Utiliser l'authentification à double jeton

Signature Ed25519

1. Générez une clé privée :

   openssl genpkey -algorithm ed25519 -outform PEM -out SSL_KEY_NAME.private.key
   

   Remplacez SSL_KEY_NAME par le nom d'une clé.

2. Générez une clé publique à partir de la clé privée :

   openssl pkey -outform DER -pubout -in SSL_KEY_NAME.private.key |\
   tail -c +13 |\
   python3 -c "import base64, sys; print(('%s' % base64.urlsafe_b64encode(sys.stdin.buffer.read()))[2:-1])"
   

3. Créez une collection de clés avec une seule clé publique :

   Console

   1. Dans la console Google Cloud , accédez à la page Media CDN.

      Accéder à Media CDN

   2. Cliquez sur l'onglet Collections de clés.

   3. Cliquez sur addCréer une collection de clés.

   4. Dans le champ Nom, saisissez un nom unique pour le trousseau de clés.

   5. Facultatif : Dans le champ Description, saisissez une description de votre collection de clés.

   6. Facultatif : Cliquez sur Ajouter un libellé, puis saisissez une ou plusieurs paires clé-valeur pour votre collection de clés.

   7. Cliquez sur Ajouter une clé publique, puis procédez comme suit :

      1. Dans le champ ID, saisissez un ID alphanumérique.
      2. Sélectionnez Saisir la valeur, puis spécifiez la valeur encodée en base64 de votre clé publique Ed25519.

   8. Cliquez sur Créer une collection de clés.

   gcloud

   Exécutez la commande gcloud edge-cache keysets create.

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --public-key='id=SSL_PUBLIC_KEY_NAME,value=SSL_PUBLIC_KEY_VALUE'
   

   Remplacez les éléments suivants :

   • SHORT_KEYSET_NAME : nom unique du keyset, par exemple prod-vod-keyset
   • SSL_PUBLIC_KEY_NAME : nom de votre clé publique SSL
   • SSL_PUBLIC_KEY_VALUE : valeur de votre clé publique SSL

   Pour examiner les clés associées au trousseau de clés, utilisez la commande gcloud edge-cache keysets describe.

   gcloud edge-cache keysets describe prod-vod-keyset
   

   Le résultat ressemble à ce qui suit :

   name: prod-vod-keyset
   description: "Keyset for prod.example.com"
   publicKeys:
   - id: "key-20200918"
     value: "DThVLjhAKm3VYOvLBAwFZ5XbjVyF98Ias8NZU0WEM9w"
   - id: "key-20200808"
     value: "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA="
   

   Terraform

   resource "google_network_services_edge_cache_keyset" "default" {
     name        = "prod-vod-keyset"
     description = "Keyset for prod.example.com"
     public_key {
       id    = "key-20200918"
       value = "FHsTyFHNmvNpw4o7-rp-M1yqMyBF8vXSBRkZtkQ0RKY" # Update Ed25519 public key
     }
     public_key {
       id    = "key-20200808"
       value = "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA=" # Update Ed25519 public key
     }
   }

HMAC à clé symétrique

1. Si vous n'avez pas encore utilisé Secret Manager, configurez-le.

2. Créez un secret.

3. Ajoutez une version de secret au format binaire.

4. Attribuez le rôle d'accès Secret Manager (roles/secretmanager.secretAccessor) au compte de service Media CDN :

   Console

   1. Dans la console Google Cloud , accédez à la page Secret Manager.

      Accéder à Secret Manager

   2. Cochez la case à côté du nom du secret.

   3. Cliquez sur Afficher le panneau d'informations.

   4. Dans le panneau d'informations, cliquez sur Ajouter un compte principal.

   5. Pour Nouveaux comptes principaux, saisissez le compte de service Media CDN au format suivant :

      service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com
      

      Remplacez PROJECT_NUMBER par le numéro de votre projet.

