Menggunakan autentikasi token ganda

Untuk menerapkan autentikasi dual-token saat pelihat mengakses resource streaming, Anda harus mengonfigurasi rute terpisah. Rute adalah konfigurasi yang cocok dengan permintaan untuk Media CDN dan mengarahkan traffic HTTP ke asal. Media CDN mendukung rute untuk resource live streaming HTTP (HLS) atau Dynamic Adaptive Streaming over HTTP (DASH). Untuk informasi selengkapnya tentang rute di Media CDN, lihat Mengonfigurasi rute layanan.

Untuk streaming HLS, Media CDN mendukung autentikasi token ganda melalui cookie dan parameter kueri URL (tanpa cookie). Untuk streaming DASH, Media CDN hanya mendukung autentikasi dual-token berbasis cookie.

Halaman ini menjelaskan cara mengonfigurasi rute Media CDN untuk membantu melindungi konten menggunakan autentikasi token ganda.

Sebelum memulai

Lakukan tindakan berikut:

  1. Untuk token berdurasi singkat, pilih salah satu algoritma tanda tangan berikut:

    • Tanda tangan Ed25519
    • Kode autentikasi pesan berbasis hash (HMAC) simetris

    Anda dapat mengaktifkan algoritma penandatanganan HMAC simetris hanya untuk rute yang dikonfigurasi untuk menghasilkan token berdurasi panjang yang baru. Sebaiknya gunakan tanda tangan Ed25519 untuk mendapatkan performa dan keamanan yang optimal serta HMAC kunci simetris hanya jika diperlukan untuk kompatibilitas dengan CDN lainnya.

  2. Sertakan kunci yang diperlukan dalam resource EdgeCacheKeyset.

    Token harus ditandatangani atau diverifikasi dengan kunci dalam resource EdgeCacheKeyset. Keyset harus menyertakan kunci yang benar untuk algoritma tanda tangan yang dipilih. Tabel berikut menjelaskan setiap algoritma tanda tangan dan kunci yang diperlukannya.

    Algoritme tanda tangan Kunci yang diperlukan dalam keyset
    Ed25519 Kunci publik
    HMAC-SHA1 Kunci bersama validasi
    HMAC-SHA256 Kunci bersama validasi

    Sebagai praktik terbaik, buat dua keyset terpisah, satu untuk token berdurasi singkat dan satu lagi untuk token berdurasi panjang.

    Namun, jika menggunakan file DASH dan dinamis media delivery description (MPD), Anda harus menggunakan keyset yang sama untuk token berdurasi panjang dan singkat.

  3. Untuk token berdurasi panjang, pilih salah satu format token berikut:

    • Cookie
    • Parameter kueri URL

Menyiapkan token berdurasi singkat

Bergantung pada algoritma tanda tangan yang ingin Anda gunakan, siapkan token berdurasi singkat menggunakan salah satu opsi berikut.

Tanda tangan Ed25519

  1. Buat kunci pribadi:

    openssl genpkey -algorithm ed25519 -outform PEM -out SSL_KEY_NAME.private.key

    Ganti SSL_KEY_NAME dengan nama kunci.

  2. Buat kunci publik dari kunci pribadi:

    openssl pkey -outform DER -pubout -in SSL_KEY_NAME.private.key |\
tail -c +13 |\
python3 -c "import base64, sys; print(('%s' % base64.urlsafe_b64encode(sys.stdin.buffer.read()))[2:-1])"

  3. Buat keyset baru dengan satu kunci publik:

    Konsol

    1. Di konsol Google Cloud, buka halaman Media CDN.

      Buka Media CDN

    2. Klik tab Keysets.

    3. Klik Create keyset.

    4. Untuk Name, masukkan nama keyset yang unik.

    5. Opsional: Untuk Description, masukkan deskripsi untuk kumpulan kunci Anda.

    6. Opsional: Klik Tambahkan label, lalu masukkan satu atau beberapa pasangan nilai kunci untuk keyset Anda.

    7. Klik Add public key, lalu lakukan langkah berikut:

      1. Untuk ID, masukkan ID alfanumerik.
      2. Pilih Enter the value, lalu tentukan nilai yang dienkode base64 untuk kunci publik Ed25519 Anda.

    8. Klik Create keyset.

    gcloud

    Gunakan perintah gcloud edge-cache keysets create.

    gcloud edge-cache keysets create SHORT_KEYSET_NAME \
  --public-key='id=SSL_PUBLIC_KEY_NAME,value=SSL_PUBLIC_KEY_VALUE'

    Ganti kode berikut:

    • SHORT_KEYSET_NAME: nama keyset unik—misalnya, prod-vod-keyset
    • SSL_PUBLIC_KEY_NAME: nama kunci publik SSL Anda
    • SSL_PUBLIC_KEY_VALUE: nilai kunci publik SSL Anda

    Untuk meninjau kunci yang terkait dengan keyset, gunakan perintah gcloud edge-cache keysets describe.

    gcloud edge-cache keysets describe prod-vod-keyset

    Outputnya mirip dengan hal berikut ini:

    name: prod-vod-keyset
description: "Keyset for prod.example.com"
publicKeys:
- id: "key-20200918"
  value: "DThVLjhAKm3VYOvLBAwFZ5XbjVyF98Ias8NZU0WEM9w"
- id: "key-20200808"
  value: "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA="

    Terraform 

    resource "google_network_services_edge_cache_keyset" "default" {
  name        = "prod-vod-keyset"
  description = "Keyset for prod.example.com"
  public_key {
    id    = "key-20200918"
    value = "FHsTyFHNmvNpw4o7-rp-M1yqMyBF8vXSBRkZtkQ0RKY" # Update Ed25519 public key
  }
  public_key {
    id    = "key-20200808"
    value = "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA=" # Update Ed25519 public key
  }
}

HMAC kunci simetris

  1. Jika Anda belum pernah menggunakan Secret Manager sebelumnya, konfigurasikan Secret Manager.

  2. Membuat secret.

  3. Menambahkan versi secret dalam format biner.

  4. Berikan peran Secret Manager Access (roles/secretmanager.secretAccessor) ke akun layanan Media CDN:

    Konsol

    1. Di konsol Google Cloud, buka halaman Secret Manager.

      Buka Secret Manager

    2. Pilih kotak centang di samping nama rahasia.

    3. Klik Tampilkan Panel Info.

    4. Di panel info, klik Tambah akun utama.

    5. Untuk New principals, masukkan akun layanan Media CDN dalam format ini:

      service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com

      Ganti PROJECT_NUMBER dengan nomor project Anda.

    6. Untuk Select a role, pilih Secret Manager, lalu pilih Secret Manager Secret Accessor.

    gcloud

    Gunakan perintah gcloud secrets add-iam-policy-binding.

    gcloud secrets add-iam-policy-binding projects/PROJECT_NUMBER/secrets/SECRET_ID \
  --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com" \
  --role="roles/secretmanager.secretAccessor"

    Ganti kode berikut:

    • PROJECT_NUMBER: nomor project Anda
    • SECRET_ID: ID rahasia

  5. Akses versi secret Anda dan salin jalur secret, termasuk nomor versinya.

  6. Buat keyset baru dengan rahasia bersama dalam kunci bersama validasi:

    Konsol

    1. Di konsol Google Cloud, buka halaman Media CDN.

      Buka Media CDN

    2. Klik tab Keysets.

    3. Klik Create keyset.

    4. Untuk Name, masukkan nama keyset yang unik.

    5. Opsional: Untuk Description, masukkan deskripsi untuk kumpulan kunci Anda.

    6. Opsional: Klik Tambahkan label, lalu masukkan satu atau beberapa pasangan nilai kunci untuk keyset Anda.

    7. Untuk menentukan kunci bersama validasi, klik Add validasi shared key, lalu lakukan langkah berikut:

      1. Untuk Secret, pilih secret dari daftar, masukkan secret secara manual dengan menentukan ID resource-nya, atau buat secret baru, lalu pilih rahasia tersebut.

      2. Untuk Secret version, pilih versi dari daftar atau buat versi secret baru, lalu pilih versi tersebut.

    8. Klik Create keyset.

    gcloud

    Gunakan perintah gcloud edge-cache keysets create.

    gcloud edge-cache keysets create SHORT_KEYSET_NAME \
  --validation-shared-key='secret_version=projects/PROJECT_NUMBER/secrets/SECRET_ID/versions/KEY_VERSION'

    Ganti kode berikut:

    • SHORT_KEYSET_NAME: nama unik untuk keyset—misalnya, prod-vod-keyset
    • PROJECT_NUMBER: project ID Anda
    • SECRET_ID: ID resource rahasia
    • KEY_VERSION: versi rahasia yang ingin Anda gunakan

Menyiapkan token berdurasi panjang

Kunci yang dikelola Google dicakup berdasarkan keyset. Artinya ada dua keyset yang berbeda memiliki kunci yang dikelola Google. Kunci yang dikelola Google dirotasi secara berkala.

Siapkan token berdurasi panjang menggunakan salah satu opsi berikut:

Konsol

  1. Membuat atau mengubah kumpulan kunci.

  2. Di bagian Kunci, pilih Gunakan kunci yang dikelola Google untuk autentikasi token ganda.

gcloud dan YAML

Gunakan salah satu opsi berikut:

  • Buat kunci penandatanganan yang dikelola Google:

    gcloud edge-cache keysets create LONG_KEYSET_NAME \
    --public-key='id=google-managed-key,managed=true'

    Ganti LONG_KEYSET_NAME dengan nama kunci—misalnya, prod-vod-keyset-long.

  • Mengubah keyset yang ada:

    1. Ekspor keyset Anda ke file YAML. Gunakan perintah gcloud edge-cache keysets export.

      gcloud edge-cache keysets export LONG_KEYSET_NAME \
   --destination=prod-vod-keyset-long.yaml

    2. Di editor teks atau alat pengelolaan konfigurasi, edit konfigurasi keyset agar terlihat seperti berikut:

      name: projects/my-project/locations/global/edgeCacheKeysets/LONG_KEYSET_NAME
publicKeys:
- id: some-key
  value: MC4CAQAwBQYDK2VwBCIEINV2iYugIWBuvGBJUQ_Ab69E4v4zcVqvgYHw-iZxGzcd
- id: google-managed-key
  managed: true

    3. Impor keyset yang diedit. Gunakan gcloud edge-cache keysets importperintah:

      gcloud edge-cache keysets import LONG_KEYSET_NAME \
    --source=prod-vod-keyset-long.yaml

Anda dapat menyertakan kunci publik tambahan dalam keyset token berdurasi panjang. Keyset dapat memiliki maksimal tiga kunci publik. Dalam praktiknya, hal ini berarti keyset dapat memiliki dua kunci yang dikelola pengguna dan satu kunci yang dikelola Google.

Media CDN selalu menggunakan kunci yang dikelola Google untuk membuat token. Kunci yang dikelola pengguna hanya dapat digunakan untuk verifikasi.

Menyertakan kunci publik tambahan berguna untuk memungkinkan aplikasi pemutar Anda mengakses playlist media dan segmen media dengan menggunakan permintaan bertanda tangan yang dihasilkan oleh kunci pribadi Anda sendiri.

Mengonfigurasi pertukaran token

Bagian ini menunjukkan cara mengonfigurasi pertukaran token dengan membuat beberapa rute. Rute memungkinkan Anda mengoptimalkan perilaku berdasarkan jenis konten, atribut klien, dan persyaratan keaktualan Anda. Pada contoh berikut, kami menggunakan rute untuk mengonfigurasi pertukaran token untuk setiap bagian permintaan media.

Mengonfigurasi rute manifes utama untuk mewajibkan token berdurasi singkat

Konfigurasi Media CDN untuk mewajibkan token berdurasi singkat pada rute manifes utama.

Konsol

Aktifkan autentikasi token berdurasi singkat di rute manifes utama:

  1. Di konsol Google Cloud, buka halaman Media CDN.

    Buka Media CDN

  2. Untuk membuka halaman Details layanan, klik nama layanan.

  3. Untuk beralih ke mode edit, klik tombol Edit.

  4. Untuk membuka bagian Routing, klik Next.

  5. Luaskan aturan host tempat Anda ingin menambahkan aturan rute manifes utama.

  6. Klik Tambahkan aturan rute.

    Atau, untuk mengedit aturan rute, klik Edit di baris masing-masing.

  7. Di panel Edit route rule, untuk Priority, tetapkan nilai—misalnya, 1.

  8. Untuk Description, berikan deskripsi singkat yang dapat membantu mengidentifikasi aturan dalam daftar aturan.

  9. Di bagian Pencocokan, klik Tambahkan kondisi pencocokan. Kemudian, lakukan hal berikut:

    1. Untuk Jenis pencocokan, pilih Pencocokan template jalur.
    2. Untuk Pencocokan jalur, tentukan nama atau template jalur untuk file playlist utama HLS (M3U8) atau manifes DASH (MPD). Untuk mengetahui informasi selengkapnya, lihat Pencocokan jalur.

  10. Klik Advanced configurations.

  11. Di bagian Tindakan rute, klik Tambahkan item.

  12. Untuk Jenis, pilih Kebijakan CDN.

  13. Di bagian Signed request, untuk Signed request mode, pilih Require tokens.

  14. Di bagian Signed request keyset, lakukan hal berikut:

    1. Guna menentukan keyset untuk token berdurasi singkat, klik Select a keyset, lalu pilih keyset token berdurasi singkat Anda.

      Atau, untuk membuat keyset baru yang memiliki kunci yang Anda perlukan, klik Create new keyset. Kemudian, pilih.

    2. Untuk SignatureAlgorithm, pilih Ed25519 using public key.

    3. Untuk Parameter kueri token, pertahankan nilai default, edge-cache-token.

      Atau, jika Anda berencana menggunakan parameter kueri URL manifes HLS, bukan cookie untuk autentikasi, tentukan parameter untuk menyimpan token permintaan.

    4. Untuk Max time to live, tentukan masa aktif maksimum token permintaan masuk dalam hitungan detik.

  15. Untuk menyimpan perubahan di bagian Tindakan rute, klik Selesai.

  16. Untuk menyimpan perubahan pada aturan rute, klik Simpan.

gcloud dan YAML

  1. Ekspor konfigurasi Media CDN Anda ke dalam file YAML. Gunakan perintah gcloud edge-cache services export.

    gcloud edge-cache services export SERVICE_NAME \
    --destination=FILENAME.yaml

    Ganti kode berikut:

    • SERVICE_NAME: Nama layanan Anda.
    • FILENAME : nama file YAML Anda

  2. Untuk mengaktifkan autentikasi token berdurasi singkat dalam aturan rute manifes utama, di bagian cdnPolicy rute pada file YAML, tentukan konfigurasi signedTokensOptions.

      pathMatchers:
  - name: "ROUTE_NAME"
    routeRules:
    - priority: 1
      description: "ROUTE_DESCRIPTION"
      origin: "ORIGIN_NAME"
      matchRules:
      - pathTemplateMatch: "/MANIFEST_OR_PLAYLIST"
      routeAction:
        cdnPolicy:
          cacheMode: CACHE_ALL_STATIC
          signedRequestMode: REQUIRE_TOKENS
          signedRequestKeyset: SHORT_KEYSET_NAME
          signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
          signedTokenOptions:
            tokenQueryParameter: SHORT_TOKEN_NAME

    Ganti kode berikut:

    • ROUTE_NAME: nama aturan rute
    • ROUTE_DESCRIPTION: deskripsi aturan rute
    • ORIGIN_NAME: nama origin
    • MANIFEST_OR_PLAYLIST: nama file playlist utama HLS (M3U8) atau manifes DASH (MPD). Untuk mengetahui informasi selengkapnya, lihat Pencocokan jalur.
    • SHORT_KEYSET_NAME: nama keyset yang akan digunakan untuk token berdurasi singkat
    • SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME: waktu habis masa berlaku untuk permintaan yang ditandatangani—misalnya, 600s. Untuk informasi selengkapnya, lihat signedRequestMaximumExpirationTtl.
    • Opsional: SHORT_TOKEN_NAME: parameter kueri untuk menemukan token pendek. Nilai defaultnya adalah edge-cache-token. Untuk informasi selengkapnya, lihat SignedTokenOptions.

    Saat menggunakan HMAC kunci simetris, di bagian signedTokenOptions, tambahkan allowedSignatureAlgorithms dengan nilainya sebagai HMAC_SHA_256:

           allowedSignatureAlgorithms:
       - HMAC_SHA_256

  3. Untuk mengupdate layanan, impor konfigurasi Media CDN Anda dari file YAML. Gunakan perintah gcloud edge-cache services import.

    gcloud edge-cache services import SERVICE_NAME \
    --source=FILENAME.yaml

Tindakan ini akan menyelesaikan proses pengaktifan autentikasi token tunggal.

Untuk mengonfigurasi autentikasi dual-token, lanjutkan ke bagian berikut.

Mengonfigurasi aturan rute manifes utama untuk menghasilkan token berdurasi panjang

Konfigurasi Media CDN untuk menghasilkan token berdurasi panjang di rute manifes utama. Pilih cookie atau parameter kueri URL untuk membuat token tersebut.

Konsol

Ubah aturan rute manifes utama sehingga Media CDN dapat menghasilkan token berdurasi panjang di rute:

  1. Di halaman Edit route rule, klik Advanced configurations.
  2. Untuk Jenis, pilih Kebijakan CDN.
  3. Luaskan Autentikasi token ganda.
  4. Untuk Tindakan tanda tangan, pilih Buat token berdurasi panjang baru.

  5. Untuk Signature type, pilih salah satu opsi berikut:

    • melalui cookie (untuk streaming HLS dan DASH): mengonfigurasi Media CDN untuk menampilkan Edge-Cache-Cookie dengan respons manifes utama.
    • melalui parameter kueri URL manifes HLS (tanpa cookie): mengonfigurasi Media CDN untuk memanipulasi manifes utama HLS dengan menambahkan token berdurasi panjang ke setiap URL.

  6. Di bagian Buat token berdurasi panjang baru, lakukan tindakan berikut:

    1. Guna menentukan keyset untuk token berdurasi panjang, klik Select a keyset, lalu pilih keyset token berdurasi panjang Anda.

      Atau, klik Create new keyset untuk membuat keyset baru yang memiliki kunci yang Anda perlukan. Kemudian, pilih.

    2. Untuk Token TTL, tentukan masa aktif maksimum token berdurasi panjang dalam hitungan detik.

    3. Untuk Signature type, jika Anda memilih opsi melalui cookie, di bagian Menyalin parameter, pilih parameter yang Anda inginkan untuk disalin oleh Media CDN dari token berdurasi singkat ke token berdurasi panjang. Untuk menggunakan autentikasi dual-token, Anda harus memilih PathGlobs (atau salah satu aliasnya, acl atau paths) atau URLPrefix.

      Jika Anda memilih opsi melalui parameter kueri URL manifes HLS, untuk Parameter kueri token, pertahankan nilai default, edge-cache-token.

  7. Untuk menyimpan perubahan di bagian Tindakan rute, klik Selesai.

  8. Untuk menyimpan perubahan pada aturan rute, klik Simpan.

    Akan muncul pesan yang menanyakan apakah Anda ingin membuat rute untuk playlist dan segmen media secara otomatis atau manual. Jika Anda memilih opsi otomatis, satu rute baru akan dibuat untuk tanda tangan cookie dan dua rute untuk tanda tangan tanpa cookie. Jika Anda memilih opsi manual, lanjutkan ke bagian berikutnya.

gcloud dan YAML

Ubah bagian addSignatures dari aturan rute manifes utama sehingga Media CDN dapat membuat token berdurasi panjang di rute:

Cookie 

          addSignatures:
            actions:
              - GENERATE_COOKIE
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID

Ganti kode berikut:

  • LONG_KEYSET_NAME: nama keyset token berdurasi panjang Anda

  • TOKEN_EXPIRATION_TIME: waktu habis masa berlaku token berdurasi panjang—misalnya, 86400s untuk masa berlaku satu hari

Contoh kode ini mengimplementasikan perubahan berikut:

  • addSignatures.actions: GENERATE_COOKIE: mengonfigurasi Media CDN untuk menampilkan Edge-Cache-Cookie dengan respons manifes utama

  • copiedParameters.PathGlobs: mengonfigurasi Media CDN untuk menyalin PathGlobs dari token berdurasi singkat ke token berdurasi panjang. Untuk menggunakan autentikasi dual-token, Anda harus menggunakan copiedParameters.PathGlobs atau copiedParameters.URLPrefix. Untuk mengetahui informasi selengkapnya, lihat copiedParameters.

  • Opsional: copiedParameters.SessionID: mengonfigurasi Media CDN untuk menyalin SessionID dari token berdurasi singkat ke token berdurasi panjang

Saat tindakan GENERATE_COOKIE diterapkan, Media CDN akan menampilkan header Set-Cookie yang mirip berikut ini dengan respons manifes utama:

Set-Cookie: Edge-Cache-Cookie=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

Parameter kueri URL 

          addSignatures:
            actions:
              - GENERATE_TOKEN_HLS_COOKIELESS
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID
            tokenQueryParameter: LONG_TOKEN_NAME

Ganti kode berikut:

  • LONG_KEYSET_NAME: nama keyset durasi panjang

  • TOKEN_EXPIRATION_TIME: waktu habis masa berlaku token berdurasi panjang—misalnya, 86400s untuk waktu habis masa berlaku satu hari

Contoh kode ini mengimplementasikan perubahan berikut:

  • addSignatures.actions: GENERATE_TOKEN_HLS_COOKIELESS: mengonfigurasi Media CDN untuk memanipulasi manifes utama HLS dengan menambahkan token berdurasi panjang ke setiap URI yang ada.

  • copiedParameters.PathGlobs: mengonfigurasi Media CDN untuk menyalin PathGlobs dari token berdurasi singkat ke token berdurasi panjang. Untuk menggunakan autentikasi dual-token, Anda harus menggunakan salah satu dari copiedParameters.PathGlobs atau copiedParameters.URLPrefix. Untuk mengetahui informasi selengkapnya, lihat copiedParameters.

  • Opsional: copiedParameters.SessionID: mengonfigurasi Media CDN untuk menyalin SessionID dari token berdurasi singkat ke token berdurasi panjang.

  • Opsional: LONG_TOKEN_NAME: parameter kueri tempat token panjang yang dihasilkan dimasukkan. Nilai defaultnya adalah edge-cache-token. Untuk informasi selengkapnya, lihat tokenQueryParameter.

File manifes berikut menunjukkan tindakan GENERATE_TOKEN_HLS_COOKIELESS yang diterapkan:

#EXTM3U
#EXT-X-STREAM-INF:BANDWIDTH=1280000,AVERAGE-BANDWIDTH=1000000
http://example.com/HLS_PRIMARY_PLAYLIST.m3u8?LONG_TOKEN_NAME=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

Media CDN memverifikasi token berdurasi singkat, lalu membuat dan menyimpan token berdurasi panjang di parameter kueri LONG_TOKEN_NAME.

Mengonfigurasi rute playlist dan segmen media yang memerlukan token berdurasi panjang

Konfigurasi rute segmen dan playlist media agar memerlukan token durasi panjang.

Konsol

Cookie

Buat aturan rute untuk playlist media dan rute segmen:

  1. Di halaman Edit Edge Cache service, di bagian Routing, klik aturan host yang memiliki rute manifes utama.
  2. Klik Tambahkan aturan rute.
  3. Di panel Edit route rule, untuk Priority, tetapkan nilai yang lebih besar daripada rute manifes utama—misalnya, 2. Nilai yang lebih tinggi menunjukkan prioritas yang lebih rendah.
  4. Untuk Description, berikan deskripsi singkat yang dapat membantu mengidentifikasi aturan dalam daftar aturan.

  5. Tetapkan kolom berikut seperti yang disarankan:

    • Pilih origin: sama seperti untuk aturan rute manifes utama
    • Tambahkan kondisi pencocokan: sama seperti untuk aturan rute manifes utama
    • Jenis: Kebijakan CDN
    • Mode permintaan yang ditandatangani: Memerlukan token
    • Pilih keyset: sama seperti untuk token berdurasi panjang
    • Algoritma tanda tangan: sama seperti untuk aturan rute manifes utama

  6. Luaskan Autentikasi token ganda.

  7. Untuk Tindakan tanda tangan, pertahankan nilai default Tidak ada.

  8. Klik Done, lalu klik Save.

Parameter kueri URL

  1. Buat aturan rute untuk playlist media.

    1. Di halaman Edit Edge Cache service, di bagian Routing, klik aturan host yang memiliki rute manifes utama.
    2. Klik Tambahkan aturan rute.
    3. Di panel Edit route rule, untuk Priority, tetapkan nilai yang lebih besar daripada rute manifes utama—misalnya, 2. Nilai yang lebih tinggi menunjukkan prioritas yang lebih rendah.
    4. Untuk Description, berikan deskripsi singkat yang dapat membantu mengidentifikasi aturan dalam daftar aturan.

    5. Tetapkan kolom berikut seperti yang disarankan:

      • Pilih origin: sama seperti untuk aturan rute manifes utama
      • Tambahkan kondisi kecocokan: sama seperti untuk aturan rute manifes utama
      • Jenis: Kebijakan CDN
      • Mode permintaan yang ditandatangani: Memerlukan token
      • Pilih keyset: sama seperti untuk token berdurasi panjang
      • Algoritma tanda tangan: sama seperti untuk aturan rute manifes utama
      • Parameter kueri token: sama seperti untuk token berdurasi panjang

    6. Luaskan Autentikasi token ganda.

    7. Untuk Tindakan tanda tangan, pilih Terapkan token berdurasi panjang yang ada.

      Opsi ini hanya diaktifkan setelah Media CDN memverifikasi bahwa token berdurasi panjang dibuat dengan menggunakan jenis tanda tangan melalui parameter kueri URL manifes HLS (tanpa cookie).

    8. Untuk Parameter kueri token, pertahankan nilai default, edge-cache-token.

    9. Klik Done, lalu klik Save.

  2. Buat aturan rute untuk segmen media.

    Rute ini seperti rute untuk playlist media, dengan beberapa perbedaan utama berikut:

    • Untuk Priority, tetapkan nilai yang lebih besar daripada nilai aturan rute playlist media —misalnya, 3.
    • Untuk Description, berikan deskripsi singkat yang dapat membantu mengidentifikasi aturan dalam daftar aturan.
    • Di bagian Autentikasi token ganda, untuk Tindakan tanda tangan, pertahankan nilai default Tidak ada.

gcloud dan YAML

Edit file YAML:

Cookie

Konfigurasi playlist dan segmen media untuk mewajibkan cookie berdurasi panjang:

    - priority: 2
      description: "SEGMENTS_ROUTE_DESCRIPTION"
      origin: "ORIGIN_NAME"
      matchRules:
      - pathTemplateMatch: "/**.m3u8" # HLS media playlists
      - pathTemplateMatch: "/**.ts" # HLS segments
      - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
      routeAction:
        cdnPolicy:
          cacheMode: CACHE_ALL_STATIC
          signedRequestMode: REQUIRE_TOKENS
          signedRequestKeyset: LONG_KEYSET_NAME

Ganti SEGMENTS_ROUTE_DESCRIPTION dengan deskripsi rute.

Contoh kode ini mengimplementasikan perubahan berikut:

  • priority: 2: prioritas rute. Nilai yang lebih tinggi menunjukkan prioritas yang lebih rendah. Karena rute untuk playlist media dan segmen media Anda cocok dengan nama file yang diakhiri dengan .m3u8, prioritas untuk rute harus lebih rendah daripada rute yang sebelumnya Anda buat untuk manifes utama.
  • signedRequestMode: REQUIRE_TOKENS: menerapkan token untuk playlist media dan segmen media. Jika Anda menggunakan file deskripsi presentasi media statis (MPD), keyset panjang dan pendek mungkin berbeda. Jika Anda menggunakan file MPD dinamis, keyset panjang dan pendek harus sama.
  • signedRequestKeyset: LONG_KEYSET_NAME: Media CDN menggunakan keyset berdurasi panjang untuk memvalidasi cookie berdurasi panjang yang disediakan oleh agen pengguna untuk permintaan playlist media dan segmen media.

Parameter kueri URL

Tambahkan dua konfigurasi rute:

  1. Konfigurasikan rute manifes media HLS untuk menyebarkan token berdurasi panjang:

       - priority: 2
     description: "PLAYLIST_ROUTE_DESCRIPTION"
     origin: "ORIGIN_NAME"
     matchRules:
     - pathTemplateMatch: "/**.m3u8" # HLS media playlists
     routeAction:
       cdnPolicy:
       cacheMode: CACHE_ALL_STATIC
       signedRequestMode: REQUIRE_TOKENS
       signedRequestKeyset: LONG_KEYSET_NAME
       addSignatures:
         actions:
         - PROPAGATE_TOKEN_HLS_COOKIELESS

    Ganti PLAYLIST_ROUTE_DESCRIPTION dengan deskripsi rute.

    Contoh kode ini mengimplementasikan perubahan berikut:

    • priority: 2: prioritas rute. Nilai yang lebih tinggi menunjukkan prioritas yang lebih rendah. Karena rute untuk playlist media Anda cocok dengan nama file apa pun yang berakhiran .m3u8, prioritas rute harus lebih rendah daripada rute yang sebelumnya Anda buat untuk manifes utama.
    • signedRequestMode: REQUIRE_TOKENS: menerapkan token untuk playlist media dan segmen media. Jika Anda menggunakan file deskripsi presentasi media statis (MPD), keyset panjang dan pendek mungkin berbeda. Jika Anda menggunakan file MPD dinamis, keyset panjang dan pendek harus sama.
    • signedRequestKeyset: LONG_KEYSET_NAME: Media CDN menggunakan keyset berdurasi panjang untuk memvalidasi cookie berdurasi panjang yang disediakan oleh agen pengguna untuk permintaan playlist media dan segmen media.
    • addSignatures.actions: PROPAGATE_TOKEN_HLS_COOKIELESS: mengonfigurasi Media CDN untuk menyalin token berdurasi panjang ke URI segmen media di playlist media.

  2. Konfigurasi rute segmen agar mewajibkan token berdurasi panjang:

       - priority: 3
     description: "SEGMENTS_ROUTE_DESCRIPTION"
     origin: "ORIGIN_NAME"
     matchRules:
     - pathTemplateMatch: "/**.ts" # HLS segments
     routeAction:
       cdnPolicy:
         cacheMode: CACHE_ALL_STATIC
         signedRequestMode: REQUIRE_TOKENS
         signedRequestKeyset: LONG_KEYSET_NAME

    Ganti SEGMENTS_ROUTE_DESCRIPTION dengan deskripsi rute.

    Contoh kode ini mengimplementasikan perubahan berikut:

    • priority: 3: prioritas rute. Nilai yang lebih tinggi menunjukkan prioritas yang lebih rendah. Prioritas untuk rute ini harus lebih rendah daripada rute yang sebelumnya Anda buat untuk playlist media.
    • signedRequestMode: REQUIRE_TOKENS: menerapkan token untuk playlist media dan segmen media.
    • signedRequestKeyset: LONG_KEYSET_NAME: Media CDN menggunakan keyset berdurasi panjang untuk memvalidasi token bertanda tangan berdurasi panjang yang disediakan oleh agen pengguna untuk permintaan playlist media dan segmen media.

Contoh file konfigurasi

Contoh kode berikut menunjukkan file konfigurasi yang sudah selesai:

Cookie 

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_MASTER_PLAYLIST.m3u8" # HLS primary playlists
        - pathTemplateMatch: "/DASH_MANIFESTS.mpd" # DASH manifests
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            addSignatures:
              actions:
                - GENERATE_COOKIE
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        - pathTemplateMatch: "/**.ts" # HLS segments
        - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME

Parameter kueri URL 

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_PRIMARY_PLAYLIST.m3u8" # HLS primary playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            signedTokenOptions:
              tokenQueryParameter: SHORT_TOKEN_NAME
            addSignatures:
              actions:
                - GENERATE_TOKEN_HLS_COOKIELESS
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              tokenQueryParameter: LONG_TOKEN_NAME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "PLAYLIST_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME
            addSignatures:
              actions:
                - PROPAGATE_TOKEN_HLS_COOKIELESS
      - priority: 3
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.ts" # HLS segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME

Membuat token berdurasi singkat di server aplikasi

Untuk mengetahui informasi tentang cara membuat token, lihat Membuat token.

Menerapkan perlindungan konten defense-in-depth

Sebagai praktik terbaik, aktifkan autentikasi origin sebagai berikut: