Untuk menerapkan autentikasi token ganda saat pelihat mengakses resource streaming, Anda mengonfigurasi rute terpisah. Rute adalah konfigurasi yang cocok untuk Media CDN dan mengarahkan traffic HTTP ke origin. Media CDN mendukung rute untuk live streaming HTTP (HLS) atau Referensi Dynamic Adaptive Streaming over HTTP (DASH). Untuk informasi selengkapnya tentang rute di Media CDN, lihat Mengonfigurasi rute layanan.
Untuk streaming HLS, Media CDN mendukung autentikasi dual-token melalui cookie dan parameter kueri URL (tanpa cookie). Untuk aliran data DASH, Media CDN hanya mendukung autentikasi dual-token berbasis cookie.
Halaman ini menjelaskan cara mengonfigurasi rute Media CDN untuk membantu melindungi konten dengan menggunakan otentikasi token ganda.
Sebelum memulai
Lakukan tindakan berikut:
Untuk token berdurasi singkat, pilih salah satu algoritma tanda tangan berikut:
- Tanda tangan Ed25519
- Kode autentikasi pesan berbasis hash (HMAC) simetris
Anda dapat mengaktifkan algoritma penandatanganan HMAC simetris hanya untuk rute yang dikonfigurasi untuk menghasilkan token berdurasi panjang yang baru. Sebaiknya gunakan Ed25519 ciri khas untuk performa dan keamanan yang optimal serta HMAC kunci simetris hanya jika diperlukan untuk kompatibilitas dengan CDN lain.
Sertakan kunci yang diperlukan dalam resource
EdgeCacheKeyset
.Token harus ditandatangani atau diverifikasi dengan kunci dalam
EdgeCacheKeyset
resource Anda Keyset harus menyertakan kunci yang benar untuk kunci yang dipilih algoritma tanda tangan. Tabel berikut menjelaskan setiap tanda tangan algoritma dan kunci yang diperlukan.Algoritme tanda tangan Kunci yang diperlukan dalam keyset Ed25519 Kunci publik HMAC-SHA1 Kunci bersama validasi HMAC-SHA256 Kunci bersama validasi Sebagai praktik terbaik, buat dua {i>keyset <i}terpisah, satu untuk token berdurasi singkat dan token lain untuk token berdurasi panjang.
Namun, jika Anda menggunakan DASH dan deskripsi presentasi media dinamis (MPD), Anda harus menggunakan set tombol yang sama untuk token berdurasi panjang dan jangka pendek.
Untuk token berdurasi panjang, pilih salah satu format token berikut:
- Cookie
- Parameter kueri URL
Menyiapkan token berdurasi singkat
Bergantung pada algoritma tanda tangan yang ingin Anda gunakan, siapkan video berdurasi singkat token dengan menggunakan salah satu opsi berikut.
Tanda tangan Ed25519
Buat kunci pribadi:
openssl genpkey -algorithm ed25519 -outform PEM -out SSL_KEY_NAME.private.key
Ganti
SSL_KEY_NAME
dengan nama kunci.Buat kunci publik dari kunci pribadi:
openssl pkey -outform DER -pubout -in SSL_KEY_NAME.private.key |\ tail -c +13 |\ python3 -c "import base64, sys; print(('%s' % base64.urlsafe_b64encode(sys.stdin.buffer.read()))[2:-1])"
Buat keyset baru dengan satu kunci publik:
Konsol
Di konsol Google Cloud, buka halaman Media CDN.
Klik tab Keysets.
Klik
Create keyset.Untuk Name, masukkan nama keyset yang unik.
Opsional: Untuk Description, masukkan deskripsi untuk kumpulan kunci Anda.
Opsional: Klik Tambahkan label, lalu masukkan satu atau beberapa nilai kunci pasangan untuk {i>keyset <i}Anda.
Klik Add public key, lalu lakukan langkah berikut:
- Untuk ID, masukkan ID alfanumerik.
- Pilih Enter the value, lalu tentukan ID yang dienkode dengan base64 kunci publik Ed25519 Anda.
Klik Create keyset.
gcloud
Gunakan perintah
gcloud edge-cache keysets create
.gcloud edge-cache keysets create SHORT_KEYSET_NAME \ --public-key='id=SSL_PUBLIC_KEY_NAME,value=SSL_PUBLIC_KEY_VALUE'
Ganti kode berikut:
SHORT_KEYSET_NAME
: keyset unik nama—misalnya,prod-vod-keyset
SSL_PUBLIC_KEY_NAME
: nama Kunci publik SSLSSL_PUBLIC_KEY_VALUE
: nilai Kunci publik SSL
Untuk meninjau kunci yang terkait dengan set kunci tersebut, gunakan metode Perintah
gcloud edge-cache keysets describe
.gcloud edge-cache keysets describe prod-vod-keyset
Outputnya mirip dengan hal berikut ini:
name: prod-vod-keyset description: "Keyset for prod.example.com" publicKeys: - id: "key-20200918" value: "DThVLjhAKm3VYOvLBAwFZ5XbjVyF98Ias8NZU0WEM9w" - id: "key-20200808" value: "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA="
Terraform
HMAC kunci simetris
Jika Anda belum pernah menggunakan Secret Manager sebelumnya, mengonfigurasi Secret Manager.
Menambahkan versi rahasia dalam format biner.
Memberikan peran Akses Secret Manager (
roles/secretmanager.secretAccessor
) ke Media CDN akun layanan:Konsol
Di konsol Google Cloud, buka halaman Secret Manager.
Pilih kotak centang di samping nama rahasia.
Klik Tampilkan Panel Info.
Di panel info, klik Tambah akun utama.
Untuk New principals, masukkan layanan Media CDN akun dalam format ini:
service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com
Ganti
PROJECT_NUMBER
dengan project Anda angkaUntuk Select a role, pilih Secret Manager, lalu pilih Aksesor Rahasia Secret Manager.
gcloud
Gunakan perintah
gcloud secrets add-iam-policy-binding
.gcloud secrets add-iam-policy-binding projects/PROJECT_NUMBER/secrets/SECRET_ID \ --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com" \ --role="roles/secretmanager.secretAccessor"
Ganti kode berikut:
PROJECT_NUMBER
: nomor project AndaSECRET_ID
: ID rahasia
Mengakses versi secret Anda dan menyalin jalur rahasia, termasuk nomor versinya.
Buat keyset baru dengan rahasia bersama dalam kunci bersama validasi:
Konsol
Di konsol Google Cloud, buka halaman Media CDN.
Klik tab Keysets.
Klik
Create keyset.Untuk Name, masukkan nama keyset yang unik.
Opsional: Untuk Description, masukkan deskripsi untuk kumpulan kunci Anda.
Opsional: Klik Tambahkan label, lalu masukkan satu atau beberapa nilai kunci pasangan untuk {i>keyset <i}Anda.
Untuk menentukan kunci bersama validasi, klik Tambahkan kunci bersama validasi, lalu lakukan hal berikut:
Untuk Secret, pilih rahasia dari daftar, masukkan rahasia secara manual dengan menentukan buat secret baru dan kemudian memilihnya.
Untuk Secret Version, pilih versi dari daftar atau buat versi secret baru dan kemudian memilihnya.
Klik Create keyset.
gcloud
Gunakan perintah
gcloud edge-cache keysets create
.gcloud edge-cache keysets create SHORT_KEYSET_NAME \ --validation-shared-key='secret_version=projects/PROJECT_NUMBER/secrets/SECRET_ID/versions/KEY_VERSION'
Ganti kode berikut:
SHORT_KEYSET_NAME
: nama unik untuk kumpulan tombol—misalnya,prod-vod-keyset
PROJECT_NUMBER
: project ID AndaSECRET_ID
: ID resource rahasiaKEY_VERSION
: versi rahasia yang yang ingin Anda gunakan
Menyiapkan token berdurasi panjang
Kunci yang dikelola Google dicakup berdasarkan keyset. Itu berarti bahwa dua {i>keyset <i}yang berbeda memiliki kunci yang dikelola Google dan berbeda. Kunci yang dikelola Google dirotasi secara berkala.
Siapkan token berdurasi panjang menggunakan salah satu opsi berikut:
Konsol
Di bagian Kunci, pilih Gunakan kunci yang dikelola Google untuk token ganda autentikasi.
gcloud dan YAML
Gunakan salah satu opsi berikut:
Buat kunci penandatanganan yang dikelola Google:
gcloud edge-cache keysets create LONG_KEYSET_NAME \ --public-key='id=google-managed-key,managed=true'
Ganti
LONG_KEYSET_NAME
dengan kunci nama—misalnya,prod-vod-keyset-long
.Mengubah keyset yang ada:
Ekspor keyset Anda ke file YAML. Gunakan perintah
gcloud edge-cache keysets export
.gcloud edge-cache keysets export LONG_KEYSET_NAME \ --destination=prod-vod-keyset-long.yaml
Di editor teks atau alat manajemen konfigurasi Anda, edit konfigurasi keyset agar terlihat mirip dengan berikut ini:
name: projects/my-project/locations/global/edgeCacheKeysets/LONG_KEYSET_NAME publicKeys: - id: some-key value: MC4CAQAwBQYDK2VwBCIEINV2iYugIWBuvGBJUQ_Ab69E4v4zcVqvgYHw-iZxGzcd - id: google-managed-key managed: true
Impor keyset yang diedit. Gunakan perintah
gcloud edge-cache keysets import
:gcloud edge-cache keysets import LONG_KEYSET_NAME \ --source=prod-vod-keyset-long.yaml
Anda dapat menyertakan kunci publik tambahan dalam keyset token berdurasi panjang. Tujuan {i>keyset<i} dapat memiliki paling banyak tiga kunci publik. Dalam praktiknya, ini berarti bahwa dapat memiliki dua kunci yang dikelola pengguna dan satu kunci yang dikelola Google.
Media CDN selalu menggunakan kunci yang dikelola Google untuk membuat token. Kunci yang dikelola pengguna hanya dapat digunakan untuk verifikasi.
Menyertakan kunci publik tambahan berguna untuk memungkinkan aplikasi pemutar Anda mengakses playlist media dan segmen media dengan menggunakan permintaan bertanda tangan yang yang dihasilkan oleh kunci pribadi Anda.
Mengonfigurasi pertukaran token
Bagian ini menunjukkan cara mengonfigurasi pertukaran token dengan membuat beberapa rute. Rute memungkinkan Anda mengoptimalkan perilaku berdasarkan jenis konten, klien, dan persyaratan keaktualan Anda. Dalam contoh berikut, kami menggunakan rute untuk mengonfigurasi pertukaran token untuk setiap bagian permintaan media.
Mengonfigurasi rute manifes utama untuk mewajibkan token berdurasi singkat
Konfigurasi Media CDN untuk mewajibkan token berdurasi singkat di rute manifes utama.
Konsol
Aktifkan autentikasi token berdurasi singkat di rute manifes utama:
Di konsol Google Cloud, buka halaman Media CDN.
Untuk membuka halaman Details layanan, klik nama layanan.
Untuk beralih ke mode edit, klik tombol Edit.
Untuk membuka bagian Routing, klik Next.
Luaskan aturan host tempat Anda ingin menambahkan manifes utama aturan rute.
Klik Tambahkan aturan rute.
Atau, untuk mengedit aturan rute, klik
Edit di baris masing-masing.Di panel Edit route rule, untuk Priority, tetapkan nilai—untuk contoh,
1
.Untuk Description, berikan deskripsi singkat yang dapat membantu mengidentifikasi aturan dalam daftar aturan.
Di bagian Pencocokan, klik Tambahkan kondisi pencocokan. Lalu, lakukan berikut ini:
- Untuk Jenis pencocokan, pilih Pencocokan template jalur.
- Untuk Pencocokan jalur, tentukan nama atau template jalur untuk File playlist utama HLS (M3U8) atau DASH (MPD). Untuk selengkapnya informasi selengkapnya, lihat Pencocokan jalur.
Klik Advanced configurations.
Di bagian Tindakan rute, klik Tambahkan item.
Untuk Jenis, pilih Kebijakan CDN.
Di bagian Permintaan yang ditandatangani, untuk Mode permintaan yang ditandatangani, pilih Mewajibkan token.
Di bagian Signed request keyset, lakukan hal berikut:
Untuk menentukan set kunci untuk token berdurasi singkat, klik Pilih keyset lalu pilih keyset token berdurasi singkat.
Atau, untuk membuat {i>keyset<i} baru yang memiliki kunci yang Anda butuhkan, klik Create new keyset. Kemudian, pilih.
Untuk SignatureAlgorithm, pilih Ed25519 using public key.
Untuk Parameter kueri token, pertahankan nilai default,
edge-cache-token
.Atau, jika Anda berencana menggunakan parameter kueri URL manifes HLS alih-alih cookie untuk otentikasi, tentukan parameter dalam tempat untuk menyimpan token permintaan.
Untuk Max time to live, tentukan, dalam detik, masa aktif maksimum token permintaan masuk.
Untuk menyimpan perubahan di bagian Tindakan rute, klik Selesai.
Untuk menyimpan perubahan pada aturan rute, klik Simpan.
gcloud dan YAML
Mengekspor konfigurasi Media CDN menjadi file YAML. Gunakan Perintah
gcloud edge-cache services export
.gcloud edge-cache services export SERVICE_NAME \ --destination=FILENAME.yaml
Ganti kode berikut:
SERVICE_NAME
: Nama layanan Anda.FILENAME
: nama file YAML Anda
Untuk mengaktifkan autentikasi token berdurasi singkat di manifes utama aturan rute, di bagian
cdnPolicy
rute pada file YAML, menentukan konfigurasisignedTokensOptions
.pathMatchers: - name: "ROUTE_NAME" routeRules: - priority: 1 description: "ROUTE_DESCRIPTION" origin: "ORIGIN_NAME" matchRules: - pathTemplateMatch: "/MANIFEST_OR_PLAYLIST" routeAction: cdnPolicy: cacheMode: CACHE_ALL_STATIC signedRequestMode: REQUIRE_TOKENS signedRequestKeyset: SHORT_KEYSET_NAME signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME signedTokenOptions: tokenQueryParameter: SHORT_TOKEN_NAME
Ganti kode berikut:
ROUTE_NAME
: nama aturan ruteROUTE_DESCRIPTION
: deskripsi aturan ruteORIGIN_NAME
: nama originMANIFEST_OR_PLAYLIST
: nama HLS file primary playlist (M3U8) atau DASH manifest (MPD). Untuk selengkapnya informasi selengkapnya, lihat Pencocokan jalur.SHORT_KEYSET_NAME
: nama keyset yang akan digunakan untuk token berdurasi singkatSIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
: waktu habis masa berlaku untuk permintaan yang ditandatangani—misalnya,600s
. Sebagai informasi selengkapnya, lihatsignedRequestMaximumExpirationTtl
.- Opsional:
SHORT_TOKEN_NAME
: kueri parameter untuk menemukan token pendek. Nilai defaultnya adalahedge-cache-token
. Untuk informasi selengkapnya, lihatSignedTokenOptions
.
Saat menggunakan HMAC kunci simetris, di bagian
signedTokenOptions
, tambahkanallowedSignatureAlgorithms
dengan nilainya sebagaiHMAC_SHA_256
:allowedSignatureAlgorithms: - HMAC_SHA_256
Untuk mengupdate layanan, impor konfigurasi Media CDN Anda dari file YAML. Gunakan Perintah
gcloud edge-cache services import
.gcloud edge-cache services import SERVICE_NAME \ --source=FILENAME.yaml
Tindakan ini akan menyelesaikan proses pengaktifan autentikasi token tunggal.
Untuk mengonfigurasi autentikasi dual-token, lanjutkan ke bagian berikut.
Mengonfigurasi aturan rute manifes utama untuk menghasilkan token berdurasi panjang
Konfigurasi Media CDN untuk menghasilkan token berdurasi panjang di rute manifes utama. Pilih cookie atau parameter kueri URL untuk menghasilkan token-token tersebut.
Konsol
Mengubah aturan rute manifes utama sehingga Media CDN dapat menghasilkan token berdurasi panjang di rute:
- Di halaman Edit route rule, klik Advanced configurations.
- Untuk Jenis, pilih Kebijakan CDN.
- Luaskan Autentikasi token ganda.
- Untuk Tindakan tanda tangan, pilih Buat token berdurasi panjang baru.
Untuk Signature type, pilih salah satu opsi berikut:
- melalui cookie (untuk streaming HLS dan DASH): mengonfigurasi
Media CDN untuk menampilkan
Edge-Cache-Cookie
dengan respons manifes utama. - melalui parameter kueri URL manifes HLS (tanpa cookie): mengonfigurasi Media CDN untuk memanipulasi manifes utama HLS dengan menambahkan token berdurasi panjang ke setiap URL.
- melalui cookie (untuk streaming HLS dan DASH): mengonfigurasi
Media CDN untuk menampilkan
Di bagian Buat token berdurasi panjang baru, lakukan tindakan berikut:
Untuk menentukan keyset untuk token berdurasi panjang, klik Pilih keyset lalu pilih keyset token berdurasi panjang.
Atau, klik Create new keyset untuk membuat keyset baru yang memiliki kunci yang Anda butuhkan. Kemudian, pilih.
Untuk Token TTL, tentukan, dalam detik, masa aktif maksimum token long-duration.
Untuk Jenis tanda tangan, jika Anda memilih opsi melalui cookie, lalu, di bagian Parameter yang disalin, pilih parameter yang Anda inginkan untuk disalin oleh Media CDN dari sesi token ke token berdurasi panjang. Untuk menggunakan otentikasi token ganda, Anda harus memilih salah satu
PathGlobs
(atau salah satu aliasnya,acl
ataupaths
) atauURLPrefix
.Jika Anda memilih opsi melalui parameter kueri URL manifes HLS, untuk Parameter kueri token, pertahankan nilai default,
edge-cache-token
.
Untuk menyimpan perubahan di bagian Tindakan rute, klik Selesai.
Untuk menyimpan perubahan pada aturan rute, klik Simpan.
Sebuah pesan akan muncul yang menanyakan apakah Anda ingin membuat rute untuk media {i>playlist<i} dan segmen secara otomatis atau manual. Jika Anda memilih opsi otomatis, satu rute baru akan dibuat untuk tanda tangan cookie dan dua rute untuk tanda tangan tanpa cookie. Jika Anda memilih manual , lanjutkan ke bagian berikutnya.
gcloud dan YAML
Ubah bagian addSignatures
dari aturan rute manifes utama agar
Media CDN dapat membuat token berdurasi panjang di rute:
Cookie
addSignatures:
actions:
- GENERATE_COOKIE
keyset: LONG_KEYSET_NAME
tokenTtl: TOKEN_EXPIRATION_TIME
copiedParameters:
- PathGlobs
- SessionID
Ganti kode berikut:
LONG_KEYSET_NAME
: nama keyset token berdurasi panjangTOKEN_EXPIRATION_TIME
: waktu habis masa berlaku token berdurasi panjang—misalnya,86400s
untuk satu hari waktu habis masa berlaku
Contoh kode ini mengimplementasikan perubahan berikut:
addSignatures.actions: GENERATE_COOKIE
: mengonfigurasi Media CDN untuk menampilkanEdge-Cache-Cookie
dengan respons manifes utamacopiedParameters.PathGlobs
: mengonfigurasi Media CDN untuk menyalinPathGlobs
dari token berdurasi singkat ke durasi panjang sebelumnya yang benar. Untuk menggunakan autentikasi dual-token, Anda harus menggunakancopiedParameters.PathGlobs
ataucopiedParameters.URLPrefix
. Untuk selengkapnya informasi selengkapnya, lihatcopiedParameters
.Opsional:
copiedParameters.SessionID
: mengonfigurasi Media CDN untuk menyalinSessionID
dari video berdurasi singkat token ke token berdurasi panjang
Saat tindakan GENERATE_COOKIE
diterapkan, Media CDN
menampilkan header Set-Cookie
yang mirip dengan yang berikut ini dengan header
respons manifes:
Set-Cookie: Edge-Cache-Cookie=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE
Parameter kueri URL
addSignatures:
actions:
- GENERATE_TOKEN_HLS_COOKIELESS
keyset: LONG_KEYSET_NAME
tokenTtl: TOKEN_EXPIRATION_TIME
copiedParameters:
- PathGlobs
- SessionID
tokenQueryParameter: LONG_TOKEN_NAME
Ganti kode berikut:
LONG_KEYSET_NAME
: nama set tombol durasi panjangTOKEN_EXPIRATION_TIME
: masa berlaku waktu token berdurasi panjang—misalnya,86400s
untuk waktu habis masa berlaku satu hari
Contoh kode ini mengimplementasikan perubahan berikut:
addSignatures.actions: GENERATE_TOKEN_HLS_COOKIELESS
: mengonfigurasi Media CDN untuk memanipulasi peristiwa utama HLS manifes dengan menambahkan token berdurasi panjang ke setiap URI yang ada.copiedParameters.PathGlobs
: mengonfigurasi Media CDN untuk menyalinPathGlobs
dari token berdurasi singkat ke durasi panjang sebelumnya yang benar. Untuk menggunakan otentikasi token ganda, Anda harus menggunakan salah satucopiedParameters.PathGlobs
ataucopiedParameters.URLPrefix
. Untuk selengkapnya informasi selengkapnya, lihatcopiedParameters
.Opsional:
copiedParameters.SessionID
: mengonfigurasi Media CDN untuk menyalinSessionID
dari token berdurasi singkat ke token long-duration.Opsional:
LONG_TOKEN_NAME
: kueri untuk memasukkan token panjang yang dihasilkan. Nilai defaultnya adalahedge-cache-token
. Untuk informasi selengkapnya, lihattokenQueryParameter
.
File manifes berikut menunjukkan GENERATE_TOKEN_HLS_COOKIELESS
tindakan diterapkan:
#EXTM3U #EXT-X-STREAM-INF:BANDWIDTH=1280000,AVERAGE-BANDWIDTH=1000000 http://example.com/HLS_PRIMARY_PLAYLIST.m3u8?LONG_TOKEN_NAME=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE
Media CDN memverifikasi token berdurasi singkat, lalu
akan menghasilkan dan menyimpan token berdurasi panjang
Parameter kueri LONG_TOKEN_NAME
.
Mengonfigurasi rute playlist dan segmen media yang memerlukan token berdurasi panjang
Mengonfigurasi rute playlist dan segmen media yang memerlukan durasi panjang token kata.
Konsol
Cookie
Buat aturan rute untuk playlist media dan rute segmen:
- Di halaman Edit Edge Cache service, di bagian Routing, klik aturan {i>host<i} yang memiliki rute manifes utama.
- Klik Tambahkan aturan rute.
- Di panel Edit route rule, untuk Priority, tetapkan nilai yang
lebih besar daripada rute manifes utama—misalnya,
2
. Nilai yang lebih tinggi menunjukkan prioritas yang lebih rendah. - Untuk Description, berikan deskripsi singkat yang dapat membantu mengidentifikasi aturan dalam daftar aturan.
Tetapkan kolom berikut seperti yang disarankan:
- Pilih origin: sama seperti untuk aturan rute manifes utama
- Tambahkan kondisi pencocokan: sama seperti untuk rute manifes utama aturan
- Jenis: Kebijakan CDN
- Mode permintaan yang ditandatangani: Memerlukan token
- Pilih keyset: sama seperti untuk token berdurasi panjang
- Algoritma tanda tangan: sama seperti untuk aturan rute manifes utama
Luaskan Autentikasi token ganda.
Untuk Tindakan tanda tangan, pertahankan nilai default Tidak ada.
Klik Selesai, lalu klik Simpan.
Parameter kueri URL
Buat aturan rute untuk playlist media.
- Di halaman Edit Edge Cache service, di bagian Routing, klik aturan {i>host<i} yang memiliki rute manifes utama.
- Klik Tambahkan aturan rute.
- Di panel Edit route rule, untuk Priority, tetapkan nilai
lebih besar dari rute manifes utama—untuk
contoh,
2
. Nilai yang lebih tinggi menunjukkan prioritas yang lebih rendah. - Untuk Description, berikan deskripsi singkat yang dapat membantu mengidentifikasi aturan dalam daftar aturan.
Tetapkan kolom berikut seperti yang disarankan:
- Pilih origin: sama seperti untuk rute manifes utama aturan
- Tambahkan kondisi kecocokan: sama seperti untuk manifes utama aturan rute
- Jenis: Kebijakan CDN
- Mode permintaan yang ditandatangani: Memerlukan token
- Pilih keyset: sama seperti untuk token berdurasi panjang
- Algoritma tanda tangan: sama seperti untuk manifes utama aturan rute
- Parameter kueri token: sama seperti untuk durasi panjang token
Luaskan Autentikasi token ganda.
Untuk Tindakan tanda tangan, pilih Terapkan berdurasi panjang yang sudah ada token tersebut.
Opsi ini hanya diaktifkan setelah Media CDN memverifikasi token berdurasi panjang (long-duration) dibuat dengan menggunakan melalui tanda tangan parameter kueri URL manifes HLS (tanpa cookie) .
Untuk Parameter kueri token, pertahankan nilai default,
edge-cache-token
.Klik Selesai, lalu klik Simpan.
Buat aturan rute untuk segmen media.
Rute ini seperti rute untuk playlist media, dengan hal berikut perbedaan utama:
- Untuk Priority, tetapkan nilai yang lebih besar dari nilai media
aturan rute playlist—misalnya,
3
. - Untuk Description, berikan deskripsi singkat yang dapat membantu mengidentifikasi aturan dalam daftar aturan.
- Di bagian Autentikasi token ganda, untuk Tindakan tanda tangan, pertahankan nilai default Tidak ada.
- Untuk Priority, tetapkan nilai yang lebih besar dari nilai media
aturan rute playlist—misalnya,
gcloud dan YAML
Edit file YAML:
Cookie
Konfigurasi playlist dan segmen media untuk mewajibkan cookie berdurasi panjang:
- priority: 2
description: "SEGMENTS_ROUTE_DESCRIPTION"
origin: "ORIGIN_NAME"
matchRules:
- pathTemplateMatch: "/**.m3u8" # HLS media playlists
- pathTemplateMatch: "/**.ts" # HLS segments
- pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
routeAction:
cdnPolicy:
cacheMode: CACHE_ALL_STATIC
signedRequestMode: REQUIRE_TOKENS
signedRequestKeyset: LONG_KEYSET_NAME
Ganti SEGMENTS_ROUTE_DESCRIPTION dengan deskripsi rute.
Contoh kode ini mengimplementasikan perubahan berikut:
priority: 2
: prioritas rute. Nilai yang lebih tinggi menunjukkan nilai yang lebih rendah prioritas Anda. Karena rute untuk playlist media dan segmen media Anda cocok dengan nama file apa pun yang diakhiri dengan.m3u8
, prioritas untuk rute harus lebih rendah dari rute yang sebelumnya Anda buat untuk manifes utama.signedRequestMode: REQUIRE_TOKENS
: menerapkan token untuk media playlist dan segmen media. Jika Anda menggunakan media statis file deskripsi presentasi (MPD), maka set kunci panjang dan pendek mungkin berbeda. Jika Anda menggunakan file MPD dinamis, maka ukuran set tombol singkat harus sama.signedRequestKeyset: LONG_KEYSET_NAME
: Media CDN menggunakan keyset berdurasi panjang untuk memvalidasi cookie berdurasi panjang yang disediakan oleh agen pengguna untuk playlist media dan permintaan segmen media.
Parameter kueri URL
Tambahkan dua konfigurasi rute:
Konfigurasi rute manifes media HLS untuk menyebarkan durasi panjang token:
- priority: 2 description: "PLAYLIST_ROUTE_DESCRIPTION" origin: "ORIGIN_NAME" matchRules: - pathTemplateMatch: "/**.m3u8" # HLS media playlists routeAction: cdnPolicy: cacheMode: CACHE_ALL_STATIC signedRequestMode: REQUIRE_TOKENS signedRequestKeyset: LONG_KEYSET_NAME addSignatures: actions: - PROPAGATE_TOKEN_HLS_COOKIELESS
Ganti PLAYLIST_ROUTE_DESCRIPTION dengan deskripsi rute.
Contoh kode ini mengimplementasikan perubahan berikut:
priority: 2
: prioritas rute. Nilai yang lebih tinggi menunjukkan prioritas yang lebih rendah. Karena rute untuk playlist media Anda cocok nama file apa pun yang diakhiri dengan.m3u8
, prioritas rute harus lebih rendah daripada rute yang sebelumnya Anda buat untuk manifes utama.signedRequestMode: REQUIRE_TOKENS
: menerapkan token untuk media playlist dan segmen media. Jika Anda menggunakan media statis file deskripsi presentasi (MPD), set kunci panjang dan pendek mungkin berbeda. Jika Anda menggunakan file MPD dinamis, maka dan set tombol yang pendek harus sama.signedRequestKeyset: LONG_KEYSET_NAME
: Media CDN menggunakan keyset berdurasi panjang untuk memvalidasi cookie berdurasi panjang yang disediakan oleh agen pengguna untuk playlist media dan permintaan segmen media.addSignatures.actions: PROPAGATE_TOKEN_HLS_COOKIELESS
: mengonfigurasi Media CDN untuk menyalin token berdurasi panjang ke media menyegmentasikan URI dalam playlist media.
Konfigurasi rute segmen agar mewajibkan token berdurasi panjang:
- priority: 3 description: "SEGMENTS_ROUTE_DESCRIPTION" origin: "ORIGIN_NAME" matchRules: - pathTemplateMatch: "/**.ts" # HLS segments routeAction: cdnPolicy: cacheMode: CACHE_ALL_STATIC signedRequestMode: REQUIRE_TOKENS signedRequestKeyset: LONG_KEYSET_NAME
Ganti SEGMENTS_ROUTE_DESCRIPTION dengan deskripsi rute.
Contoh kode ini mengimplementasikan perubahan berikut:
priority: 3
: prioritas rute. Nilai yang lebih tinggi menunjukkan prioritas yang lebih rendah. Prioritas untuk rute ini harus lebih rendah dari yang sebelumnya Anda buat untuk playlist media.signedRequestMode: REQUIRE_TOKENS
: menerapkan token untuk media playlist dan segmen media.signedRequestKeyset: LONG_KEYSET_NAME
: Media CDN menggunakan keyset berdurasi panjang untuk memvalidasi token bertanda tangan berdurasi lama yang disediakan oleh agen pengguna untuk media playlist dan segmen media.
Contoh file konfigurasi
Contoh kode berikut menunjukkan file konfigurasi yang sudah selesai:
Cookie
name: SERVICE_NAME
routing:
hostRules:
- hosts:
- DOMAIN_NAME
pathMatcher: routes
pathMatchers:
- name: "ROUTE_NAME"
routeRules:
- priority: 1
description: "ROUTE_DESCRIPTION"
origin: "ORIGIN_NAME"
matchRules:
- pathTemplateMatch: "/HLS_MASTER_PLAYLIST.m3u8" # HLS primary playlists
- pathTemplateMatch: "/DASH_MANIFESTS.mpd" # DASH manifests
routeAction:
cdnPolicy:
cacheMode: CACHE_ALL_STATIC
signedRequestMode: REQUIRE_TOKENS
signedRequestKeyset: SHORT_KEYSET_NAME
signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
addSignatures:
actions:
- GENERATE_COOKIE
keyset: LONG_KEYSET_NAME
tokenTtl: TOKEN_EXPIRATION_TIME
copiedParameters:
- PathGlobs
- SessionID
- priority: 2
description: "SEGMENTS_ROUTE_DESCRIPTION"
origin: "ORIGN_NAME"
matchRules:
- pathTemplateMatch: "/**.m3u8" # HLS media playlists
- pathTemplateMatch: "/**.ts" # HLS segments
- pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
routeAction:
cdnPolicy:
cacheMode: CACHE_ALL_STATIC
signedRequestMode: REQUIRE_TOKENS
signedRequestKeyset: LONG_KEYSET_NAME
Parameter kueri URL
name: SERVICE_NAME
routing:
hostRules:
- hosts:
- DOMAIN_NAME
pathMatcher: routes
pathMatchers:
- name: "ROUTE_NAME"
routeRules:
- priority: 1
description: "ROUTE_DESCRIPTION"
origin: "ORIGIN_NAME"
matchRules:
- pathTemplateMatch: "/HLS_PRIMARY_PLAYLIST.m3u8" # HLS primary playlists
routeAction:
cdnPolicy:
cacheMode: CACHE_ALL_STATIC
signedRequestMode: REQUIRE_TOKENS
signedRequestKeyset: SHORT_KEYSET_NAME
signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
signedTokenOptions:
tokenQueryParameter: SHORT_TOKEN_NAME
addSignatures:
actions:
- GENERATE_TOKEN_HLS_COOKIELESS
keyset: LONG_KEYSET_NAME
tokenTtl: TOKEN_EXPIRATION_TIME
tokenQueryParameter: LONG_TOKEN_NAME
copiedParameters:
- PathGlobs
- SessionID
- priority: 2
description: "PLAYLIST_ROUTE_DESCRIPTION"
origin: "ORIGIN_NAME"
matchRules:
- pathTemplateMatch: "/**.m3u8" # HLS media playlists
routeAction:
cdnPolicy:
cacheMode: CACHE_ALL_STATIC
signedRequestMode: REQUIRE_TOKENS
signedRequestKeyset: LONG_KEYSET_NAME
addSignatures:
actions:
- PROPAGATE_TOKEN_HLS_COOKIELESS
- priority: 3
description: "SEGMENTS_ROUTE_DESCRIPTION"
origin: "ORIGIN_NAME"
matchRules:
- pathTemplateMatch: "/**.ts" # HLS segments
routeAction:
cdnPolicy:
cacheMode: CACHE_ALL_STATIC
signedRequestMode: REQUIRE_TOKENS
signedRequestKeyset: LONG_KEYSET_NAME
Membuat token berdurasi singkat di server aplikasi
Untuk mengetahui informasi tentang cara membuat token, lihat Membuat token.
Menerapkan perlindungan konten defense-in-depth
Sebagai praktik terbaik, aktifkan autentikasi origin sebagai berikut:
Untuk Cloud Storage, gunakan izin Identity and Access Management dengan setelan pribadi Bucket Cloud Storage.
Untuk penyedia penyimpanan yang kompatibel dengan AWS, gunakan AWS Signature Version 4. Menggunakan autentikasi asal memblokir permintaan yang berupaya mengakali Media CDN dan akses origin Anda secara langsung.