Utilizzare l'autenticazione con doppio token

Firma Ed25519

1. Genera una chiave privata:

   openssl genpkey -algorithm ed25519 -outform PEM -out SSL_KEY_NAME.private.key
   

   Sostituisci SSL_KEY_NAME con il nome di una chiave.

2. Genera una chiave pubblica dalla chiave privata:

   openssl pkey -outform DER -pubout -in SSL_KEY_NAME.private.key |\
   tail -c +13 |\
   python3 -c "import base64, sys; print(('%s' % base64.urlsafe_b64encode(sys.stdin.buffer.read()))[2:-1])"
   

3. Crea un nuovo set di chiavi con una singola chiave pubblica:

   Console

   1. Nella console Google Cloud , vai alla pagina Media CDN.

      Vai a Media CDN

   2. Fai clic sulla scheda Set di tasti.

   3. Fai clic su addCrea keyset.

   4. In Name (Nome), inserisci un nome univoco per il keyset.

   5. (Facoltativo) In Descrizione, inserisci una descrizione per il keyset.

   6. (Facoltativo) Fai clic su Aggiungi etichetta e poi inserisci una o più coppie chiave-valore per il tuo keyset.

   7. Fai clic su Aggiungi chiave pubblica e poi procedi nel seguente modo:

      1. In ID, inserisci un ID alfanumerico.
      2. Seleziona Inserisci il valore e specifica il valore con codifica Base64 della chiave pubblica Ed25519.

   8. Fai clic su Crea keyset.

   gcloud

   Utilizza il comando gcloud edge-cache keysets create.

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --public-key='id=SSL_PUBLIC_KEY_NAME,value=SSL_PUBLIC_KEY_VALUE'
   

   Sostituisci quanto segue:

   • SHORT_KEYSET_NAME: il nome di un keyset univoco, ad esempio prod-vod-keyset
   • SSL_PUBLIC_KEY_NAME: il nome della tua chiave pubblica SSL
   • SSL_PUBLIC_KEY_VALUE: il valore della tua chiave pubblica SSL

   Per esaminare le chiavi associate al set di chiavi, utilizza il comando gcloud edge-cache keysets describe.

   gcloud edge-cache keysets describe prod-vod-keyset
   

   L'output è simile al seguente:

   name: prod-vod-keyset
   description: "Keyset for prod.example.com"
   publicKeys:
   - id: "key-20200918"
     value: "DThVLjhAKm3VYOvLBAwFZ5XbjVyF98Ias8NZU0WEM9w"
   - id: "key-20200808"
     value: "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA="
   

   Terraform

   resource "google_network_services_edge_cache_keyset" "default" {
     name        = "prod-vod-keyset"
     description = "Keyset for prod.example.com"
     public_key {
       id    = "key-20200918"
       value = "FHsTyFHNmvNpw4o7-rp-M1yqMyBF8vXSBRkZtkQ0RKY" # Update Ed25519 public key
     }
     public_key {
       id    = "key-20200808"
       value = "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA=" # Update Ed25519 public key
     }
   }

HMAC con chiave simmetrica

1. Se non hai mai utilizzato Secret Manager, configura Secret Manager.

2. Crea un secret.

3. Aggiungi una versione del secret in formato binario.

4. Concedi il ruolo Accesso a Secret Manager (roles/secretmanager.secretAccessor) all'account di servizio Media CDN:

   Console

   1. Nella console Google Cloud , vai alla pagina Secret Manager.

      Vai a Secret Manager

   2. Seleziona la casella di controllo accanto al nome del secret.

   3. Fai clic su Mostra riquadro informazioni.

   4. Nel riquadro informazioni, fai clic su Aggiungi entità.

   5. In Nuove entità, inserisci l'account di servizio Media CDN in questo formato:

      service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com
      

      Sostituisci PROJECT_NUMBER con il numero del tuo progetto.

   6. In Seleziona un ruolo, seleziona Secret Manager e poi Secret Manager Secret Accessor.

   gcloud

   Utilizza il comando gcloud secrets add-iam-policy-binding.

   gcloud secrets add-iam-policy-binding projects/PROJECT_NUMBER/secrets/SECRET_ID \
     --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com" \
     --role="roles/secretmanager.secretAccessor"
   

   Sostituisci quanto segue:

   • PROJECT_NUMBER: il numero del progetto
   • SECRET_ID: l'ID del secret

5. Accedi alle versioni del secret e copia i percorsi dei secret, inclusi i numeri di versione.

6. Crea un nuovo keyset con i segreti condivisi in una chiave condivisa di convalida:

   Console

   1. Nella console Google Cloud , vai alla pagina Media CDN.

      Vai a Media CDN

   2. Fai clic sulla scheda Set di tasti.

   3. Fai clic su addCrea keyset.

   4. In Name (Nome), inserisci un nome univoco per il keyset.

   5. (Facoltativo) In Descrizione, inserisci una descrizione per il keyset.

   6. (Facoltativo) Fai clic su Aggiungi etichetta e poi inserisci una o più coppie chiave-valore per il tuo keyset.

   7. Per specificare una chiave condivisa di convalida, fai clic su Aggiungi chiave condivisa di convalida, quindi procedi nel seguente modo:

      1. Per Secret, seleziona un secret dall'elenco, inseriscine uno manualmente specificando il relativo ID risorsa oppure creane uno nuovo e poi selezionalo.

      2. Per Versione del secret, seleziona una versione dall'elenco o creane una nuova e poi selezionala.

   8. Fai clic su Crea keyset.

   gcloud

   Utilizza il comando gcloud edge-cache keysets create.

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --validation-shared-key='secret_version=projects/PROJECT_NUMBER/secrets/SECRET_ID/versions/KEY_VERSION'
   

   Sostituisci quanto segue:

   • SHORT_KEYSET_NAME: un nome univoco per il keyset, ad esempio prod-vod-keyset
   • PROJECT_NUMBER: il tuo ID progetto
   • SECRET_ID: l'ID risorsa del secret
   • KEY_VERSION: la versione del secret che vuoi utilizzare

Console

1. Crea o modifica un keyset.

2. Nella sezione Chiavi, seleziona UtilizzaGoogle-owned and managed key per l'autenticazione con doppio token.

gcloud e YAML

Utilizza una delle seguenti opzioni:

• Crea una chiave di firma gestita da Google:

  gcloud edge-cache keysets create LONG_KEYSET_NAME \
      --public-key='id=google-managed-key,managed=true'
  

  Sostituisci LONG_KEYSET_NAME con un nome chiave, ad esempio prod-vod-keyset-long.

• Modificare un keyset esistente:

  1. Esporta il keyset in un file YAML. Utilizza il comando gcloud edge-cache keysets export.

     gcloud edge-cache keysets export LONG_KEYSET_NAME \
        --destination=prod-vod-keyset-long.yaml
     

  2. In un editor di testo o negli strumenti di gestione della configurazione, modifica la configurazione del keyset in modo che sia simile alla seguente:

     name: projects/my-project/locations/global/edgeCacheKeysets/LONG_KEYSET_NAME
     publicKeys:
     - id: some-key
       value: MC4CAQAwBQYDK2VwBCIEINV2iYugIWBuvGBJUQ_Ab69E4v4zcVqvgYHw-iZxGzcd
     - id: google-managed-key
       managed: true
     

  3. Importa il keyset modificato. Utilizza il comando gcloud edge-cache keysets import:

     gcloud edge-cache keysets import LONG_KEYSET_NAME \
         --source=prod-vod-keyset-long.yaml
     

Console

Attiva l'autenticazione con token di breve durata sulla route del manifest principale:

1. Nella console Google Cloud , vai alla pagina Media CDN.

   Vai a Media CDN

2. Per aprire la pagina Dettagli di un servizio, fai clic sul nome del servizio.

3. Per passare alla modalità di modifica, fai clic sul pulsante Modifica.

4. Per passare alla sezione Routing, fai clic su Avanti.

5. Espandi la regola host a cui vuoi aggiungere la regola di routing del manifest principale.

6. Fai clic su Aggiungi regola di percorso.

   In alternativa, per modificare una regola di routing, fai clic su editModifica nella riga corrispondente.

7. Nel riquadro Modifica regola di route, per Priorità, imposta un valore, ad esempio 1.

8. In Descrizione, fornisci una breve descrizione che possa aiutarti a identificare la regola nell'elenco delle regole.

9. Nella sezione Corrispondenza, fai clic su Aggiungi una condizione di corrispondenza. Poi, procedi nel seguente modo:

   1. Per Tipo di corrispondenza, seleziona Corrispondenza con modello di percorso.
   2. Per Corrispondenza del percorso, specifica i nomi o i modelli di percorso per il file manifest HLS principale (M3U8) o DASH (MPD). Per ulteriori informazioni, vedi Corrispondenza dei percorsi.

10. Fai clic su Configurazioni avanzate.

11. Nella sezione Azione del percorso, fai clic su Aggiungi un elemento.

12. In Tipo, seleziona Criterio CDN.

13. Nella sezione Richiesta firmata, per Modalità di richiesta firmata, seleziona Richiedi token.

14. Nella sezione Keyset di richieste firmate, segui questi passaggi:

    1. Per specificare il keyset per i token di breve durata, fai clic su Seleziona un keyset e seleziona il keyset dei token di breve durata.

       In alternativa, per creare un nuovo keyset con le chiavi che ti servono, fai clic su Crea nuovo keyset. Quindi, selezionalo.

    2. Per Algoritmo di firma, seleziona Ed25519 con chiavi pubbliche.

    3. Per Parametro di query del token, mantieni il valore predefinito, edge-cache-token.

       In alternativa, se prevedi di utilizzare parametri di ricerca dell'URL del manifest HLS anziché i cookie per l'autenticazione, specifica il parametro in cui memorizzare i token di richiesta.

    4. Per Durata massima, specifica, in secondi, la durata massima dei token di richieste in entrata.

15. Per salvare le modifiche nella sezione Azione di percorso, fai clic su Fine.

16. Per salvare le modifiche alla regola di routing, fai clic su Salva.

gcloud e YAML

1. Esporta la configurazione di Media CDN in un file YAML. Utilizza il comando gcloud edge-cache services export.

   gcloud edge-cache services export SERVICE_NAME \
       --destination=FILENAME.yaml
   

   Sostituisci quanto segue:

   • SERVICE_NAME: il nome del servizio
   • FILENAME : il nome del file YAML

2. Per abilitare l'autenticazione con token di breve durata nella regola di routing del manifest principale, specifica una configurazione signedTokensOptions nella sezione cdnPolicy del file YAML della route.

     pathMatchers:
     - name: "ROUTE_NAME"
       routeRules:
       - priority: 1
         description: "ROUTE_DESCRIPTION"
         origin: "ORIGIN_NAME"
         matchRules:
         - pathTemplateMatch: "/MANIFEST_OR_PLAYLIST"
         routeAction:
           cdnPolicy:
             cacheMode: CACHE_ALL_STATIC
             signedRequestMode: REQUIRE_TOKENS
             signedRequestKeyset: SHORT_KEYSET_NAME
             signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
             signedTokenOptions:
               tokenQueryParameter: SHORT_TOKEN_NAME
   

   Sostituisci quanto segue:

   • ROUTE_NAME: il nome della regola di routing
   • ROUTE_DESCRIPTION: una descrizione della regola di route
   • ORIGIN_NAME: il nome dell'origine
   • MANIFEST_OR_PLAYLIST: il nome della playlist principale HLS (M3U8) o del file manifest DASH (MPD). Per ulteriori informazioni, vedi Corrispondenza dei percorsi.
   • SHORT_KEYSET_NAME: il nome del keyset da utilizzare per i token di breve durata
   • SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME: l'ora di scadenza delle richieste firmate, ad esempio 600s. Per ulteriori informazioni, vedi signedRequestMaximumExpirationTtl.
   • (Facoltativo) SHORT_TOKEN_NAME: il parametro della query in cui trovare il token breve. Il valore predefinito è edge-cache-token. Per ulteriori informazioni, vedi SignedTokenOptions.

   Quando utilizzi HMAC con chiave simmetrica, nella sezione signedTokenOptions, aggiungi allowedSignatureAlgorithms con il relativo valore HMAC_SHA_256:

          allowedSignatureAlgorithms:
          - HMAC_SHA_256
   

3. Per aggiornare il servizio, importa la configurazione di Media CDN dal file YAML. Utilizza il comando gcloud edge-cache services import.

   gcloud edge-cache services import SERVICE_NAME \
       --source=FILENAME.yaml
   

Console

Modifica la regola di routing del manifest principale in modo che Media CDN possa generare token di lunga durata sulla route:

1. Nella pagina Modifica regola di routing, fai clic su Configurazioni avanzate.
2. In Tipo, seleziona Criterio CDN.
3. Espandi Autenticazione con doppio token.
4. In Azione della firma, seleziona Genera nuovo token di lunga durata.

