Dual-Token-Authentifizierung verwenden

Ed25519-Signatur

1. Privaten Schlüssel generieren:

   openssl genpkey -algorithm ed25519 -outform PEM -out SSL_KEY_NAME.private.key
   

   Ersetzen Sie SSL_KEY_NAME durch einen Schlüsselnamen.

2. Öffentlichen Schlüssel aus dem privaten Schlüssel generieren:

   openssl pkey -outform DER -pubout -in SSL_KEY_NAME.private.key |\
   tail -c +13 |\
   python3 -c "import base64, sys; print(('%s' % base64.urlsafe_b64encode(sys.stdin.buffer.read()))[2:-1])"
   

3. So erstellen Sie einen neuen Schlüsselsatz mit einem einzelnen öffentlichen Schlüssel:

   Console

   1. Rufen Sie in der Google Cloud Console die Seite Media CDN auf.

      Zum Media CDN

   2. Klicken Sie auf den Tab Schlüsselsätze.

   3. Klicken Sie auf addSchlüsselsatz erstellen.

   4. Geben Sie unter Name einen eindeutigen Keyset-Namen ein.

   5. Optional: Geben Sie unter Beschreibung eine Beschreibung für Ihren Schlüsselsatz ein.

   6. Optional: Klicken Sie auf Label hinzufügen und geben Sie ein oder mehrere Schlüssel/Wert-Paare für Ihren Schlüsselsatz ein.

   7. Klicken Sie auf Öffentlichen Schlüssel hinzufügen und gehen Sie dann so vor:

      1. Geben Sie als ID eine alphanumerische ID ein.
      2. Wählen Sie Wert eingeben aus und geben Sie dann den base64-codierten Wert Ihres öffentlichen Ed25519-Schlüssels an.

   8. Klicken Sie auf Schlüsselsatz erstellen.

   gcloud

   Führen Sie den Befehl gcloud edge-cache keysets create aus.

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --public-key='id=SSL_PUBLIC_KEY_NAME,value=SSL_PUBLIC_KEY_VALUE'
   

   Ersetzen Sie Folgendes:

   • SHORT_KEYSET_NAME: ein eindeutiger Name für den Schlüsselsatz, z. B. prod-vod-keyset
   • SSL_PUBLIC_KEY_NAME: der Name Ihres öffentlichen SSL-Schlüssels
   • SSL_PUBLIC_KEY_VALUE: der Wert Ihres öffentlichen SSL-Schlüssels

   Mit dem Befehl gcloud edge-cache keysets describe können Sie die mit dem Schlüsselsatz verknüpften Schlüssel aufrufen.

   gcloud edge-cache keysets describe prod-vod-keyset
   

   Die Ausgabe sieht etwa so aus:

   name: prod-vod-keyset
   description: "Keyset for prod.example.com"
   publicKeys:
   - id: "key-20200918"
     value: "DThVLjhAKm3VYOvLBAwFZ5XbjVyF98Ias8NZU0WEM9w"
   - id: "key-20200808"
     value: "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA="
   

   Terraform

   resource "google_network_services_edge_cache_keyset" "default" {
     name        = "prod-vod-keyset"
     description = "Keyset for prod.example.com"
     public_key {
       id    = "key-20200918"
       value = "FHsTyFHNmvNpw4o7-rp-M1yqMyBF8vXSBRkZtkQ0RKY" # Update Ed25519 public key
     }
     public_key {
       id    = "key-20200808"
       value = "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA=" # Update Ed25519 public key
     }
   }

HMAC mit symmetrischem Schlüssel

1. Wenn Sie Secret Manager noch nicht verwendet haben, konfigurieren Sie Secret Manager.

2. Secret erstellen

3. Fügen Sie eine Secret-Version im Binärformat hinzu.

4. Weisen Sie dem Media CDN-Dienstkonto die Rolle „Secret Manager-Zugriff“ (roles/secretmanager.secretAccessor) zu:

   Console

   1. Rufen Sie in der Google Cloud Console die Seite Secret Manager auf.

      Zu Secret Manager

   2. Aktivieren Sie das Kästchen neben dem Namen des Secrets.

   3. Klicken Sie auf Infofeld anzeigen.

   4. Klicken Sie im Infofeld auf Hauptkonto hinzufügen.

   5. Geben Sie unter Neue Hauptkonten das Media CDN-Dienstkonto in diesem Format ein:

      service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com
      

      Ersetzen Sie PROJECT_NUMBER durch Ihre Projektnummer.

   6. Wählen Sie unter Rolle auswählen die Option Secret Manager und dann Zugriffsfunktion für Secret Manager-Secret aus.

   gcloud

   gcloud secrets add-iam-policy-binding-Befehl ausführen

   gcloud secrets add-iam-policy-binding projects/PROJECT_NUMBER/secrets/SECRET_ID \
     --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com" \
     --role="roles/secretmanager.secretAccessor"
   

   Ersetzen Sie Folgendes:

   • PROJECT_NUMBER: Ihre Projektnummer
   • SECRET_ID: die ID des Secrets

5. Greifen Sie auf Ihre Secret-Versionen zu und kopieren Sie die Secret-Pfade einschließlich der Versionsnummern.

6. So erstellen Sie einen neuen Schlüsselsatz mit den gemeinsamen Geheimnissen in einem freigegebenen Validierungsschlüssel:

   Console

   1. Rufen Sie in der Google Cloud Console die Seite Media CDN auf.

      Zum Media CDN

   2. Klicken Sie auf den Tab Schlüsselsätze.

   3. Klicken Sie auf addSchlüsselsatz erstellen.

   4. Geben Sie unter Name einen eindeutigen Keyset-Namen ein.

   5. Optional: Geben Sie unter Beschreibung eine Beschreibung für Ihren Schlüsselsatz ein.

   6. Optional: Klicken Sie auf Label hinzufügen und geben Sie ein oder mehrere Schlüssel/Wert-Paare für Ihren Schlüsselsatz ein.

   7. Wenn Sie einen freigegebenen Validierungsschlüssel angeben möchten, klicken Sie auf Freigegebenen Validierungsschlüssel hinzufügen und gehen Sie dann so vor:

      1. Wählen Sie für Secret ein Secret aus der Liste aus, geben Sie ein Secret manuell ein, indem Sie die Ressourcen-ID angeben, oder erstellen Sie ein neues Secret und wählen Sie es dann aus.

      2. Wählen Sie unter Secret-Version eine Version aus der Liste aus oder erstellen Sie eine neue Secret-Version und wählen Sie sie dann aus.

   8. Klicken Sie auf Schlüsselsatz erstellen.

   gcloud

   Führen Sie den Befehl gcloud edge-cache keysets create aus.

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --validation-shared-key='secret_version=projects/PROJECT_NUMBER/secrets/SECRET_ID/versions/KEY_VERSION'
   

   Ersetzen Sie Folgendes:

   • SHORT_KEYSET_NAME: ein eindeutiger Name für das Schlüsselset, z. B. prod-vod-keyset
   • PROJECT_NUMBER: Ihre Projekt-ID.
   • SECRET_ID: die Ressourcen-ID des Secrets
   • KEY_VERSION: die Secret-Version, die Sie verwenden möchten

Console

1. Schlüsselsatz erstellen oder ändern

2. Wählen Sie im Abschnitt Schlüssel die Option Google-owned and managed key für Dual-Token-Authentifizierung verwenden aus.

gcloud und YAML

Sie haben folgende Möglichkeiten:

• Von Google verwalteten Signierschlüssel erstellen:

  gcloud edge-cache keysets create LONG_KEYSET_NAME \
      --public-key='id=google-managed-key,managed=true'
  

  Ersetzen Sie LONG_KEYSET_NAME durch einen Schlüsselnamen, z. B. prod-vod-keyset-long.

• Vorhandenen Schlüsselsatz ändern:

  1. Exportieren Sie das Schlüsselsatz in eine YAML-Datei. Führen Sie den Befehl gcloud edge-cache keysets export aus.

     gcloud edge-cache keysets export LONG_KEYSET_NAME \
        --destination=prod-vod-keyset-long.yaml
     

  2. Bearbeiten Sie die Schlüsselsatzkonfiguration in einem Texteditor oder in Ihrem Konfigurationsverwaltungstool, sodass sie in etwa so aussieht:

     name: projects/my-project/locations/global/edgeCacheKeysets/LONG_KEYSET_NAME
     publicKeys:
     - id: some-key
       value: MC4CAQAwBQYDK2VwBCIEINV2iYugIWBuvGBJUQ_Ab69E4v4zcVqvgYHw-iZxGzcd
     - id: google-managed-key
       managed: true
     

  3. Importieren Sie den bearbeiteten Schlüsselsatz. Führen Sie den Befehl gcloud edge-cache keysets import aus:

     gcloud edge-cache keysets import LONG_KEYSET_NAME \
         --source=prod-vod-keyset-long.yaml
     

Console

Aktivieren Sie die Authentifizierung mit kurzlebigen Tokens für die primäre Manifestroute:

1. Rufen Sie in der Google Cloud Console die Seite Media CDN auf.

   Zum Media CDN

2. Klicken Sie auf den Namen eines Dienstes, um die Seite Details zu öffnen.

3. Klicken Sie auf die Schaltfläche Bearbeiten, um in den Bearbeitungsmodus zu wechseln.

4. Klicken Sie auf Weiter, um zum Abschnitt Routing zu gelangen.

5. Erweitern Sie die Hostregel, der Sie die primäre Manifestroutenregel hinzufügen möchten.

6. Klicken Sie auf Weiterleitungsregel hinzufügen.

   Alternativ können Sie eine Routenregel bearbeiten, indem Sie in der entsprechenden Zeile auf editBearbeiten klicken.

7. Legen Sie im Bereich Routenregel bearbeiten für Priorität einen Wert fest, z. B. 1.

8. Geben Sie unter Beschreibung eine kurze Beschreibung ein, damit Sie die Regel in der Liste der Regeln leichter finden.

9. Klicken Sie im Bereich Abgleich auf Abgleichsbedingung hinzufügen. Gehen Sie dann so vor:

   1. Wählen Sie für Übereinstimmungstyp die Option Pfadvorlagenübereinstimmung aus.
   2. Geben Sie bei Path match (Pfadübereinstimmung) die Namen oder Pfadvorlagen für die primäre HLS-Playlist-Datei (M3U8) oder die DASH-Manifestdatei (MPD) an. Weitere Informationen finden Sie unter Pfadabgleich.

10. Klicken Sie auf Erweiterte Konfigurationen.

11. Klicken Sie im Bereich Routenaktion auf Element hinzufügen.

12. Wählen Sie für Typ die Option CDN-Richtlinie aus.

13. Wählen Sie im Bereich Signierte Anfrage für Modus für signierte Anfrage die Option Tokens erforderlich aus.

14. Führen Sie im Abschnitt Schlüsselsatz für signierte Anfragen folgende Schritte aus:

    1. Klicken Sie auf Schlüsselsatz auswählen und wählen Sie Ihren Schlüsselsatz für kurzlebige Tokens aus, um den Schlüsselsatz für kurzlebige Tokens anzugeben.

       Wenn Sie stattdessen einen neuen Schlüsselsatz mit den benötigten Schlüsseln erstellen möchten, klicken Sie auf Neuen Schlüsselsatz erstellen. Wählen Sie es dann aus.

    2. Wählen Sie für Signaturalgorithmus die Option Ed25519 mit öffentlichen Schlüsseln aus.

    3. Behalten Sie für Abfrageparameter für Tokens den Standardwert edge-cache-token bei.

       Wenn Sie stattdessen HLS-Manifest-URL-Abfrageparameter anstelle von Cookies für die Authentifizierung verwenden möchten, geben Sie den Parameter an, in dem die Anfragetokens gespeichert werden sollen.

    4. Geben Sie für Maximale Gültigkeitsdauer die maximale Gültigkeitsdauer von eingehenden Anfrage-Tokens in Sekunden an.

15. Klicken Sie auf Fertig, um die Änderungen im Bereich Routenaktion zu speichern.

16. Klicken Sie auf Speichern, um die Änderungen an der Routenregel zu speichern.

gcloud und YAML

1. Exportieren Sie Ihre Media CDN-Konfiguration in eine YAML-Datei. Führen Sie den Befehl gcloud edge-cache services export aus.

   gcloud edge-cache services export SERVICE_NAME \
       --destination=FILENAME.yaml
   

   Ersetzen Sie Folgendes:

   • SERVICE_NAME: der Name Ihres Dienstes
   • FILENAME : der Name Ihrer YAML-Datei

2. Wenn Sie die Authentifizierung mit kurzlebigen Tokens in der primären Manifest-Routenregel aktivieren möchten, geben Sie im Abschnitt cdnPolicy der YAML-Datei der Route eine signedTokensOptions-Konfiguration an.

     pathMatchers:
     - name: "ROUTE_NAME"
       routeRules:
       - priority: 1
         description: "ROUTE_DESCRIPTION"
         origin: "ORIGIN_NAME"
         matchRules:
         - pathTemplateMatch: "/MANIFEST_OR_PLAYLIST"
         routeAction:
           cdnPolicy:
             cacheMode: CACHE_ALL_STATIC
             signedRequestMode: REQUIRE_TOKENS
             signedRequestKeyset: SHORT_KEYSET_NAME
             signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
             signedTokenOptions:
               tokenQueryParameter: SHORT_TOKEN_NAME
   

   Ersetzen Sie Folgendes:

   • ROUTE_NAME: der Name der Routenregel
   • ROUTE_DESCRIPTION: eine Beschreibung der Routenregel
   • ORIGIN_NAME: der Name des Ursprungs
   • MANIFEST_OR_PLAYLIST: der Name der primären HLS-Playlistdatei (M3U8) oder der DASH-Manifestdatei (MPD). Weitere Informationen finden Sie unter Pfadabgleich.
   • SHORT_KEYSET_NAME: Der Name des Schlüsselsatzes, der für kurzlebige Tokens verwendet werden soll
   • SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME: Die Ablaufzeit für signierte Anfragen, z. B. 600s. Weitere Informationen finden Sie unter signedRequestMaximumExpirationTtl.
   • Optional: SHORT_TOKEN_NAME: Der Abfrageparameter, in dem das kurze Token zu finden ist. Der Standardwert ist edge-cache-token. Weitere Informationen finden Sie unter SignedTokenOptions.

   Wenn Sie symmetrische HMACs verwenden, hängen Sie im Bereich signedTokenOptions allowedSignatureAlgorithms mit seinem Wert als HMAC_SHA_256 an:

          allowedSignatureAlgorithms:
          - HMAC_SHA_256
   

3. Wenn Sie den Dienst aktualisieren möchten, importieren Sie Ihre Media CDN-Konfiguration aus der YAML-Datei. Führen Sie den Befehl gcloud edge-cache services import aus.

   gcloud edge-cache services import SERVICE_NAME \
       --source=FILENAME.yaml
   

Console

Ändern Sie die Routenregel für das primäre Manifest, damit Media CDN Langzeit-Tokens für die Route generieren kann:

1. Klicken Sie auf der Seite Routingregel bearbeiten auf Erweiterte Konfigurationen.
2. Wählen Sie für Typ die Option CDN-Richtlinie aus.
3. Maximieren Sie Dual-Token-Authentifizierung.
4. Wählen Sie für Signaturaktion die Option Neues Langzeit-Token generieren aus.

5. Wählen Sie für Signaturtyp eine der folgenden Optionen aus:

   • über Cookies (für HLS- und DASH-Streaming): Konfiguriert Media CDN so, dass ein Edge-Cache-Cookie mit der primären Manifestantwort zurückgegeben wird.
   • Über URI-Abfrageparameter des HLS-Manifests (ohne Cookies): Konfiguriert Media CDN so, dass das primäre HLS-Manifest manipuliert wird, indem jeder URL ein Langzeit-Token angehängt wird.

6. Führen Sie im Abschnitt Neues Langzeit-Token generieren folgende Schritte aus:

   1. Wenn Sie einen Schlüsselsatz für Tokens mit langer Gültigkeitsdauer angeben möchten, klicken Sie auf Schlüsselsatz auswählen und wählen Sie Ihren Schlüsselsatz für Tokens mit langer Gültigkeitsdauer aus.

      Alternativ können Sie auf Neues Schlüsselset erstellen klicken, um ein neues Schlüsselset mit den benötigten Schlüsseln zu erstellen. Wählen Sie es dann aus.

   2. Geben Sie für Token-TTL die maximale Lebensdauer des Tokens mit langer Gültigkeitsdauer in Sekunden an.

   3. Wenn Sie für Signaturtyp die Option über Cookies ausgewählt haben, wählen Sie im Abschnitt Kopierte Parameter die Parameter aus, die Media CDN aus dem Kurzzeit-Token in das Langzeit-Token kopieren soll. Wenn Sie die Dual-Token-Authentifizierung verwenden möchten, müssen Sie entweder PathGlobs (oder einen der Aliase acl oder paths) oder URLPrefix auswählen.

      Wenn Sie die Option über URI-Abfrageparameter des HLS-Manifests ausgewählt haben, behalten Sie für Token-Suchparameter den Standardwert edge-cache-token bei.

7. Klicken Sie auf Fertig, um die Änderungen im Bereich Routenaktion zu speichern.

8. Klicken Sie auf Speichern, um die Änderungen an der Routenregel zu speichern.

   Es wird eine Meldung eingeblendet, in der Sie gefragt werden, ob die Routen für Medienplaylists und ‑segmente automatisch oder manuell erstellt werden sollen. Wenn Sie die automatische Option auswählen, wird eine neue Route für die Cookie-Signatur und zwei Routen für die cookieless Signatur erstellt. Wenn Sie die manuelle Option auswählen, fahren Sie mit dem nächsten Abschnitt fort.

gcloud und YAML

Ändern Sie den Abschnitt addSignatures der primären Manifest-Routingregel so, dass Media CDN Langzeit-Tokens für die Route generieren kann:

          addSignatures:
            actions:
              - GENERATE_COOKIE
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID

Set-Cookie: Edge-Cache-Cookie=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

          addSignatures:
            actions:
              - GENERATE_TOKEN_HLS_COOKIELESS
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID
            tokenQueryParameter: LONG_TOKEN_NAME

#EXTM3U
#EXT-X-STREAM-INF:BANDWIDTH=1280000,AVERAGE-BANDWIDTH=1000000
http://example.com/HLS_PRIMARY_PLAYLIST.m3u8?LONG_TOKEN_NAME=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

Console

gcloud und YAML

Bearbeiten Sie die YAML-Datei:

    - priority: 2
      description: "SEGMENTS_ROUTE_DESCRIPTION"
      origin: "ORIGIN_NAME"
      matchRules:
      - pathTemplateMatch: "/**.m3u8" # HLS media playlists
      - pathTemplateMatch: "/**.ts" # HLS segments
      - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
      routeAction:
        cdnPolicy:
          cacheMode: CACHE_ALL_STATIC
          signedRequestMode: REQUIRE_TOKENS
          signedRequestKeyset: LONG_KEYSET_NAME

Cookies

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_MASTER_PLAYLIST.m3u8" # HLS primary playlists
        - pathTemplateMatch: "/DASH_MANIFESTS.mpd" # DASH manifests
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            addSignatures:
              actions:
                - GENERATE_COOKIE
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        - pathTemplateMatch: "/**.ts" # HLS segments
        - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME

URL-Suchparameter

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_PRIMARY_PLAYLIST.m3u8" # HLS primary playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            signedTokenOptions:
              tokenQueryParameter: SHORT_TOKEN_NAME
            addSignatures:
              actions:
                - GENERATE_TOKEN_HLS_COOKIELESS
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              tokenQueryParameter: LONG_TOKEN_NAME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "PLAYLIST_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME
            addSignatures:
              actions:
                - PROPAGATE_TOKEN_HLS_COOKIELESS
      - priority: 3
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.ts" # HLS segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME