使用双令牌身份验证

如需在观看者访问流式传输资源时强制执行双令牌身份验证，您需要配置单独的路由。路由是一种配置，用于匹配对媒体 CDN 的请求并将 HTTP 流量定向到源。Media CDN 支持 HTTP Live Streaming (HLS) 或基于 HTTP 的动态自适应流式传输 (DASH) 资源的路线。更多信息 如需了解媒体 CDN 中的路由，请参阅配置服务路由。

对于 HLS 串流，Media CDN 支持通过 Cookie 和网址查询参数（不使用 Cookie）进行双令牌身份验证。对于 DASH 串流，媒体 CDN 仅支持基于 Cookie 的双令牌身份验证。

本页介绍了如何配置 Media CDN 路线，以便使用双令牌身份验证来保护内容。

准备工作

执行以下操作：

  1. 对于短时令牌，请选择以下签名算法之一：

    • Ed25519 签名
    • 对称密钥基于哈希的消息身份验证代码 (HMAC)

    您只能为配置为生成新的长时效令牌的路由启用对称 HMAC 签名算法。我们建议您使用 Ed25519 可实现最佳性能和安全性的签名以及对称密钥 HMAC 与其他 CDN 兼容。

  2. 在 EdgeCacheKeyset 资源中添加所需的键。

    令牌必须使用 EdgeCacheKeyset 资源中的密钥进行签名或验证。密钥集必须包含所选签名算法对应的正确密钥。下表介绍了每种签名算法及其所需的密钥。

    签名算法 密钥集中的必需密钥
    Ed25519 公钥
    HMAC-SHA1 验证共享密钥
    HMAC-SHA256 验证共享密钥

    最佳实践是创建两个单独的键集，一个用于短时效标记，另一个用于长时效标记。

    不过，如果您使用的是 DASH 和动态媒体呈现说明 (MPD) 文件，则必须为长时段令牌和短时段令牌使用相同的键集。

  3. 对于长时令牌，请选择以下令牌格式之一：

    • Cookie
    • 网址查询参数

设置短时令牌

根据您要使用的签名算法，设置较短的持续时间 使用以下选项之一来自定义令牌。

Ed25519 签名

  1. 生成私钥：

    openssl genpkey -algorithm ed25519 -outform PEM -out SSL_KEY_NAME.private.key

    将 SSL_KEY_NAME 替换为密钥名称。

  2. 根据私钥生成公钥：

    openssl pkey -outform DER -pubout -in SSL_KEY_NAME.private.key |\
tail -c +13 |\
python3 -c "import base64, sys; print(('%s' % base64.urlsafe_b64encode(sys.stdin.buffer.read()))[2:-1])"

  3. 创建一个具有单个公钥的新密钥集：

    控制台

    1. 在 Google Cloud 控制台中，前往媒体 CDN 页面。

      前往媒体 CDN

    2. 点击密钥集标签页。

    3. 点击 Create keyset。

    4. 对于名称，请输入唯一的密钥集名称。

    5. 可选：在说明部分，输入密钥集的说明。

    6. 可选：点击添加标签，然后为密钥集输入一个或多个键值对。

    7. 点击添加公钥，然后执行以下操作：

      1. 对于 ID，请输入字母数字 ID。
      2. 选择输入值，然后指定 Ed25519 公钥的 base64 编码值。

    8. 点击创建密钥集。

    gcloud

    使用 gcloud edge-cache keysets create 命令。

    gcloud edge-cache keysets create SHORT_KEYSET_NAME \
  --public-key='id=SSL_PUBLIC_KEY_NAME,value=SSL_PUBLIC_KEY_VALUE'

    替换以下内容：

    • SHORT_KEYSET_NAME：唯一密钥集 名称，例如 prod-vod-keyset
    • SSL_PUBLIC_KEY_NAME：您的 SSL 公钥
    • SSL_PUBLIC_KEY_VALUE：您的 SSL 公钥

    如需查看与该密钥集关联的密钥，请使用 gcloud edge-cache keysets describe 命令。

    gcloud edge-cache keysets describe prod-vod-keyset

    输出类似于以下内容：

    name: prod-vod-keyset
description: "Keyset for prod.example.com"
publicKeys:
- id: "key-20200918"
  value: "DThVLjhAKm3VYOvLBAwFZ5XbjVyF98Ias8NZU0WEM9w"
- id: "key-20200808"
  value: "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA="

    Terraform 

    resource "google_network_services_edge_cache_keyset" "default" {
  name        = "prod-vod-keyset"
  description = "Keyset for prod.example.com"
  public_key {
    id    = "key-20200918"
    value = "FHsTyFHNmvNpw4o7-rp-M1yqMyBF8vXSBRkZtkQ0RKY" # Update Ed25519 public key
  }
  public_key {
    id    = "key-20200808"
    value = "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA=" # Update Ed25519 public key
  }
}

对称密钥 HMAC

  1. 如果您之前未使用过 Secret Manager， 配置 Secret Manager。

  2. 创建 Secret。

  3. 添加 Secret 版本 二进制数据。

  4. 向 Media CDN 服务账号授予 Secret Manager Access 角色 (roles/secretmanager.secretAccessor)：

    控制台

    1. 在 Google Cloud 控制台中，转到 Secret Manager 页面。

      转到 Secret Manager

    2. 选中密钥名称旁边的复选框。

    3. 点击显示信息面板。

    4. 在信息面板中，点击添加主账号。

    5. 在新的主账号部分，输入媒体 CDN 服务 账号，格式为：

      service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com

      将 PROJECT_NUMBER 替换为您的项目 数字。

    6. 在选择角色部分，选择 Secret Manager，然后选择 Secret Manager Secret Accessor。

    gcloud

    使用 gcloud secrets add-iam-policy-binding 命令。

    gcloud secrets add-iam-policy-binding projects/PROJECT_NUMBER/secrets/SECRET_ID \
  --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com" \
  --role="roles/secretmanager.secretAccessor"

    替换以下内容：

    • PROJECT_NUMBER：您的项目编号
    • SECRET_ID：密钥的 ID

  5. 访问您的密钥版本 并复制 Secret 路径，包括版本号。

  6. 使用验证共享密钥中的共享密钥创建新的密钥集：

    控制台

    1. 在 Google Cloud 控制台中，前往媒体 CDN 页面。

      前往媒体 CDN

    2. 点击密钥集标签页。

    3. 点击 Create keyset。

    4. 对于名称，请输入唯一的密钥集名称。

    5. 可选：在说明部分，输入密钥集的说明。

    6. 可选：点击添加标签，然后为密钥集输入一个或多个键值对。

    7. 如需指定验证共享密钥，请点击添加验证共享密钥，然后执行以下操作：

      1. 对于 Secret，请从列表中选择一个 Secret，通过指定其资源 ID 手动输入 Secret，或创建新 Secret 并选择它。

      2. 在 Secret 版本部分，从列表中选择一个版本，或者 创建新的 Secret 版本 然后选择它

    8. 点击创建密钥集。

    gcloud

    使用 gcloud edge-cache keysets create 命令。

    gcloud edge-cache keysets create SHORT_KEYSET_NAME \
  --validation-shared-key='secret_version=projects/PROJECT_NUMBER/secrets/SECRET_ID/versions/KEY_VERSION'

    替换以下内容：

    • SHORT_KEYSET_NAME：键集的唯一名称，例如 prod-vod-keyset
    • PROJECT_NUMBER：您的项目 ID
    • SECRET_ID：密钥的资源 ID
    • KEY_VERSION：需要 您想要使用

设置长时令牌

Google 管理的密钥根据密钥集划分范围。这意味着，两个不同的密钥集具有不同的 Google 管理的密钥。Google 管理的密钥会定期轮替。

您可以使用以下选项之一设置长时令牌：

控制台

  1. 创建或修改密钥集。

  2. 在密钥部分中，选择将 Google 管理的密钥用于双令牌 身份验证。

gcloud 和 YAML

您可以使用以下任一选项：

  • 创建 Google 管理的签名密钥：

    gcloud edge-cache keysets create LONG_KEYSET_NAME \
    --public-key='id=google-managed-key,managed=true'

    将 LONG_KEYSET_NAME 替换为密钥 名称，例如 prod-vod-keyset-long。

  • 修改现有密钥集：

    1. 将密钥集导出到 YAML 文件。使用 gcloud edge-cache keysets export 命令。

      gcloud edge-cache keysets export LONG_KEYSET_NAME \
   --destination=prod-vod-keyset-long.yaml

    2. 在文本编辑器或配置管理工具中， 密钥集配置，使其类似于以下内容：

      name: projects/my-project/locations/global/edgeCacheKeysets/LONG_KEYSET_NAME
publicKeys:
- id: some-key
  value: MC4CAQAwBQYDK2VwBCIEINV2iYugIWBuvGBJUQ_Ab69E4v4zcVqvgYHw-iZxGzcd
- id: google-managed-key
  managed: true

    3. 导入修改后的键集。使用 gcloud edge-cache keysets import 命令：

      gcloud edge-cache keysets import LONG_KEYSET_NAME \
    --source=prod-vod-keyset-long.yaml

您可以在长时效令牌密钥集中添加其他公钥。密钥集最多可以包含三个公钥。实际上，这意味着 密钥集可以有两个用户管理的密钥和一个 Google 管理的密钥。

媒体 CDN 始终使用 Google 管理的密钥生成令牌。用户管理的密钥只能用于验证。

添加其他公钥有助于让您的播放器应用 访问媒体播放列表和媒体片段，方法是使用 由自己的私钥生成

配置令牌交换

本部分介绍如何通过创建多个路由来配置令牌交换。 借助路由，您可以根据内容类型、客户端优化行为 属性和新鲜度要求。在以下示例中，我们使用 为媒体请求的每个部分配置令牌交换。

将主清单路由配置为需要短时令牌

将 Media CDN 配置为在主要清单路线上要求使用短时效令牌。

控制台

在主清单路由上启用短时令牌身份验证：

  1. 在 Google Cloud 控制台中，前往 Media CDN 页面。

    前往“媒体 CDN”

  2. 如需打开某项服务的详细信息页面，请点击相应服务名称。

  3. 如需切换到修改模式，请点击修改按钮。

  4. 如需转到路由部分，请点击下一步。

  5. 展开您要添加主要清单路由规则的主机规则。

  6. 点击添加路由规则。

    或者，如需修改路由规则，请点击相应行中的 Edit（修改）。

  7. 在修改路由规则窗格中，为优先级设置一个值，例如 1。

  8. 在说明中，提供简短的说明，以便在规则列表中识别规则。

  9. 在匹配部分中，点击添加匹配条件。然后，执行以下操作：

    1. 对于匹配类型，选择路径模板匹配。
    2. 对于路径匹配，请指定 HLS 主播放列表 (M3U8) 或 DASH 清单 (MPD) 文件。有关 相关信息，请参阅路径匹配。

  10. 点击高级配置。

  11. 在路由操作部分中，点击添加内容。

  12. 对于类型，选择 CDN 政策。

  13. 在签名请求部分中，对于签名请求模式，选择 需要令牌。

  14. 在已签名请求密钥集部分，执行以下操作：

    1. 如需为短时效令牌指定密钥集，请点击选择密钥集，然后选择您的短时效令牌密钥集。

      或者，如需创建包含所需密钥的新密钥集， 点击创建新密钥集。然后选择该集合。

    2. 对于签名算法，选择 Ed25519 using public keys。

    3. 对于令牌查询参数，请保留默认值， edge-cache-token。

      或者，如果您打算使用 HLS 清单网址查询参数 而不是使用 Cookie 进行身份验证，请在 用于存储请求令牌

    4. 对于最长生命周期，请指定传入请求令牌的最长生命周期（以秒为单位）。

  15. 如需保存路线操作部分中的更改，请点击完成。

  16. 如需保存路线规则中的更改，请点击保存。

gcloud 和 YAML

  1. 导出媒体 CDN 配置 转换为 YAML 文件使用 gcloud edge-cache services export 命令。

    gcloud edge-cache services export SERVICE_NAME \
    --destination=FILENAME.yaml

    替换以下内容：

    • SERVICE_NAME：服务的名称
    • FILENAME：YAML 文件的名称

  2. 在主清单中启用短时令牌身份验证 在 YAML 文件的路由的 cdnPolicy 部分中设置路由规则， 指定 signedTokensOptions 配置。

      pathMatchers:
  - name: "ROUTE_NAME"
    routeRules:
    - priority: 1
      description: "ROUTE_DESCRIPTION"
      origin: "ORIGIN_NAME"
      matchRules:
      - pathTemplateMatch: "/MANIFEST_OR_PLAYLIST"
      routeAction:
        cdnPolicy:
          cacheMode: CACHE_ALL_STATIC
          signedRequestMode: REQUIRE_TOKENS
          signedRequestKeyset: SHORT_KEYSET_NAME
          signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
          signedTokenOptions:
            tokenQueryParameter: SHORT_TOKEN_NAME

    替换以下内容：

    • ROUTE_NAME：路由规则的名称
    • ROUTE_DESCRIPTION：路由规则的说明
    • ORIGIN_NAME：来源名称
    • MANIFEST_OR_PLAYLIST：HLS 的名称 主播放列表 (M3U8) 或 DASH 清单 (MPD) 文件。如需了解详情，请参阅路径匹配。
    • SHORT_KEYSET_NAME：要使用的密钥集名称 短时令牌
    • SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME：已签名请求的到期时间，例如 600s。对于 如需了解详情，请参阅 signedRequestMaximumExpirationTtl。
    • 可选：SHORT_TOKEN_NAME：查询 参数，在其中查找短令牌。默认值为 edge-cache-token。如需了解详情，请参阅 SignedTokenOptions。

    使用对称密钥 HMAC 时，在 signedTokenOptions 部分中，附加 allowedSignatureAlgorithms，并将其值设为 HMAC_SHA_256：

           allowedSignatureAlgorithms:
       - HMAC_SHA_256

  3. 如需更新该服务，请导入您的媒体 CDN 配置 提取 YAML 文件使用 gcloud edge-cache services import 命令。

    gcloud edge-cache services import SERVICE_NAME \
    --source=FILENAME.yaml

至此，单令牌身份验证的启用流程已完成。

如需配置双令牌身份验证，请继续阅读以下部分。

配置主要清单路由规则以生成长时令牌

配置 Media CDN 以在主要清单路线上生成长时效令牌。选择 Cookie 或网址查询参数 生成这些词元。

控制台

修改主要清单路由规则，以便媒体 CDN 可以 在路由中生成长时令牌：

  1. 在修改路由规则页面上，点击高级配置。
  2. 对于类型，选择 CDN 政策。
  3. 展开双令牌身份验证。
  4. 在签名操作部分，选择生成新的长时令牌。

  5. 对于签名类型，请选择以下选项之一：

    • 通过 Cookie（适用于 HLS 和 DASH 流式传输）：配置 使用媒体 CDN 返回 Edge-Cache-Cookie 主要清单响应。
    • 通过 HLS 清单网址查询参数（不使用 Cookie）：进行配置 媒体 CDN 用于操控 HLS 主清单， 向每个网址附加一个长时令牌

  6. 在生成新的长时令牌部分中，执行以下操作：

    1. 如需为长时效令牌指定密钥集，请点击选择密钥集，然后选择您的长时效令牌密钥集。

      或者，点击创建新密钥集，创建包含所需密钥的新密钥集。然后选择所需项目。

    2. 对于令牌 TTL，请指定长时令牌的最大生命周期（以秒为单位）。

    3. 对于签名类型，如果您选择了通过 Cookie 选项， 然后在复制的参数部分中，选择参数 您希望媒体 CDN 从短时长内复制 将令牌映射到长时令牌。如需使用双令牌身份验证，请执行以下操作： 您必须选择 PathGlobs（或其别名 acl） 或 paths）或 URLPrefix。

      如果您选择了通过 HLS 清单网址查询参数选项，请为令牌查询参数保留默认值 edge-cache-token。

  7. 若要保存路由操作部分中的更改，请点击完成。

  8. 如需保存路由规则中的更改，请点击保存。

    系统随即会显示一条消息，询问您是要自动还是手动为媒体播放列表和媒体片段创建路由。如果您选择 自动选项，系统会为 Cookie 签名创建一个新路由 以及两条无 Cookie 签名的路由如果您选择手动 选项，请继续下一部分。

gcloud 和 YAML

修改主要清单路由规则的 addSignatures 部分，以便 媒体 CDN 可以在路由上生成长时令牌：

饼干

          addSignatures:
            actions:
              - GENERATE_COOKIE
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID

替换以下内容：

  • LONG_KEYSET_NAME：长期有效令牌密钥集的名称

  • TOKEN_EXPIRATION_TIME：到期时间 长时令牌的有效期，例如 86400s 代表一天 过期时间

此代码示例实现了以下更改：

  • addSignatures.actions: GENERATE_COOKIE：配置 媒体 CDN 会返回一个 Edge-Cache-Cookie 主要清单响应

  • copiedParameters.PathGlobs：配置媒体 CDN 以进行复制 从短时令牌到长时令牌的 PathGlobs 令牌。如需使用双令牌身份验证，您必须使用 copiedParameters.PathGlobs 或 copiedParameters.URLPrefix。如需了解详情，请参阅 copiedParameters。

  • 可选：copiedParameters.SessionID：configures 媒体 CDN 用于从短时长事件中复制 SessionID 将令牌映射到长时令牌

应用 GENERATE_COOKIE 操作后，媒体 CDN 会返回类似于如下所示的 Set-Cookie 标头，该标头的 清单响应：

Set-Cookie: Edge-Cache-Cookie=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

网址查询参数

          addSignatures:
            actions:
              - GENERATE_TOKEN_HLS_COOKIELESS
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID
            tokenQueryParameter: LONG_TOKEN_NAME

替换以下内容：

  • LONG_KEYSET_NAME：长时段密钥集的名称

  • TOKEN_EXPIRATION_TIME：到期时间 长时令牌的持续时间，例如 86400s 表示 一天的有效期

此代码示例实现了以下更改：

  • addSignatures.actions: GENERATE_TOKEN_HLS_COOKIELESS: 配置媒体 CDN 以操纵 HLS 主图片 将一个长时令牌附加到存在的每个 URI 中，从而实现清单。

  • copiedParameters.PathGlobs：配置媒体 CDN 以将 PathGlobs 从短时令牌复制到长时令牌。要使用双令牌身份验证，您必须使用 copiedParameters.PathGlobs 或 copiedParameters.URLPrefix。如需了解详情，请参阅 copiedParameters。

  • 可选：copiedParameters.SessionID：配置媒体 CDN 将 SessionID 从短时令牌复制到长时令牌。

  • 可选：LONG_TOKEN_NAME：查询 参数，用于放置生成的长令牌。默认值 为 edge-cache-token。如需了解详情，请参阅 tokenQueryParameter。

以下清单文件显示了应用的 GENERATE_TOKEN_HLS_COOKIELESS 操作：

#EXTM3U
#EXT-X-STREAM-INF:BANDWIDTH=1280000,AVERAGE-BANDWIDTH=1000000
http://example.com/HLS_PRIMARY_PLAYLIST.m3u8?LONG_TOKEN_NAME=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

媒体 CDN 验证短时令牌，然后 生成长时令牌并将其存储在 LONG_TOKEN_NAME 查询参数。

将媒体播放列表和片段路由配置为需要长时令牌

将媒体播放列表和片段路由配置为需要较长时长 词元。

控制台

Cookie

为媒体播放列表和媒体片段路由创建路由规则：

  1. 在修改边缘缓存服务页面的路由部分，点击具有主要清单路由的主机规则。
  2. 点击添加路由规则。
  3. 在修改路由规则窗格的优先级中，设置一个 大于主清单路由的名称（例如 2）。 值越高，表示优先级越低。
  4. 对于说明，提供简要说明有助于找到 在规则列表中选中该规则

  5. 按照建议设置以下字段：

    • 选择来源：与主要清单路由规则相同
    • 添加匹配条件：与针对主清单路由添加匹配条件相同 规则
    • Type（类型）：CDN policy（CDN 政策）
    • 签名请求模式：需要令牌
    • 选择密钥集：与长时效令牌相同
    • 签名算法：与主要清单路由规则相同

  6. 展开双令牌身份验证。

  7. 对于签名操作，请保留默认值 None。

  8. 点击完成，然后点击保存。

网址查询参数

  1. 为媒体播放列表创建路由规则。

    1. 在修改边缘缓存服务页面的路由部分，执行以下操作： 点击具有主要清单路由的主机规则。
    2. 点击添加路由规则。
    3. 在修改路由规则窗格中，为优先级设置一个大于主要清单路由的值，例如 2。值越高，优先级越低。
    4. 在说明中，提供简短的说明，以便在规则列表中识别规则。

    5. 按照建议设置以下字段：

      • 选择来源：与选择主清单路由相同 规则
      • 添加匹配条件：与主要清单路由规则相同
      • Type（类型）：CDN policy（CDN 政策）
      • 签名请求模式：需要令牌
      • 选择密钥集：与长时效令牌相同
      • 签名算法：与主要清单路线规则相同
      • 令牌查询参数：与长时参数相同 词元

    6. 展开双令牌身份验证。

    7. 对于签名操作，选择传播现有的长时令牌。

      只有在媒体 CDN 验证后，此选项才会启用 长时令牌是使用 通过 HLS 清单网址查询参数（不使用 Cookie）签名 类型。

    8. 对于令牌查询参数，请保留默认值， edge-cache-token。

    9. 点击完成，然后点击保存。

  2. 为媒体片段创建路由规则。

    此路由与媒体播放列表路由类似， 主要区别：

    • 对于 Priority（优先级），请设置一个大于媒体的值 播放列表路由规则，例如 3。
    • 在说明部分，提供简短的说明会对您有帮助 在规则列表中找到该规则
    • 在双令牌身份验证部分中，对于签名操作，保留默认值 None。

gcloud 和 YAML

修改 YAML 文件：

Cookie

将媒体播放列表和媒体片段配置为要求使用长效 Cookie：

    - priority: 2
      description: "SEGMENTS_ROUTE_DESCRIPTION"
      origin: "ORIGIN_NAME"
      matchRules:
      - pathTemplateMatch: "/**.m3u8" # HLS media playlists
      - pathTemplateMatch: "/**.ts" # HLS segments
      - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
      routeAction:
        cdnPolicy:
          cacheMode: CACHE_ALL_STATIC
          signedRequestMode: REQUIRE_TOKENS
          signedRequestKeyset: LONG_KEYSET_NAME

将 SEGMENTS_ROUTE_DESCRIPTION 替换为 路线的说明。

以下代码示例实现了以下更改：

  • priority: 2：路由的优先级。值越高，优先级越低。由于媒体播放列表和媒体片段的路由与以 .m3u8 结尾的任何文件名匹配，因此该路由的优先级必须低于您之前为主要清单创建的路由。
  • signedRequestMode: REQUIRE_TOKENS：为媒体强制执行令牌 播放列表和媒体片段如果您使用的是静态媒体 演示文稿描述 (MPD) 文件，然后是长密钥集和短密钥集 可能有所不同。如果您使用的是动态 MPD 文件 必须相同
  • signedRequestKeyset: LONG_KEYSET_NAME：媒体 CDN 使用长时密钥集来验证用户代理为媒体播放列表和媒体片段请求提供的长时 Cookie。

网址查询参数

添加两项路由配置：

  1. 配置 HLS 媒体清单路由以传播长时段令牌：

       - priority: 2
     description: "PLAYLIST_ROUTE_DESCRIPTION"
     origin: "ORIGIN_NAME"
     matchRules:
     - pathTemplateMatch: "/**.m3u8" # HLS media playlists
     routeAction:
       cdnPolicy:
       cacheMode: CACHE_ALL_STATIC
       signedRequestMode: REQUIRE_TOKENS
       signedRequestKeyset: LONG_KEYSET_NAME
       addSignatures:
         actions:
         - PROPAGATE_TOKEN_HLS_COOKIELESS

    将 PLAYLIST_ROUTE_DESCRIPTION 替换为 路线的说明。

    此代码示例实现了以下更改：

    • priority: 2：路由的优先级。值越高，优先级越低。由于媒体播放列表的路由与以 .m3u8 结尾的任何文件名匹配，因此该路由的优先级必须低于您之前为主要清单创建的路由。
    • signedRequestMode: REQUIRE_TOKENS：强制为媒体播放列表和媒体片段强制执行令牌。如果您使用的是静态媒体 演示文稿描述 (MPD) 文件、长密钥集和短密钥集 可能有所不同。如果您使用的是动态 MPD 文件，则长键值集和短键值集必须相同。
    • signedRequestKeyset: LONG_KEYSET_NAME: 媒体 CDN 使用长时密钥集来验证 由用户代理为媒体播放列表提供的长时 Cookie，以及 媒体片段请求
    • addSignatures.actions: PROPAGATE_TOKEN_HLS_COOKIELESS：配置 媒体 CDN 用于将长时令牌复制到媒体 媒体播放列表中的片段 URI。

  2. 将分段路由配置为需要长时令牌：

       - priority: 3
     description: "SEGMENTS_ROUTE_DESCRIPTION"
     origin: "ORIGIN_NAME"
     matchRules:
     - pathTemplateMatch: "/**.ts" # HLS segments
     routeAction:
       cdnPolicy:
         cacheMode: CACHE_ALL_STATIC
         signedRequestMode: REQUIRE_TOKENS
         signedRequestKeyset: LONG_KEYSET_NAME

    将 SEGMENTS_ROUTE_DESCRIPTION 替换为 路线的说明。

    以下代码示例实现了以下更改：

    • priority: 3：路由的优先级。值越大表示 优先级较低该路由的优先级必须低于 路由。
    • signedRequestMode: REQUIRE_TOKENS：强制为媒体播放列表和媒体片段强制执行令牌。
    • signedRequestKeyset: LONG_KEYSET_NAME: 媒体 CDN 使用长时密钥集来验证 由用户代理为媒体提供的长时签名令牌 播放列表和媒体片段请求

示例配置文件

以下代码示例展示了一个已完成的配置文件：

Cookie

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_MASTER_PLAYLIST.m3u8" # HLS primary playlists
        - pathTemplateMatch: "/DASH_MANIFESTS.mpd" # DASH manifests
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            addSignatures:
              actions:
                - GENERATE_COOKIE
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        - pathTemplateMatch: "/**.ts" # HLS segments
        - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME

网址查询参数

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_PRIMARY_PLAYLIST.m3u8" # HLS primary playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            signedTokenOptions:
              tokenQueryParameter: SHORT_TOKEN_NAME
            addSignatures:
              actions:
                - GENERATE_TOKEN_HLS_COOKIELESS
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              tokenQueryParameter: LONG_TOKEN_NAME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "PLAYLIST_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME
            addSignatures:
              actions:
                - PROPAGATE_TOKEN_HLS_COOKIELESS
      - priority: 3
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.ts" # HLS segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME

在应用服务器上生成短时有效的令牌

如需了解如何生成令牌，请参阅生成令牌。

应用深度防御内容保护

最佳实践是按如下方式启用源身份验证：