5. Per Tipo di firma, seleziona una delle seguenti opzioni:

   • tramite cookie (per flussi HLS e DASH): configura Media CDN in modo che restituisca un Edge-Cache-Cookie con la risposta del manifest principale.
   • Mediante parametri di ricerca per l'URL del manifest HLS (senza cookie): configura Media CDN per manipolare il manifest HLS principale aggiungendo un token di lunga durata a ogni URL.

6. Nella sezione Genera nuovo token di lunga durata, segui questi passaggi:

   1. Per specificare un keyset per i token di lunga durata, fai clic su Seleziona un keyset e seleziona il keyset dei token di lunga durata.

      In alternativa, fai clic su Crea nuovo keyset per creare un nuovo keyset con le chiavi che ti servono. Quindi, selezionalo.

   2. Per TTL token, specifica, in secondi, la durata massima del token di lunga durata.

   3. Per Tipo di firma, se hai selezionato l'opzione tramite cookie, nella sezione Parametri copiati, seleziona i parametri che vuoi che Media CDN copi dal token di breve durata al token di lunga durata. Per utilizzare l'autenticazione con doppio token, devi selezionare PathGlobs (o uno dei suoi alias, acl o paths) o URLPrefix.

      Se hai selezionato l'opzione tramite parametri di query dell'URL del manifest HLS, per Parametro di query del token, mantieni il valore predefinito, edge-cache-token.

7. Per salvare le modifiche nella sezione Azione di percorso, fai clic su Fine.

8. Per salvare le modifiche alla regola di routing, fai clic su Salva.

   Viene visualizzato un messaggio che chiede se vuoi creare le route per i segmenti e le playlist multimediali automaticamente o manualmente. Se selezioni l'opzione automatica, viene creato un nuovo percorso per la firma dei cookie e due per la firma senza cookie. Se selezioni l'opzione manuale, vai alla sezione successiva.

gcloud e YAML

Modifica la sezione addSignatures della regola di route del manifest principale in modo che Media CDN possa generare token di lunga durata sulla route:

          addSignatures:
            actions:
              - GENERATE_COOKIE
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID

Set-Cookie: Edge-Cache-Cookie=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

          addSignatures:
            actions:
              - GENERATE_TOKEN_HLS_COOKIELESS
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID
            tokenQueryParameter: LONG_TOKEN_NAME

#EXTM3U
#EXT-X-STREAM-INF:BANDWIDTH=1280000,AVERAGE-BANDWIDTH=1000000
http://example.com/HLS_PRIMARY_PLAYLIST.m3u8?LONG_TOKEN_NAME=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

Console

gcloud e YAML

Modifica il file YAML:

    - priority: 2
      description: "SEGMENTS_ROUTE_DESCRIPTION"
      origin: "ORIGIN_NAME"
      matchRules:
      - pathTemplateMatch: "/**.m3u8" # HLS media playlists
      - pathTemplateMatch: "/**.ts" # HLS segments
      - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
      routeAction:
        cdnPolicy:
          cacheMode: CACHE_ALL_STATIC
          signedRequestMode: REQUIRE_TOKENS
          signedRequestKeyset: LONG_KEYSET_NAME

Cookie

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_MASTER_PLAYLIST.m3u8" # HLS primary playlists
        - pathTemplateMatch: "/DASH_MANIFESTS.mpd" # DASH manifests
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            addSignatures:
              actions:
                - GENERATE_COOKIE
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        - pathTemplateMatch: "/**.ts" # HLS segments
        - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME

Parametri di ricerca dell'URL

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_PRIMARY_PLAYLIST.m3u8" # HLS primary playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            signedTokenOptions:
              tokenQueryParameter: SHORT_TOKEN_NAME
            addSignatures:
              actions:
                - GENERATE_TOKEN_HLS_COOKIELESS
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              tokenQueryParameter: LONG_TOKEN_NAME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "PLAYLIST_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME
            addSignatures:
              actions:
                - PROPAGATE_TOKEN_HLS_COOKIELESS
      - priority: 3
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.ts" # HLS segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME