Membuat tanda tangan

Panduan ini menjelaskan cara membuat tanda tangan, dan metode wajib serta opsional isian untuk tanda tangan.

Untuk membuat tanda tangan, Anda menulis {i>string<i} untuk ditandatangani, yang kami sebut sebagai nilai bertanda tangan dalam panduan ini. Nilai yang ditandatangani mencakup parameter yang mendeskripsikan konten yang dilindungi, waktu habis masa berlaku nilai yang ditandatangani, dan sebagainya dan seterusnya.

Anda menggunakan nilai yang ditandatangani saat membuat string tanda tangan. Anda membuat string tanda tangan dengan menyusun parameter untuk tanda tangan, seperti tanda tangan Ed25519 kunci asimetris dari nilai yang ditandatangani.

Media CDN menggunakan tanda tangan akhir yang telah disusun untuk membantu melindungi saat ini.

Format penandatanganan yang didukung

Media CDN mendukung format permintaan bertanda tangan berikut ini.

Format	Perilaku	Contoh
Parameter kueri (URL persis)	URL yang persis, untuk memberikan akses ke URL tertentu.	Tepat: https://media.example.com/content/manifest.m3u8? Expires=EXPIRATION &KeyName=KEY_NAME &Signature=SIGNATURE
Parameter kueri (awalan URL)	Menentukan URLPrefix memungkinkan Anda menandatangani awalan dan menambahkan parameter kueri yang sama ke beberapa URL dalam pemutar atau manifes pembuatan teks.	Apa yang harus ditandatangani: URLPrefix=PREFIX &Expires=EXPIRATION &KeyName=KEY_NAME &Signature=SIGNATURE Ganti PREFIX dengan awalan yang akan diberikan akses, termasuk skema, {i>host<i}, dan jalur parsial.
Komponen jalur	Prefix: memungkinkan akses ke URL apa pun dengan awalan sebelum Komponen "/edge-cache-token=[...]". Hal ini memungkinkan URL manifes relatif untuk otomatis mewarisi atribut yang ditandatangani saat mengambil sub-resource.	https://media.example.com/video/edge-cache-token=Expires=EXPIRATION &KeyName=KEY_NAME &Signature=SIGNATURE/manifest_12382131.m3u8
Cookie yang ditandatangani	Awalan: cookie mengizinkan akses ke URL apa pun dengan awalan yang ditentukan dalam nilai URLPrefix yang ditandatangani.	Edge-Cache-Cookie: URLPrefix=PREFIX: Expires=EXPIRATION: KeyName=KEY_NAME: Signature=SIGNATURE

Membuat tanda tangan

Catatan: Komponen host dan jalur URL (atau URLPrefix) digunakan untuk memvalidasi tanda tangan. Saat Anda memberikan URL ke salah satu API terprogram ini, menghilangkan porta. Dengan kata lain, untuk jalur seperti https://example.com:443/path, tentukan jalur sebagai https://example.com/path.

1. Buat nilai yang ditandatangani dengan menyambungkan string yang berisi kolom tanda tangan wajib dan kolom tanda tangan opsional.

   Jika ditentukan, URLPrefix harus muncul terlebih dahulu, diikuti dengan Expires, KeyName, dan kemudian parameter opsional apa pun.

   Pisahkan setiap kolom dan parameter dengan hal berikut:

   • Untuk cookie, gunakan karakter : titik dua.
   • Untuk parameter kueri dan komponen jalur, gunakan tanda dan & karakter.

2. Tanda tangani nilai yang ditandatangani dengan tanda tangan Ed25519.

3. Menambahkan pemisah kolom (: atau &) diikuti oleh Signature= dan tanda tangan Ed25519 ke akhir string.

Membuat URL yang ditandatangani

Contoh kode berikut menunjukkan cara membuat URL bertanda tangan secara terprogram.

Go

Untuk mengautentikasi ke Media CDN, siapkan Kredensial Default Aplikasi. Untuk informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.

import (
	"crypto/ed25519"
	"encoding/base64"
	"fmt"
	"io"
	"strings"
	"time"
)

// signURL prints the signed URL string for the specified URL and configuration.
func signURL(w io.Writer, url, keyName string, privateKey []byte, expires time.Time) error {
	// url := "http://example.com"
	// keyName := "your_key_name"
	// privateKey := "[]byte{34, 31, ...}"
	// expires := time.Unix(1558131350, 0)

	sep := '?'
	if strings.ContainsRune(url, '?') {
		sep = '&'
	}
	toSign := fmt.Sprintf("%s%cExpires=%d&KeyName=%s", url, sep, expires.Unix(), keyName)
	sig := ed25519.Sign(privateKey, []byte(toSign))

	fmt.Fprintf(w, "%s&Signature=%s", toSign, base64.RawURLEncoding.EncodeToString(sig))

	return nil
}

Python

Untuk mengautentikasi ke Media CDN, siapkan Kredensial Default Aplikasi. Untuk informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.

import base64
import datetime

import cryptography.hazmat.primitives.asymmetric.ed25519 as ed25519


from six.moves import urllib

def sign_url(
    url: str, key_name: str, base64_key: str, expiration_time: datetime.datetime
) -> str:
    """Gets the Signed URL string for the specified URL and configuration.

    Args:
        url: URL to sign as a string.
        key_name: name of the signing key as a string.
        base64_key: signing key as a base64 encoded byte string.
        expiration_time: expiration time as a UTC datetime object.

    Returns:
        Returns the Signed URL appended with the query parameters based on the
        specified configuration.
    """
    stripped_url = url.strip()
    parsed_url = urllib.parse.urlsplit(stripped_url)
    query_params = urllib.parse.parse_qs(parsed_url.query, keep_blank_values=True)
    epoch = datetime.datetime.utcfromtimestamp(0)
    expiration_timestamp = int((expiration_time - epoch).total_seconds())
    decoded_key = base64.urlsafe_b64decode(base64_key)

    url_pattern = "{url}{separator}Expires={expires}&KeyName={key_name}"

    url_to_sign = url_pattern.format(
        url=stripped_url,
        separator="&" if query_params else "?",
        expires=expiration_timestamp,
        key_name=key_name,
    )

    digest = ed25519.Ed25519PrivateKey.from_private_bytes(decoded_key).sign(
        url_to_sign.encode("utf-8")
    )
    signature = base64.urlsafe_b64encode(digest).decode("utf-8")
    signed_url = "{url}&Signature={signature}".format(
        url=url_to_sign, signature=signature
    )

    return signed_url

Buat awalan URL yang ditandatangani

Contoh kode berikut menunjukkan cara membuat secara terprogram awalan URL yang ditandatangani.

Go

Untuk mengautentikasi ke Media CDN, siapkan Kredensial Default Aplikasi. Untuk informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.

import (
	"crypto/ed25519"
	"encoding/base64"
	"fmt"
	"io"
	"strings"
	"time"
)

// signURLPrefix prints the signed URL string for the specified URL prefix and configuration.
func signURLPrefix(w io.Writer, urlPrefix, keyName string, privateKey []byte, expires time.Time) error {
	// urlPrefix := "https://examples.com"
	// keyName := "your_key_name"
	// privateKey := "[]byte{34, 31, ...}"
	// expires := time.Unix(1558131350, 0)

	sep := '?'
	if strings.ContainsRune(urlPrefix, '?') {
		sep = '&'
	}

	toSign := fmt.Sprintf(
		"URLPrefix=%s&Expires=%d&KeyName=%s",
		base64.RawURLEncoding.EncodeToString([]byte(urlPrefix)),
		expires.Unix(),
		keyName,
	)
	sig := ed25519.Sign(privateKey, []byte(toSign))

	fmt.Fprintf(
		w,
		"%s%c%s&Signature=%s",
		urlPrefix,
		sep,
		toSign,
		base64.RawURLEncoding.EncodeToString(sig),
	)

	return nil
}

Python

Untuk mengautentikasi ke Media CDN, siapkan Kredensial Default Aplikasi. Untuk informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.

import base64
import datetime

import cryptography.hazmat.primitives.asymmetric.ed25519 as ed25519


from six.moves import urllib

def sign_url_prefix(
    url: str,
    url_prefix: str,
    key_name: str,
    base64_key: str,
    expiration_time: datetime.datetime,
) -> str:
    """Gets the Signed URL string for the specified URL prefix and configuration.

    Args:
        url: URL of request.
        url_prefix: URL prefix to sign as a string.
        key_name: name of the signing key as a string.
        base64_key: signing key as a base64 encoded string.
        expiration_time: expiration time as a UTC datetime object.

    Returns:
        Returns the Signed URL appended with the query parameters based on the
        specified URL prefix and configuration.
    """
    stripped_url = url.strip()
    parsed_url = urllib.parse.urlsplit(stripped_url)
    query_params = urllib.parse.parse_qs(parsed_url.query, keep_blank_values=True)
    encoded_url_prefix = base64.urlsafe_b64encode(
        url_prefix.strip().encode("utf-8")
    ).decode("utf-8")
    epoch = datetime.datetime.utcfromtimestamp(0)
    expiration_timestamp = int((expiration_time - epoch).total_seconds())
    decoded_key = base64.urlsafe_b64decode(base64_key)

    policy_pattern = (
        "URLPrefix={encoded_url_prefix}&Expires={expires}&KeyName={key_name}"
    )
    policy = policy_pattern.format(
        encoded_url_prefix=encoded_url_prefix,
        expires=expiration_timestamp,
        key_name=key_name,
    )

    digest = ed25519.Ed25519PrivateKey.from_private_bytes(decoded_key).sign(
        policy.encode("utf-8")
    )
    signature = base64.urlsafe_b64encode(digest).decode("utf-8")
    signed_url = "{url}{separator}{policy}&Signature={signature}".format(
        url=stripped_url,
        separator="&" if query_params else "?",
        policy=policy,
        signature=signature,
    )
    return signed_url

Membuat cookie URL yang ditandatangani

Contoh kode berikut menunjukkan cara membuat URL bertanda tangan secara terprogram cookie.

Go

Untuk mengautentikasi ke Media CDN, siapkan Kredensial Default Aplikasi. Untuk informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.

import (
	"crypto/ed25519"
	"encoding/base64"
	"fmt"
	"io"
	"time"
)

// signCookie prints the signed cookie value for the specified URL prefix and configuration.
func signCookie(w io.Writer, urlPrefix, keyName string, privateKey []byte, expires time.Time) error {
	// urlPrefix := "http://example.com"
	// keyName := "your_key_name"
	// privateKey := "[]byte{34, 31, ...}"
	// expires := time.Unix(1558131350, 0)

	toSign := fmt.Sprintf(
		"URLPrefix=%s:Expires=%d:KeyName=%s",
		base64.RawURLEncoding.EncodeToString([]byte(urlPrefix)),
		expires.Unix(),
		keyName,
	)
	sig := ed25519.Sign(privateKey, []byte(toSign))

	fmt.Fprintf(
		w,
		"Edge-Cache-Cookie=%s:Signature=%s",
		toSign,
		base64.RawURLEncoding.EncodeToString(sig),
	)

	return nil
}

Python

Untuk mengautentikasi ke Media CDN, siapkan Kredensial Default Aplikasi. Untuk informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.

import base64
import datetime

import cryptography.hazmat.primitives.asymmetric.ed25519 as ed25519


from six.moves import urllib

def sign_cookie(
    url_prefix: str, key_name: str, base64_key: str, expiration_time: datetime.datetime
) -> str:
    """Gets the Signed cookie value for the specified URL prefix and configuration.

    Args:
        url_prefix: URL prefix to sign as a string.
        key_name: name of the signing key as a string.
        base64_key: signing key as a base64 encoded string.
        expiration_time: expiration time as a UTC datetime object.

    Returns:
        Returns the Edge-Cache-Cookie value based on the specified configuration.
    """
    encoded_url_prefix = base64.urlsafe_b64encode(
        url_prefix.strip().encode("utf-8")
    ).decode("utf-8")
    epoch = datetime.datetime.utcfromtimestamp(0)
    expiration_timestamp = int((expiration_time - epoch).total_seconds())
    decoded_key = base64.urlsafe_b64decode(base64_key)

    policy_pattern = (
        "URLPrefix={encoded_url_prefix}:Expires={expires}:KeyName={key_name}"
    )
    policy = policy_pattern.format(
        encoded_url_prefix=encoded_url_prefix,
        expires=expiration_timestamp,
        key_name=key_name,
    )

    digest = ed25519.Ed25519PrivateKey.from_private_bytes(decoded_key).sign(
        policy.encode("utf-8")
    )
    signature = base64.urlsafe_b64encode(digest).decode("utf-8")

    signed_policy = "Edge-Cache-Cookie={policy}:Signature={signature}".format(
        policy=policy, signature=signature
    )
    return signed_policy

Membuat komponen jalur yang ditandatangani

Contoh kode berikut menunjukkan cara membuat jalur bertanda tangan secara terprogram komponen.

Python

Untuk mengautentikasi ke Media CDN, siapkan Kredensial Default Aplikasi. Untuk informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.

import base64
import datetime
import hashlib
import hmac

import cryptography.hazmat.primitives.asymmetric.ed25519 as ed25519


def base64_encoder(value: bytes) -> str:
    """
    Returns a base64-encoded string compatible with Media CDN.

    Media CDN uses URL-safe base64 encoding and strips off the padding at the
    end.
    """
    encoded_bytes = base64.urlsafe_b64encode(value)
    encoded_str = encoded_bytes.decode("utf-8")
    return encoded_str.rstrip("=")


def sign_path_component(
    url_prefix: str,
    filename: str,
    key_name: str,
    base64_key: str,
    expiration_time: datetime.datetime,
) -> str:
    """Gets the Signed URL string for the specified URL prefix and configuration.

    Args:
        url_prefix: URL Prefix to sign as a string.
        filename: The filename of the sample request
        key_name: The name of the signing key as a string.
        base64_key: The signing key as a base64 encoded string.
        expiration_time: Expiration time as a UTC datetime object with timezone.

    Returns:
        Returns the Signed URL appended with the query parameters based on the
        specified URL prefix and configuration.
    """

    expiration_duration = expiration_time.astimezone(
        tz=datetime.timezone.utc
    ) - datetime.datetime.fromtimestamp(0, tz=datetime.timezone.utc)
    decoded_key = base64.urlsafe_b64decode(base64_key)

    policy_pattern = "{url_prefix}edge-cache-token=Expires={expires}&KeyName={key_name}"
    policy = policy_pattern.format(
        url_prefix=url_prefix,
        expires=int(expiration_duration.total_seconds()),
        key_name=key_name,
    )

    digest = ed25519.Ed25519PrivateKey.from_private_bytes(decoded_key).sign(
        policy.encode("utf-8")
    )
    signature = base64_encoder(digest)

    signed_url = "{policy}&Signature={signature}/{filename}".format(
        policy=policy, signature=signature, filename=filename
    )

    return signed_url

Kolom tanda tangan yang wajib diisi

Kolom berikut wajib diisi untuk setiap tanda tangan:

• Expires
• KeyName
• Signature

Jika ada parameter kueri, parameter tersebut harus dikelompokkan bersama sebagai parameter terakhir parameter di URL. Kecuali jika dinyatakan lain, nama parameter dan peka huruf besar/kecil.

Tabel berikut menjelaskan setiap parameter:

Nama kolom	Parameter tanda tangan	Nilai yang ditandatangani
Expires	Bilangan bulat detik yang telah berlalu sejak epoch Unix (1970-01-01T00:00:00Z)	Expires=EXPIRATION_TIME, setelah itu tanda tangan tidak lagi valid.
KeyName	Nama EdgeCacheKeyset yang digunakan untuk menandatangani ini permintaan. KeyName merujuk ke seluruh keyset, bukan kunci individu dalam {i>keyset<i} itu sendiri.	KeyName=EDGE_CACHE_KEYSET
Signature	Versi tanda tangan yang dienkode dengan base-64.	Tidak berlaku

Kolom tanda tangan opsional

Jika ada parameter kueri, parameter tersebut harus dikelompokkan bersama sebagai parameter terakhir parameter di URL. Kecuali jika dinyatakan lain, nama parameter dan peka huruf besar/kecil.

Tabel berikut menjelaskan setiap nama dan detail setiap parameter untuk filter parameter tanda tangan:

Nama kolom	Parameter tanda tangan	Nilai yang ditandatangani
HeaderName	Nama kolom header permintaan bernama yang harus ada di kolom permintaan. Harus dalam huruf kecil saat ditandatangani karena nama kolom header peka huruf besar/kecil. Media CDN membuat header menjadi huruf kecil sebelum memvalidasi tanda tangan.	HeaderName=HEADER_NAME
HeaderValue	Nilai kolom header permintaan bernama yang harus ada di kolom permintaan. ID ini biasanya adalah ID pengguna atau ID buram lainnya. Permintaan dengan HeaderValue tetapi tanpa HeaderName adalah ditolak.	HeaderValue=HEADER_VALUE
IPRanges	Daftar yang berisi hingga lima alamat IPv4 dan IPv6 dalam format CIDR untuk yang valid dalam format base64 yang aman bagi web. Misalnya, untuk menentukan rentang IP "192.6.13.13/32,193.5.64.135/32", Anda menentukan IPRanges=MTkyLjYuMTMuMTMvMzIsMTkzLjUuNjQuMTM1LzMy. IPRange mungkin tidak berguna untuk disertakan tanda tangan bila klien berisiko migrasi WAN atau kasus di mana jalur jaringan ke frontend aplikasi berbeda dengan jalur pengiriman. Media CDN menolak klien dengan HTTP 403 kode ketika mereka terhubung dengan alamat IP yang bukan bagian dari permintaan yang ditandatangani. Berikut adalah kasus yang dapat menyebabkan Media CDN menolak klien dengan kode HTTP 403: Lingkungan dual-stack (IPv4, IPv6) Migrasi koneksi (Wi-Fi ke seluler, dan seluler ke Wi-Fi) Jaringan seluler yang menggunakan Carrier Gateway NAT (CGNAT atau CGN) TCP Multijalur (MPTCP) Semua faktor ini dapat berkontribusi kepada klien tertentu yang memiliki alamat IP nondeterministik selama sesi pemutaran video. Jika alamat IP klien berubah setelah Anda mengeluarkan akses, dan mencoba mendownload segmen video ke dalam pemutaran mereka buffer, mereka menerima HTTP 403 dari dan Media CDN.	IPRanges=BASE_64_IP_RANGES
URLPrefix	Awalan URL base64 (aman URL) yang akan diberi akses. Menetapkan URLPrefix memungkinkan Anda menandatangani awalan dan menambahkan kueri yang sama parameter ke beberapa URL dalam pemutar atau pembuatan manifes. URLPrefix diperlukan saat menggunakan cookie yang ditandatangani format font.	URLPrefix=BASE_64_URL_PREFIX