使用与 Amazon S3 兼容的专用存储桶作为来源

gcloud

gcloud beta services identity create \
    --project PROJECT_ID \
    --service=networkservices.googleapis.com

将 PROJECT_ID 替换为您的项目 ID。

控制台

1. 在 Google Cloud 控制台中，转到 Secret Manager 页面。

   转到 Secret Manager

2. 在 Secret Manager 页面上，点击创建 Secret。

3. 在密钥详情部分，完成以下操作：

   1. 在名称字段中，输入 secret 的名称，例如 aws-access-key-id。

   2. 在 Secret 值部分中，跳过 Upload file 字段。

   3. 在 Secret 值字段中，输入 AWS 私有访问密钥。

4. 跳过其余部分。

5. 点击创建密钥。

gcloud

确保您使用的是 Google Cloud CLI 402.0.0 或更高版本。在 Compute Engine 或 Google Kubernetes Engine (GKE) 上，您必须使用 cloud-platform 范围进行身份验证。

gcloud secrets create SECRET_NAME \
    --replication-policy="automatic" \
    --data-file="PATH_TO_AWS_SECRET_ACCESS_KEY"

替换以下内容：

• SECRET_NAME：密钥的名称，例如 aws-access-key-id
• PATH_TO_AWS_SECRET_ACCESS_KEY：AWS 私有访问密钥值的路径

控制台

1. 在 Google Cloud 控制台中，转到 Secret Manager 页面。

   前往 Secret Manager

2. 选择相应密钥。
3. 选择权限，然后选择授予访问权限。系统随即会显示“授予访问权限”对话框。

4. 在添加主账号部分的新的主账号字段中，输入媒体 CDN 服务账号，如下所示：
   service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com

   将 PROJECT_NUMBER 替换为您的项目编号。

5. 在分配角色部分中，针对选择角色，依次选择 Secret Manager 和 Secret Manager Secret Accessor。
6. 点击保存。

gcloud

gcloud secrets add-iam-policy-binding \
projects/PROJECT_NUMBER/secrets/SECRET_NAME \
    --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com" \
    --role="roles/secretmanager.secretAccessor"

替换以下内容：

• PROJECT_NUMBER：您的项目编号
• SECRET_NAME：Secret 的名称

控制台

1. 在 Google Cloud 控制台中，前往 Media CDN 页面。

   前往“媒体 CDN”

2. 点击来源标签页。

3. 点击您要配置的来源的名称。

   系统随即会打开边缘缓存来源详情页面。

4. 点击修改按钮。

5. 对于来源地址，选择指定 FQDN 或 IP 地址，然后输入 FQDN 或 IP 地址。

6. 在专用源站身份验证部分中，选择使用 AWS 签名版本 4 对媒体 CDN 针对此源的请求进行身份验证。

7. 请指定以下信息：

   • 密钥 ID：具有对源的读取权限的 AWS 访问密钥 ID
   • 引用 Secret：Secret Manager 中的访问密钥 ID 及其版本。您可以选择现有 ID、手动输入 ID，也可以创建新 ID 并选择该 ID。
   • 区域：您的 Amazon S3 存储桶所在的区域，例如 us-east-1

8. 对于协议，选择 HTTPS。

9. 点击更新来源。

gcloud

1. 如需将服务的当前配置导出到 YAML 文件，请运行 gcloud edge-cache services export 命令：

   gcloud edge-cache services export SERVICE_NAME \
       --destination=FILENAME.yaml
   

   替换以下内容：

   • SERVICE_NAME：媒体 CDN 服务的名称
   • FILENAME：YAML 文件的名称

2. 在 Cloud Shell 中，使用文本编辑器修改 YAML 文件。

3. 更新 YAML 文件，使其包含以下代码行：

   name: ORIGIN_NAME
   originAddress: "S3_BUCKET_NAME.s3.S3_REGION.amazonaws.com"
   protocol: HTTPS
   awsV4Authentication:
     accessKeyId: "AWS_ACCESS_KEY_ID"
     secretAccessKeyVersion: "projects/PROJECT_NUMBER/secrets/SECRET_NAME/versions/SECRET_VERSION"
     originRegion: "S3_REGION"
   

   替换以下内容：

   • ORIGIN_NAME：您为此来源设置的名称
   • S3_BUCKET_NAME：您的 Amazon S3 存储桶的名称
   • S3_REGION：您的 Amazon S3 存储桶所在的区域，例如 us-east-1
   • AWS_ACCESS_KEY_ID：具有对来源读取权限的 AWS 访问密钥 ID
   • PROJECT_NUMBER：您的项目编号
   • SECRET_NAME：Secret Manager 中访问密钥的 ID
   • SECRET_VERSION：要使用的 Secret 版本

4. 为发送到源的主机的请求配置主机和路径重写。例如，如需映射路径前缀为 /vod/ 的所有请求，请配置与 EdgeCacheService 的 YAML 文件中列出的 originAddress 对应的 hostRewrite。以下代码示例展示了如何使用 hostRewrite：

   name: SERVICE_NAME
   routeRules:
     - priority: 1
     - description: ROUTE_DESCRIPTION
       origin: ORIGIN_NAME
       matchRules:
       - prefixMatch: "/vod/"
       routeAction:
         urlRewrite:
           hostRewrite: "S3_BUCKET_NAME.s3.S3_REGION.amazonaws.com"
           pathPrefixRewrite: "/"
         cdnPolicy:
           cacheMode: CACHE_ALL_STATIC
           defaultTtl: 3600s
   

   将 SERVICE_NAME 替换为 EdgeCacheService 的名称。

   如需了解详情，请参阅使用第三方存储后端。

5. 保存 YAML 文件。

6. 如需更新配置，请导入 YAML 文件。

   gcloud edge-cache origins import ORIGIN_NAME \
       --source=FILENAME.yaml