Usar la autenticación de doble token

Firma Ed25519

1. Genera una clave privada:

   openssl genpkey -algorithm ed25519 -outform PEM -out SSL_KEY_NAME.private.key
   

   Reemplaza SSL_KEY_NAME por un nombre de clave.

2. Genera una clave pública a partir de la clave privada:

   openssl pkey -outform DER -pubout -in SSL_KEY_NAME.private.key |\
   tail -c +13 |\
   python3 -c "import base64, sys; print(('%s' % base64.urlsafe_b64encode(sys.stdin.buffer.read()))[2:-1])"
   

3. Crea un conjunto de claves nuevo con una sola clave pública:

   Console

   1. En la consola de Google Cloud , ve a la página Media CDN.

      Ir a Media CDN

   2. Haz clic en la pestaña Keysets.

   3. Haz clic en addCrear conjunto de claves.

   4. En Nombre, ingresa un nombre único para el conjunto de claves.

   5. En Descripción, ingresa una descripción para tu conjunto de claves (opcional).

   6. Opcional: Haz clic en Agregar etiqueta y, luego, ingresa uno o más pares clave-valor para tu conjunto de claves.

   7. Haz clic en Agregar clave pública y, luego, haz lo siguiente:

      1. En ID, ingresa un ID alfanumérico.
      2. Selecciona Ingresa el valor y, luego, especifica el valor con codificación base64 de tu clave pública Ed25519.

   8. Haz clic en Crear conjunto de claves.

   gcloud

   Usa el comando gcloud edge-cache keysets create.

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --public-key='id=SSL_PUBLIC_KEY_NAME,value=SSL_PUBLIC_KEY_VALUE'
   

   Reemplaza lo siguiente:

   • SHORT_KEYSET_NAME: Es un nombre único del conjunto de claves, por ejemplo, prod-vod-keyset.
   • SSL_PUBLIC_KEY_NAME: el nombre de tu clave pública SSL
   • SSL_PUBLIC_KEY_VALUE: El valor de tu clave pública SSL

   Para revisar las claves asociadas con el conjunto de claves, usa el comando gcloud edge-cache keysets describe.

   gcloud edge-cache keysets describe prod-vod-keyset
   

   El resultado es similar a este:

   name: prod-vod-keyset
   description: "Keyset for prod.example.com"
   publicKeys:
   - id: "key-20200918"
     value: "DThVLjhAKm3VYOvLBAwFZ5XbjVyF98Ias8NZU0WEM9w"
   - id: "key-20200808"
     value: "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA="
   

   Terraform

   resource "google_network_services_edge_cache_keyset" "default" {
     name        = "prod-vod-keyset"
     description = "Keyset for prod.example.com"
     public_key {
       id    = "key-20200918"
       value = "FHsTyFHNmvNpw4o7-rp-M1yqMyBF8vXSBRkZtkQ0RKY" # Update Ed25519 public key
     }
     public_key {
       id    = "key-20200808"
       value = "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA=" # Update Ed25519 public key
     }
   }

HMAC con clave simétrica

1. Si nunca usaste Secret Manager, configúralo.

2. Crea un secreto.

3. Agrega una versión del secreto en formato binario.

4. Otorga el rol de acceso a Secret Manager (roles/secretmanager.secretAccessor) a la cuenta de servicio de Media CDN:

   Console

   1. En la consola de Google Cloud , ve a la página Secret Manager.

      Ir a Secret Manager

   2. Selecciona la casilla de verificación junto al nombre del secreto.

   3. Haz clic en Mostrar panel de información.

   4. En el panel de información, haz clic en Agregar principal.

   5. En Principales nuevos, ingresa la cuenta de servicio de Media CDN con este formato:

      service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com
      

      Reemplaza PROJECT_NUMBER por el número de tu proyecto.

   6. En Selecciona un rol, selecciona Secret Manager y, luego, Descriptor de acceso a secretos de Secret Manager.

   gcloud

   Usa el comando gcloud secrets add-iam-policy-binding.

   gcloud secrets add-iam-policy-binding projects/PROJECT_NUMBER/secrets/SECRET_ID \
     --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com" \
     --role="roles/secretmanager.secretAccessor"
   

   Reemplaza lo siguiente:

   • PROJECT_NUMBER: Es el número de tu proyecto.
   • SECRET_ID: ID del secreto

5. Accede a tus versiones de secretos y copia las rutas de los secretos, incluidos los números de versión.

6. Crea un nuevo conjunto de claves con los secretos compartidos en una clave compartida de validación:

   Console

   1. En la consola de Google Cloud , ve a la página Media CDN.

      Ir a Media CDN

   2. Haz clic en la pestaña Keysets.

   3. Haz clic en addCrear conjunto de claves.

   4. En Nombre, ingresa un nombre único para el conjunto de claves.

   5. En Descripción, ingresa una descripción para tu conjunto de claves (opcional).

   6. Opcional: Haz clic en Agregar etiqueta y, luego, ingresa uno o más pares clave-valor para tu conjunto de claves.

   7. Para especificar una clave compartida de validación, haz clic en Agregar clave compartida de validación y, luego, haz lo siguiente:

      1. En Secret, selecciona un secreto de la lista, ingresa uno manualmente especificando su ID de recurso o crea uno nuevo y, luego, selecciónalo.

      2. En Versión del secreto, selecciona una versión de la lista o crea una nueva versión del secreto y, luego, selecciónala.

   8. Haz clic en Crear conjunto de claves.

   gcloud

   Usa el comando gcloud edge-cache keysets create.

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --validation-shared-key='secret_version=projects/PROJECT_NUMBER/secrets/SECRET_ID/versions/KEY_VERSION'
   

   Reemplaza lo siguiente:

   • SHORT_KEYSET_NAME: Es un nombre único para el conjunto de claves, por ejemplo, prod-vod-keyset.
   • PROJECT_NUMBER: El ID de tu proyecto
   • SECRET_ID: ID del recurso del secreto
   • KEY_VERSION: Es la versión del secreto que deseas usar.

Console

1. Crea o modifica un conjunto de claves.

2. En la sección Claves, selecciona UsarGoogle-owned and managed key para la autenticación de token doble.

gcloud y YAML

Usa una de las siguientes opciones:

• Crea una clave de firma administrada por Google:

  gcloud edge-cache keysets create LONG_KEYSET_NAME \
      --public-key='id=google-managed-key,managed=true'
  

  Reemplaza LONG_KEYSET_NAME por un nombre de clave, por ejemplo, prod-vod-keyset-long.

• Cómo modificar un conjunto de claves existente:

  1. Exporta tu conjunto de claves a un archivo YAML. Usa el comando gcloud edge-cache keysets export.

     gcloud edge-cache keysets export LONG_KEYSET_NAME \
        --destination=prod-vod-keyset-long.yaml
     

  2. En un editor de texto o en tus herramientas de administración de configuración, edita la configuración del conjunto de claves para que se vea similar a la siguiente:

     name: projects/my-project/locations/global/edgeCacheKeysets/LONG_KEYSET_NAME
     publicKeys:
     - id: some-key
       value: MC4CAQAwBQYDK2VwBCIEINV2iYugIWBuvGBJUQ_Ab69E4v4zcVqvgYHw-iZxGzcd
     - id: google-managed-key
       managed: true
     

  3. Importa el conjunto de claves editado. Usa el comando gcloud edge-cache keysets import:

     gcloud edge-cache keysets import LONG_KEYSET_NAME \
         --source=prod-vod-keyset-long.yaml
     

Console

Habilita la autenticación con tokens de corta duración en la ruta del manifiesto principal:

1. En la consola de Google Cloud , ve a la página Media CDN.

   Ir a Media CDN

2. Para abrir la página Detalles de un servicio, haz clic en su nombre.

3. Para cambiar al modo de edición, haz clic en el botón Editar.

4. Para navegar a la sección Enrutamiento, haz clic en Siguiente.

5. Expande la regla de host a la que deseas agregar la regla de ruta del manifiesto principal.

6. Haz clic en Add route rule.

   Como alternativa, para editar una regla de ruta, haz clic en editEditar en la fila correspondiente.

7. En el panel Editar regla de ruta, en Prioridad, establece un valor, por ejemplo, 1.

8. En Descripción, proporciona una breve descripción que pueda ayudar a identificar la regla en la lista de reglas.

9. En la sección Coincidencia, haz clic en Agregar una condición de coincidencia. A continuación, sigue estos pasos:

   1. En Tipo de coincidencia, selecciona Coincidencia de plantilla de ruta.
   2. En Coincidencia de ruta de acceso, especifica los nombres o las plantillas de ruta de acceso para el archivo de lista de reproducción principal HLS (M3U8) o el archivo de manifiesto DASH (MPD). Para obtener más información, consulta Coincidencia de rutas de acceso.

10. Haz clic en Configuración avanzada.

11. En la sección Route action, haz clic en Agregar un elemento.

12. En Tipo, selecciona CDN policy.

13. En la sección Solicitud firmada, para Modo de solicitud firmada, selecciona Require tokens.

14. En la sección Conjunto de claves de solicitud firmada, haz lo siguiente:

    1. Para especificar el conjunto de claves para los tokens de corta duración, haz clic en Seleccionar un conjunto de claves y selecciona tu conjunto de claves de tokens de corta duración.

       Como alternativa, para crear un conjunto de claves nuevo que tenga las claves que necesitas, haz clic en Crear un conjunto de claves nuevo. Luego, selecciónala.

    2. En Algoritmo de firma, selecciona Ed25519 con claves públicas.

    3. En Parámetro de consulta de token, conserva el valor predeterminado, edge-cache-token.

       Como alternativa, si planeas usar parámetros de consulta de URL de manifiesto de HLS en lugar de cookies para la autenticación, especifica el parámetro en el que se almacenarán los tokens de solicitud.

    4. En Tiempo de vida máximo, especifica, en segundos, la vida útil máxima de los tokens de solicitud entrantes.

15. Para guardar los cambios en la sección Acción de ruta, haz clic en Listo.

16. Para guardar los cambios en la regla de ruta, haz clic en Guardar.

gcloud y YAML

1. Exporta tu configuración de CDN de medios a un archivo YAML. Usa el comando gcloud edge-cache services export.

   gcloud edge-cache services export SERVICE_NAME \
       --destination=FILENAME.yaml
   

   Reemplaza lo siguiente:

   • SERVICE_NAME: el nombre de tu servicio.
   • FILENAME : El nombre de tu archivo YAML

2. Para habilitar la autenticación con tokens de corta duración en la regla de ruta del manifiesto principal, especifica una configuración de signedTokensOptions en la sección cdnPolicy de la ruta del archivo YAML.

     pathMatchers:
     - name: "ROUTE_NAME"
       routeRules:
       - priority: 1
         description: "ROUTE_DESCRIPTION"
         origin: "ORIGIN_NAME"
         matchRules:
         - pathTemplateMatch: "/MANIFEST_OR_PLAYLIST"
         routeAction:
           cdnPolicy:
             cacheMode: CACHE_ALL_STATIC
             signedRequestMode: REQUIRE_TOKENS
             signedRequestKeyset: SHORT_KEYSET_NAME
             signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
             signedTokenOptions:
               tokenQueryParameter: SHORT_TOKEN_NAME
   

   Reemplaza lo siguiente:

   • ROUTE_NAME: El nombre de la regla de ruta
   • ROUTE_DESCRIPTION: Una descripción de la regla de ruta
   • ORIGIN_NAME: el nombre del origen
   • MANIFEST_OR_PLAYLIST: Es el nombre del archivo de lista de reproducción principal (M3U8) de HLS o del manifiesto (MPD) de DASH. Para obtener más información, consulta Coincidencia de rutas de acceso.
   • SHORT_KEYSET_NAME: Es el nombre del conjunto de claves que se usará para los tokens de corta duración.
   • SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME: Es la hora de vencimiento de las solicitudes firmadas, por ejemplo, 600s. Para obtener más información, consulta signedRequestMaximumExpirationTtl.
   • Opcional: SHORT_TOKEN_NAME: Parámetro de consulta en el que se encuentra el token corto. El valor predeterminado es edge-cache-token. Para obtener más información, consulta SignedTokenOptions:

   Cuando se usan HMAC de clave simétrica, en la sección signedTokenOptions, agrega allowedSignatureAlgorithms con su valor como HMAC_SHA_256:

          allowedSignatureAlgorithms:
          - HMAC_SHA_256
   

3. Para actualizar el servicio, importa tu configuración de CDN de Media desde el archivo YAML. Usa el comando gcloud edge-cache services import.

   gcloud edge-cache services import SERVICE_NAME \
       --source=FILENAME.yaml
   

Console

Modifica la regla de ruta del manifiesto principal para que Media CDN pueda generar tokens de larga duración en la ruta:

1. En la página Editar regla de ruta, haz clic en Configuraciones avanzadas.
2. En Tipo, selecciona CDN policy.
3. Expande Autenticación de doble token.
4. En Acción de firma, selecciona Generar un token de larga duración nuevo.

5. En Tipo de firma, selecciona una de las siguientes opciones:

   • a través de cookies (para transmisiones HLS y DASH): Configura Media CDN para que devuelva un Edge-Cache-Cookie con la respuesta del manifiesto principal.
   • A través de parámetros de consulta de URL de manifiesto de HLS (sin cookies): Configura Media CDN para manipular el manifiesto principal de HLS agregando un token de larga duración a cada URL.

6. En la sección Genera un token de larga duración nuevo, haz lo siguiente:

   1. Para especificar un conjunto de claves para los tokens de larga duración, haz clic en Seleccionar un conjunto de claves y elige tu conjunto de claves de tokens de larga duración.

      Como alternativa, haz clic en Crear un conjunto de claves nuevo para crear un conjunto de claves nuevo que tenga las claves que necesitas. Luego, selecciónala.

   2. En Token TTL, especifica, en segundos, la vida útil máxima del token de larga duración.

   3. En Tipo de firma, si seleccionaste la opción a través de cookies, en la sección Parámetros copiados, selecciona los parámetros que deseas que la CDN de Media copie del token de corta duración al token de larga duración. Para usar la autenticación de doble token, debes seleccionar PathGlobs (o cualquiera de sus alias, acl o paths) o URLPrefix.

      Si seleccionaste la opción a través de parámetros de consulta de URL de manifiesto de HLS, conserva el valor predeterminado edge-cache-token para Parámetro de consulta de token.

7. Para guardar los cambios en la sección Acción de ruta, haz clic en Listo.

8. Para guardar los cambios en la regla de ruta, haz clic en Guardar.

   Aparecerá un mensaje en el que se te preguntará si deseas crear las rutas para las playlists y los segmentos de medios de forma automática o manual. Si seleccionas la opción automática, se creará una sola ruta nueva para la firma de cookies y dos rutas para la firma sin cookies. Si seleccionas la opción manual, continúa con la siguiente sección.

gcloud y YAML

Modifica la sección addSignatures de la regla de ruta del manifiesto principal para que Media CDN pueda generar tokens de larga duración en la ruta:

          addSignatures:
            actions:
              - GENERATE_COOKIE
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID

Set-Cookie: Edge-Cache-Cookie=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

          addSignatures:
            actions:
              - GENERATE_TOKEN_HLS_COOKIELESS
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID
            tokenQueryParameter: LONG_TOKEN_NAME

#EXTM3U
#EXT-X-STREAM-INF:BANDWIDTH=1280000,AVERAGE-BANDWIDTH=1000000
http://example.com/HLS_PRIMARY_PLAYLIST.m3u8?LONG_TOKEN_NAME=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

Console

gcloud y YAML

Edita el archivo YAML:

    - priority: 2
      description: "SEGMENTS_ROUTE_DESCRIPTION"
      origin: "ORIGIN_NAME"
      matchRules:
      - pathTemplateMatch: "/**.m3u8" # HLS media playlists
      - pathTemplateMatch: "/**.ts" # HLS segments
      - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
      routeAction:
        cdnPolicy:
          cacheMode: CACHE_ALL_STATIC
          signedRequestMode: REQUIRE_TOKENS
          signedRequestKeyset: LONG_KEYSET_NAME

Cookies

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_MASTER_PLAYLIST.m3u8" # HLS primary playlists
        - pathTemplateMatch: "/DASH_MANIFESTS.mpd" # DASH manifests
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            addSignatures:
              actions:
                - GENERATE_COOKIE
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        - pathTemplateMatch: "/**.ts" # HLS segments
        - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME

Parámetros de consulta de URL

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_PRIMARY_PLAYLIST.m3u8" # HLS primary playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            signedTokenOptions:
              tokenQueryParameter: SHORT_TOKEN_NAME
            addSignatures:
              actions:
                - GENERATE_TOKEN_HLS_COOKIELESS
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              tokenQueryParameter: LONG_TOKEN_NAME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "PLAYLIST_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME
            addSignatures:
              actions:
                - PROPAGATE_TOKEN_HLS_COOKIELESS
      - priority: 3
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.ts" # HLS segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME