对象 - 排除对象。

在对象存储 > 上传策略页面，支持以下操作：

• 在策略卡片内，一键调整策略优先级或者生效状态（生效状态开关关闭后，该策略将会失效），调整后立即生效。
  
• 在策略卡片右侧，支持复制、编辑、删除策略。

  注意

  策略删除后不可恢复，请谨慎操作。

  

之前已部署的外置存储，现在在哪里查看？ #

在飞连管理后台，进入系统设置 > 系统配置 > 对象存储 > 节点配置功能页，查看外置存储节点类型。

如果没有添加扩展存储，数据如何存储？ #

飞连提供默认存储。如果您不配置任何存储节点，系统将默认把数据存储到本地存储节点中。

本地存储、外置存储、扩展存储的存储优先级是什么？ #

• 如果配置了扩展存储节点与策略，系统会优先将数据存储至扩展存储节点。
• 如果没有配置扩展存储节点，系统会存储到外置存储节点或本地存储节点（优先外置存储节点）。
• 如果扩展存储节点的空间不足，请及时扩容。

如果按照设备最近活跃地理位置进行分组并配置存储策略，最终文件如何存储？ #

按照设备当前所属的地理位置进行存储。例如，身处美国的员工出差到中国，则该员工在中国出差期间，其设备的数据会存储在中国。

阿里云对象存储 OSS 对接示例 #

1. 创建 Bucket
   1. 登录OSS管理控制台。
   2. 在左侧导航栏，单击Bucket 列表，​然后单击创建 Bucket。
   3. 在创建 Bucket 对话框中，填写 Bucket 名称、地域，其他参数按需选择或使用默认配置即可，单击确定。
      
   4. 等待约 30 分钟，待 Bucket 完成初始化。

   注意

   请记录 Bucket名称、地域和 Endpoint 的值，在飞连控制台中需要填写相关参数。

2. 配置访问密钥
   1. 将鼠标移至阿里云控制台页面右上角头像，单击 AccessKey。
   2. 在 RAM 访问控制页面，单击创建 AccessKey 或者使用已有的 AccessKey。记录 AccessKey ID 和 AccessKey Secret。
      

      说明

      默认直接授权全部资源和全部操作，如您需要细分 OSS 权限，请按照如下步骤操作。

   3. 进入RAM 访问控制台，在左侧导航栏选择权限管理>权限策略，单击创建权限策略。
      
   4. 单击可视化编辑/脚本编辑，按需授予对应权限，单击确认，保存策略。
   5. 在左侧导航栏选择权限管理>授权，单击新增授权，为指定的用户绑定上一步创建的自定义策略。
      
   6. 在左侧导航栏选择身份管理>用户，找到指定的用户，单击创建 AccessKey。
3. 在飞连管理后台配置阿里云OSS作为外置存储

   1. 进入系统配置 > 对象存储页面，在节点配置页签右侧单击添加外部存储。
      

   2. 配置文件服务相关参数，单击右上角的保存。
      首先，配置节点基本信息：
      

      • 节点名称：自定义设置。
      • 存储类型：选择阿里云对象存储（OSS）。
      • 协议类型：根据需要选择 https 或 http。
      • 域名类型：根据需要选择公网域名或内网域名。
        然后，配置阿里云 OSS 相关参数信息：
        
        各参数说明如下表：

      配置项	说明
      AccessKey ID	填写阿里云 OSS 账号的 AccessKey ID，用于标识用户。
      AccessKey Secret	填写阿里云 OSS 账号的 AccessKey Secret，用于验证用户身份的密钥。
      存储空间(bucket)	填写 Bucket 名称。
      访问域名(endpoint)	填写 Bucket 所在地域的外网访问域名，例如oss-cn-zhangjiakou.aliyuncs.com。
      区域(region)	填写 Bucket 所在地域的 Region ID，例如oss-cn-zhangjiakou。各地域的访问域名和 Region ID 请参见OSS访问域名和数据中心。

   3. 在连通性检测区域单击开始检测，系统提示类似测试成功字样，说明配置正确。

      说明

      连通性检测只能确认网络正常且密钥认证正确，无法检查访问权限与客户端兼容性，请务必确保已授予足够权限，建议授予全部权限。

   4. 验证OSS配置。
      在左侧导航栏选择数据防泄露>调查审计，在新上报的告警事件右侧，单击操作列的详情，在告警事件详情页面，确认文件可以下载，截图可以正常查看即可。
      

AWS S3 对接示例 #

1. 创建 Bucket
   1. 登录 Amazon S3 控制台。
   2. 单击创建存储桶，输入存储桶名称和区域，其他参数使用默认配置即可。详细的操作步骤请参见创建存储桶。
2. 配置传输加速（推荐）

   说明

   AWS S3 海外节点访问比较慢，建议开启传输加速（传输加速需要额外付费，请按需选择）。

   1. 单击存储桶名称，单击属性页签。
   2. 在传输加速区域，单击编辑，选择启用，单击保存更改。
      
3. 创建用户并配置访问策略

   1. 在 IAM 控制台单击右上角的创建用户。
      

   2. 设置用户名，单击下一步。
      

   3. 单击直接附加策略，然后单击创建策略。
      

   4. 在右上角单击 JSON，设置允许用户在指定 Bucket 内访问所有资源，执行任意动作（ Bucket 内的完全访问权限），示例代码如下：
      

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Sid": "all",
                  "Action": [
                      "s3:*"
                  ],
                  "Effect": "Allow",
                  "Resource": [
                      "arn:aws:s3:::your-bucket-name",
                      "arn:aws:s3:::your-bucket-name/*"
                  ]
              }
          ]
      }
      

      说明

      请将示例代码中的 Bucket 名称替换为您实际的 Bucket 名称。

   5. 保存策略，在权限策略页面，选择刚才创建的策略，保存并创建用户。

4. 为创建的用户生成访问密钥
   单击用户，在访问密钥区域，单击右上角的创建访问密钥。
   
5. 在飞连管理后台配置AWS S3作为外置存储

   1. 进入系统配置 > 对象存储页面，在节点配置页签右侧单击添加外部存储。
      

   2. 配置存储节点，完成后单击右上角的保存。
      配置节点基本信息：
      

      • 节点名称：自定义设置。
      • 存储类型：选择 Amazon Simple Storage Service (Amazon S3)。
      • 协议类型：根据需要选择 https 或 http。
      • 接入格式：选择飞连与 S3 存储交互的 URL 模式。
        • 如果是标准的 AWS S3 公有云，通常保持默认的 Virtual-Host Style 即可。
        • 如果是对接私有化部署的存储系统（如 MinIO），通常需要切换为 path-style。
      • 域名类型：根据需要选择公网域名或内网域名。
        配置 AWS S3 相关参数信息：
        
        各参数说明如下表：

      配置项	说明
      AccessKey ID	填写账号的 AccessKey ID，用于标识用户。
      Secret Access Key	填写账号的 AccessKey Secret，用于验证用户身份的密钥。
      存储空间(bucket)	填写 Bucket 名称。
      访问域名(endpoint)	如果已开启传输加速，则访问域名为：s3-accelerate.amazonaws.com 如果未开启传输加速，则填写 Bucket 所在地域的外网访问域名，例如s3.ap-east-1.amazonaws.com。各地域的访问域名和 Region ID 请参见 Amazon S3 终端节点。
      区域(region)	填写 Bucket 所在地域的 Region ID，例如ap-east-1。

   3. 在连通性检测区域单击开始检测，系统提示类似测试成功字样，说明配置正确。

      说明

      连通性检测只能确认网络正常且密钥认证正确，无法检查访问权限与客户端兼容性，请务必确保已授予足够权限，建议授予全部权限。

   4. 验证OSS配置。
      在左侧导航栏选择数据防泄露>调查审计，在新上报的告警事件右侧，单击操作列的详情，在告警事件详情页面，确认文件可以下载，截图可以正常查看即可。