   6. Pour Sélectionner un rôle, sélectionnez Secret Manager, puis Accesseur de secrets Secret Manager.

   gcloud

   Exécutez la commande gcloud secrets add-iam-policy-binding.

   gcloud secrets add-iam-policy-binding projects/PROJECT_NUMBER/secrets/SECRET_ID \
     --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com" \
     --role="roles/secretmanager.secretAccessor"
   

   Remplacez les éléments suivants :

   • PROJECT_NUMBER : votre numéro de projet
   • SECRET_ID : ID du secret

5. Accédez à vos versions de secrets et copiez les chemins d'accès aux secrets, y compris les numéros de version.

6. Créez une collection de clés avec les secrets partagés dans une clé de validation partagée :

   Console

   1. Dans la console Google Cloud , accédez à la page Media CDN.

      Accéder à Media CDN

   2. Cliquez sur l'onglet Collections de clés.

   3. Cliquez sur addCréer une collection de clés.

   4. Dans le champ Nom, saisissez un nom unique pour le trousseau de clés.

   5. Facultatif : Dans le champ Description, saisissez une description de votre collection de clés.

   6. Facultatif : Cliquez sur Ajouter un libellé, puis saisissez une ou plusieurs paires clé-valeur pour votre collection de clés.

   7. Pour spécifier une clé de validation partagée, cliquez sur Ajouter une clé de validation partagée, puis procédez comme suit :

      1. Pour Secret, sélectionnez un secret dans la liste, saisissez-le manuellement en spécifiant son ID de ressource ou créez-en un, puis sélectionnez-le.

      2. Pour Version du secret, sélectionnez une version dans la liste ou créez-en une, puis sélectionnez-la.

   8. Cliquez sur Créer une collection de clés.

   gcloud

   Exécutez la commande gcloud edge-cache keysets create.

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --validation-shared-key='secret_version=projects/PROJECT_NUMBER/secrets/SECRET_ID/versions/KEY_VERSION'
   

   Remplacez les éléments suivants :

   • SHORT_KEYSET_NAME : nom unique du keyset, par exemple prod-vod-keyset
   • PROJECT_NUMBER : ID de votre projet.
   • SECRET_ID : ID de ressource du secret
   • KEY_VERSION : version du secret que vous souhaitez utiliser

Console

1. Créez ou modifiez une collection de clés.

2. Dans la section Clés, sélectionnez UtiliserGoogle-owned and managed key pour l'authentification à double jeton.

gcloud et YAML

Utilisez l'une des options suivantes :

• Créez une clé de signature gérée par Google :

  gcloud edge-cache keysets create LONG_KEYSET_NAME \
      --public-key='id=google-managed-key,managed=true'
  

  Remplacez LONG_KEYSET_NAME par un nom de clé, par exemple prod-vod-keyset-long.

• Modifier un ensemble de clés existant :

  1. Exportez votre ensemble de clés dans un fichier YAML. Utilisez la commande gcloud edge-cache keysets export.

     gcloud edge-cache keysets export LONG_KEYSET_NAME \
        --destination=prod-vod-keyset-long.yaml
     

  2. Dans un éditeur de texte ou dans votre outil de gestion de la configuration, modifiez la configuration de votre ensemble de clés pour qu'elle ressemble à ce qui suit :

     name: projects/my-project/locations/global/edgeCacheKeysets/LONG_KEYSET_NAME
     publicKeys:
     - id: some-key
       value: MC4CAQAwBQYDK2VwBCIEINV2iYugIWBuvGBJUQ_Ab69E4v4zcVqvgYHw-iZxGzcd
     - id: google-managed-key
       managed: true
     

  3. Importez le jeu de clés modifié. Exécutez la commande gcloud edge-cache keysets import :

     gcloud edge-cache keysets import LONG_KEYSET_NAME \
         --source=prod-vod-keyset-long.yaml
     

Console

Activez l'authentification par jeton de courte durée sur la route du fichier manifeste principal :

1. Dans la console Google Cloud , accédez à la page Media CDN.

   Accéder à Media CDN

2. Pour ouvrir la page Détails d'un service, cliquez sur son nom.

3. Pour passer en mode Édition, cliquez sur le bouton Modifier.

4. Pour accéder à la section Routage, cliquez sur Suivant.

5. Développez la règle d'hôte à laquelle vous souhaitez ajouter la règle de route du fichier manifeste principal.

6. Cliquez sur Ajouter une règle de routage.

   Vous pouvez également modifier une règle de routage en cliquant sur editModifier sur la ligne correspondante.

7. Dans le volet Modifier la règle de routage, définissez une valeur pour Priorité (par exemple, 1).

8. Dans Description, saisissez une brève description qui vous permettra d'identifier la règle dans la liste.

9. Dans la section Correspondance, cliquez sur Ajouter une condition de correspondance. Ensuite, procédez comme suit :

   1. Pour Type de correspondance, sélectionnez Correspondance du modèle de chemin d'accès.
   2. Sous Correspondance du chemin d'accès, spécifiez les noms ou les modèles de chemin d'accès pour le fichier manifeste DASH (MPD) ou la playlist principale HLS (M3U8). Pour en savoir plus, consultez Correspondance des chemins d'accès.

10. Cliquez sur Configurations avancées.

11. Dans la section Action de routage, cliquez sur Ajouter un élément.

12. Dans le champ Type, sélectionnez Règle CDN.

13. Dans la section Requête signée, sélectionnez Exiger des jetons pour Mode de requête signée.

14. Dans la section Ensemble de clés de requête signée, procédez comme suit :

    1. Pour spécifier le keyset pour les jetons de courte durée, cliquez sur Sélectionner un keyset, puis sélectionnez votre keyset de jetons de courte durée.

       Vous pouvez également créer un ensemble de clés contenant les clés dont vous avez besoin en cliquant sur Créer un ensemble de clés. Sélectionnez-le ensuite.

    2. Pour Algorithme de signature, sélectionnez Ed25519 avec clés publiques.

    3. Pour Paramètre de requête de jeton, conservez la valeur par défaut edge-cache-token.

       Si vous prévoyez d'utiliser les paramètres de requête de l'URL du fichier manifeste HLS plutôt que des cookies pour l'authentification, spécifiez le paramètre dans lequel stocker les jetons de requête.

    4. Pour Durée de vie maximale, spécifiez, en secondes, la durée de vie maximale des jetons de requête entrants.

15. Pour enregistrer les modifications apportées à la section Action de route, cliquez sur OK.

16. Pour enregistrer les modifications apportées à la règle d'itinéraire, cliquez sur Enregistrer.

gcloud et YAML

1. Exportez votre configuration Media CDN dans un fichier YAML. Utilisez la commande gcloud edge-cache services export.

   gcloud edge-cache services export SERVICE_NAME \
       --destination=FILENAME.yaml
   

   Remplacez les éléments suivants :

   • SERVICE_NAME : nom de votre service.
   • FILENAME : nom de votre fichier YAML

2. Pour activer l'authentification par jeton de courte durée dans la règle de route du fichier manifeste principal, spécifiez une configuration signedTokensOptions dans la section cdnPolicy de la route du fichier YAML.

     pathMatchers:
     - name: "ROUTE_NAME"
       routeRules:
       - priority: 1
         description: "ROUTE_DESCRIPTION"
         origin: "ORIGIN_NAME"
         matchRules:
         - pathTemplateMatch: "/MANIFEST_OR_PLAYLIST"
         routeAction:
           cdnPolicy:
             cacheMode: CACHE_ALL_STATIC
             signedRequestMode: REQUIRE_TOKENS
             signedRequestKeyset: SHORT_KEYSET_NAME
             signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
             signedTokenOptions:
               tokenQueryParameter: SHORT_TOKEN_NAME
   

   Remplacez les éléments suivants :

   • ROUTE_NAME : nom de la règle de routage.
   • ROUTE_DESCRIPTION : description de la règle de route
   • ORIGIN_NAME : nom de l'origine
   • MANIFEST_OR_PLAYLIST : nom du fichier de playlist principale HLS (M3U8) ou du fichier manifeste DASH (MPD). Pour en savoir plus, consultez Correspondance des chemins d'accès.
   • SHORT_KEYSET_NAME : nom de la collection de clés à utiliser pour les jetons de courte durée
   • SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME : délai d'expiration des requêtes signées, par exemple 600s. Pour en savoir plus, consultez signedRequestMaximumExpirationTtl.
   • Facultatif : SHORT_TOKEN_NAME : paramètre de requête dans lequel trouver le jeton court. La valeur par défaut est edge-cache-token. Pour en savoir plus, consultez la section consacrée à SignedTokenOptions.

   Lorsque vous utilisez des HMAC à clé symétrique, dans la section signedTokenOptions, ajoutez allowedSignatureAlgorithms avec sa valeur sous la forme HMAC_SHA_256 :

          allowedSignatureAlgorithms:
          - HMAC_SHA_256
   

3. Pour mettre à jour le service, importez votre configuration Media CDN à partir du fichier YAML. Utilisez la commande gcloud edge-cache services import.

   gcloud edge-cache services import SERVICE_NAME \
       --source=FILENAME.yaml
   

Console

Modifiez la règle de route du fichier manifeste principal afin que Media CDN puisse générer des jetons de longue durée sur la route :

1. Sur la page Modifier la règle de routage, cliquez sur Configurations avancées.
2. Dans le champ Type, sélectionnez Règle CDN.
3. Développez Authentification à double jeton.
4. Pour Action de signature, sélectionnez Générer un nouveau jeton de longue durée.

5. Pour Type de signature, sélectionnez l'une des options suivantes :

   • via les cookies (flux HLS et DASH) : configure Media CDN pour renvoyer un Edge-Cache-Cookie avec la réponse du fichier manifeste principal.
   • via les paramètres de requête URL du fichier manifeste HLS (sans cookie) : configure Media CDN pour manipuler le fichier manifeste HLS principal en ajoutant un jeton de longue durée à chaque URL.

6. Dans la section Générer un nouveau jeton de longue durée, procédez comme suit :

   1. Pour spécifier un keyset pour les jetons de longue durée, cliquez sur Sélectionner un keyset, puis sélectionnez votre keyset de jetons de longue durée.

      Vous pouvez également cliquer sur Créer un ensemble de clés pour créer un ensemble de clés contenant les clés dont vous avez besoin. Sélectionnez-le ensuite.

   2. Pour Valeur TTL du jeton, spécifiez, en secondes, la durée de vie maximale du jeton de longue durée.

   3. Pour Type de signature, si vous avez sélectionné l'option via les cookies, dans la section Paramètres copiés, sélectionnez les paramètres que vous souhaitez que Media CDN copie du jeton de courte durée vers le jeton de longue durée. Pour utiliser l'authentification à double jeton, vous devez sélectionner PathGlobs (ou l'un de ses alias, acl ou paths) ou URLPrefix.

      Si vous avez sélectionné l'option via les paramètres de requête URI du fichier manifeste HLS, conservez la valeur par défaut edge-cache-token pour Paramètre de requête du jeton.

7. Pour enregistrer les modifications apportées à la section Action de route, cliquez sur OK.

8. Pour enregistrer les modifications apportées à la règle d'itinéraire, cliquez sur Enregistrer.

   Un message s'affiche pour vous demander si vous souhaitez créer les routes pour les playlists et les segments de contenus multimédias automatiquement ou manuellement. Si vous sélectionnez l'option automatique, une seule route est créée pour la signature des cookies et deux routes pour la signature sans cookie. Si vous sélectionnez l'option manuelle, passez à la section suivante.

gcloud et YAML

Modifiez la section addSignatures de la règle de routage du fichier manifeste principal afin que Media CDN puisse générer des jetons de longue durée sur la route :

          addSignatures:
            actions:
              - GENERATE_COOKIE
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID

Set-Cookie: Edge-Cache-Cookie=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

          addSignatures:
            actions:
              - GENERATE_TOKEN_HLS_COOKIELESS
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID
            tokenQueryParameter: LONG_TOKEN_NAME

#EXTM3U
#EXT-X-STREAM-INF:BANDWIDTH=1280000,AVERAGE-BANDWIDTH=1000000
http://example.com/HLS_PRIMARY_PLAYLIST.m3u8?LONG_TOKEN_NAME=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

Console

gcloud et YAML

Modifiez le fichier YAML :

    - priority: 2
      description: "SEGMENTS_ROUTE_DESCRIPTION"
      origin: "ORIGIN_NAME"
      matchRules:
      - pathTemplateMatch: "/**.m3u8" # HLS media playlists
      - pathTemplateMatch: "/**.ts" # HLS segments
      - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
      routeAction:
        cdnPolicy:
          cacheMode: CACHE_ALL_STATIC
          signedRequestMode: REQUIRE_TOKENS
          signedRequestKeyset: LONG_KEYSET_NAME

Cookies

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_MASTER_PLAYLIST.m3u8" # HLS primary playlists
        - pathTemplateMatch: "/DASH_MANIFESTS.mpd" # DASH manifests
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            addSignatures:
              actions:
                - GENERATE_COOKIE
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        - pathTemplateMatch: "/**.ts" # HLS segments
        - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME

Paramètres de requête d'URL

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_PRIMARY_PLAYLIST.m3u8" # HLS primary playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            signedTokenOptions:
              tokenQueryParameter: SHORT_TOKEN_NAME
            addSignatures:
              actions:
                - GENERATE_TOKEN_HLS_COOKIELESS
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              tokenQueryParameter: LONG_TOKEN_NAME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "PLAYLIST_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME
            addSignatures:
              actions:
                - PROPAGATE_TOKEN_HLS_COOKIELESS
      - priority: 3
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.ts" # HLS segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME