Usar autenticação de token duplo

Assinatura Ed25519

1. Gere uma chave privada:

   openssl genpkey -algorithm ed25519 -outform PEM -out SSL_KEY_NAME.private.key
   

   Substitua SSL_KEY_NAME por um nome de chave.

2. Gere uma chave pública a partir da chave privada:

   openssl pkey -outform DER -pubout -in SSL_KEY_NAME.private.key |\
   tail -c +13 |\
   python3 -c "import base64, sys; print(('%s' % base64.urlsafe_b64encode(sys.stdin.buffer.read()))[2:-1])"
   

3. Crie um novo conjunto de chaves com uma única chave pública:

   Console

   1. No console do Google Cloud, acesse a página Media CDN.

      Acesse Media CDN

   2. Clique na guia Keysets.

   3. Clique em addCriar conjunto de chaves.

   4. Em Nome, insira um nome exclusivo de conjunto de chaves.

   5. Opcional: em Descrição, insira uma descrição para o conjunto de chaves.

   6. Opcional: clique em Adicionar rótulo e insira um ou mais pares de chave-valor para o conjunto de chaves.

   7. Clique em Adicionar chave pública e faça o seguinte:

      1. Em Código, insira um ID alfanumérico.
      2. Selecione Enter the value e especifique o arquivo codificado em base64 da chave pública Ed25519.

   8. Clique em Criar conjunto de chaves.

   gcloud

   Use o comando gcloud edge-cache keysets create.

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --public-key='id=SSL_PUBLIC_KEY_NAME,value=SSL_PUBLIC_KEY_VALUE'
   

   Substitua:

   • SHORT_KEYSET_NAME: um conjunto de chaves exclusivo. nome, por exemplo, prod-vod-keyset
   • SSL_PUBLIC_KEY_NAME: o nome do Chave pública SSL
   • SSL_PUBLIC_KEY_VALUE: o valor do Chave pública SSL

   Para revisar as chaves associadas ao conjunto de chaves, use o comando gcloud edge-cache keysets describe.

   gcloud edge-cache keysets describe prod-vod-keyset
   

   O resultado será assim:

   name: prod-vod-keyset
   description: "Keyset for prod.example.com"
   publicKeys:
   - id: "key-20200918"
     value: "DThVLjhAKm3VYOvLBAwFZ5XbjVyF98Ias8NZU0WEM9w"
   - id: "key-20200808"
     value: "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA="
   

   Terraform

   resource "google_network_services_edge_cache_keyset" "default" {
     name        = "prod-vod-keyset"
     description = "Keyset for prod.example.com"
     public_key {
       id    = "key-20200918"
       value = "FHsTyFHNmvNpw4o7-rp-M1yqMyBF8vXSBRkZtkQ0RKY" # Update Ed25519 public key
     }
     public_key {
       id    = "key-20200808"
       value = "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA=" # Update Ed25519 public key
     }
   }

HMAC de chave simétrica

1. Se você nunca usou o Secret Manager, configure o Secret Manager.

2. Crie um secret.

3. Adicionar uma versão do secret em formato binário.

4. Conceder o papel de acesso ao Secret Manager (roles/secretmanager.secretAccessor) para o Media CDN conta de serviço:

   Console

   1. No console do Google Cloud, acesse a página Secret Manager.

      Acessar o Secret Manager

   2. Marque a caixa de seleção ao lado do nome do secret.

   3. Clique em Mostrar painel de informações.

   4. No painel de informações, clique em Adicionar participante.

   5. Em Novos principais, insira o serviço Media CDN da conta neste formato:

      service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com
      

      Substitua PROJECT_NUMBER pelo seu projeto. número

   6. Em Selecionar papel, escolha Secret Manager e escolha a Acesso de secret do Secret Manager

   gcloud

   Use o comando gcloud secrets add-iam-policy-binding

   gcloud secrets add-iam-policy-binding projects/PROJECT_NUMBER/secrets/SECRET_ID \
     --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com" \
     --role="roles/secretmanager.secretAccessor"
   

   Substitua:

   • PROJECT_NUMBER: o ID do seu projeto
   • SECRET_ID: o ID do secret

5. Acessar as versões do secret e copiar os caminhos do secret, incluindo os números de versão.

6. Crie um novo conjunto de chaves com os secrets compartilhados em uma chave compartilhada de validação:

   Console

   1. No console do Google Cloud, acesse a página Media CDN.

      Acesse Media CDN

   2. Clique na guia Conjuntos de chaves.

   3. Clique em addCriar conjunto de chaves.

   4. Em Nome, insira um nome exclusivo de conjunto de chaves.

   5. Opcional: em Descrição, insira uma descrição para o conjunto de chaves.

   6. Opcional: clique em Adicionar rótulo e insira um ou mais pares de chave-valor para o conjunto de chaves.

   7. Para especificar uma chave compartilhada de validação, clique em Adicionar chave compartilhada de validação. Em seguida, faça o seguinte:

      1. Em Secret, selecione um secret na lista, insira um secret manualmente especificando o ID do recurso criar um novo secret e selecione-o.

      2. Em Versão do secret, selecione uma versão da lista ou criar uma nova versão do secret e selecione-o.

   8. Clique em Criar conjunto de chaves.

   gcloud

   Use o comando gcloud edge-cache keysets create.

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --validation-shared-key='secret_version=projects/PROJECT_NUMBER/secrets/SECRET_ID/versions/KEY_VERSION'
   

   Substitua:

   • SHORT_KEYSET_NAME: um nome exclusivo para o conjunto de chaves, por exemplo, prod-vod-keyset
   • PROJECT_NUMBER: ID do projeto
   • SECRET_ID: o ID do recurso do secret
   • KEY_VERSION: a versão do secret que que você quer usar

Console

1. Crie ou modifique um conjunto de chaves.

2. Na seção Chaves, selecione Usar a chave gerenciada pelo Google para token duplo autenticação.

gcloud e YAML

Use uma das seguintes opções:

• Crie uma chave de assinatura gerenciada pelo Google:

  gcloud edge-cache keysets create LONG_KEYSET_NAME \
      --public-key='id=google-managed-key,managed=true'
  

  Substituir LONG_KEYSET_NAME por uma chave nome, por exemplo, prod-vod-keyset-long.

• Modificar um conjunto de chaves:

  1. Exporte o conjunto de chaves para um arquivo YAML. Use o comando gcloud edge-cache keysets export.

     gcloud edge-cache keysets export LONG_KEYSET_NAME \
        --destination=prod-vod-keyset-long.yaml
     

  2. Em um editor de texto ou em suas ferramentas de gerenciamento de configuração, edite do conjunto de chaves para que se pareça com o seguinte:

     name: projects/my-project/locations/global/edgeCacheKeysets/LONG_KEYSET_NAME
     publicKeys:
     - id: some-key
       value: MC4CAQAwBQYDK2VwBCIEINV2iYugIWBuvGBJUQ_Ab69E4v4zcVqvgYHw-iZxGzcd
     - id: google-managed-key
       managed: true
     

  3. Importe o conjunto de chaves editado. Use o comando gcloud edge-cache keysets import (em inglês).

     gcloud edge-cache keysets import LONG_KEYSET_NAME \
         --source=prod-vod-keyset-long.yaml
     

Console

Ative a autenticação de token de curta duração na rota de manifesto principal:

1. No console do Google Cloud, acesse a página Media CDN.

   Acesse Media CDN

2. Para abrir a página Detalhes de um serviço, clique no nome dele.

3. Para mudar para o modo de edição, clique no botão Editar.

4. Para navegar até a seção Roteamento, clique em Próxima.

5. Expanda a regra de host em que você quer adicionar o manifesto principal. regra de rota.

6. Clique em Adicionar regra de rota.

   Como alternativa, para editar uma regra de rota, clique em editEdite na respectiva linha.

7. No painel Editar regra de rota, em Prioridade, defina um valor: exemplo: 1.

8. Em Descrição, forneça uma breve descrição que ajude a identificar a regra na lista de regras.

9. Na seção Correspondência, clique em Adicionar uma condição de correspondência. Depois, faça o seguintes:

   1. Em Tipo de correspondência, selecione Correspondência do modelo de caminho.
   2. Para Correspondência de caminho, especifique os nomes ou modelos de caminho para a playlist principal do HLS (M3U8) ou o arquivo de manifesto DASH (MPD). Para mais informações, consulte Correspondência de caminho.

10. Clique em Configurações avançadas.

11. Na seção Ação de rota, clique em Adicionar um item.

12. Em Tipo, selecione Política de CDN.

13. Na seção Solicitação assinada, em Modo de solicitação assinada, selecione Exigir tokens.

14. Na seção Conjunto de chaves de solicitação assinada, faça o seguinte:

    1. Para especificar o conjunto de chaves para tokens de curta duração, clique em Selecione um conjunto de chaves e escolha conjunto de chaves de token de curta duração.

       Como alternativa, para criar um novo conjunto de chaves que tenha as chaves necessárias, Clique em Criar novo conjunto de chaves. Em seguida, selecione-o.

    2. Em Algoritmo de assinatura, selecione Ed25519 usando chaves públicas.

    3. Para o parâmetro de consulta do token, mantenha o valor padrão, edge-cache-token.

       Como alternativa, se você planeja usar parâmetros de consulta do URL do manifesto HLS em vez de cookies para autenticação, especifique o parâmetro em onde armazenar os tokens de solicitação.

    4. Em Tempo máximo de vida, especifique, em segundos, a vida útil máxima tokens de solicitação recebidos.

15. Para salvar as alterações na seção Ação de rota, clique em Concluído.

16. Para salvar as alterações na regra de rota, clique em Salvar.

gcloud e YAML

1. Exportar a configuração do Media CDN em um arquivo YAML. Use o comando gcloud edge-cache services export.

   gcloud edge-cache services export SERVICE_NAME \
       --destination=FILENAME.yaml
   

   Substitua:

   • SERVICE_NAME: o nome do serviço;
   • FILENAME : o nome do arquivo YAML

2. Para ativar a autenticação por token de curta duração no manifesto principal regra de rota, na seção cdnPolicy da rota do arquivo YAML, especificar uma configuração de signedTokensOptions.

     pathMatchers:
     - name: "ROUTE_NAME"
       routeRules:
       - priority: 1
         description: "ROUTE_DESCRIPTION"
         origin: "ORIGIN_NAME"
         matchRules:
         - pathTemplateMatch: "/MANIFEST_OR_PLAYLIST"
         routeAction:
           cdnPolicy:
             cacheMode: CACHE_ALL_STATIC
             signedRequestMode: REQUIRE_TOKENS
             signedRequestKeyset: SHORT_KEYSET_NAME
             signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
             signedTokenOptions:
               tokenQueryParameter: SHORT_TOKEN_NAME
   

   Substitua:

   • ROUTE_NAME: o nome da regra de rota.
   • ROUTE_DESCRIPTION: uma descrição do regra de rota
   • ORIGIN_NAME: o nome da origem.
   • MANIFEST_OR_PLAYLIST: o nome do HLS. playlist principal (M3U8) ou arquivo de manifesto DASH (MPD). Para mais informações, consulte Correspondência de caminho.
   • SHORT_KEYSET_NAME: o nome do conjunto de chaves a ser usado. para tokens de curta duração
   • SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME: o prazo de validade para solicitações assinadas, por exemplo, 600s; Para mais informações, consulte signedRequestMaximumExpirationTtl.
   • Opcional: SHORT_TOKEN_NAME: a consulta. em que o token curto é encontrado. O valor padrão é edge-cache-token. Veja mais informações em SignedTokenOptions.

   Ao usar HMACs de chave simétrica, na seção signedTokenOptions, anexe allowedSignatureAlgorithms com seu valor como HMAC_SHA_256:

          allowedSignatureAlgorithms:
          - HMAC_SHA_256
   

3. Para atualizar o serviço, importe a configuração do Media CDN. do arquivo YAML. Use o comando gcloud edge-cache services import.

   gcloud edge-cache services import SERVICE_NAME \
       --source=FILENAME.yaml
   

Console

Modificar a regra de rota do manifesto principal para que o Media CDN possa gerar tokens de longa duração no trajeto:

1. Na página Editar regra de rota, clique em Configurações avançadas.
2. Em Tipo, selecione Política de CDN.
3. Expanda Autenticação de dois tokens.
4. Em Ação de assinatura, selecione Gerar novo token de longa duração.

5. Em Tipo de assinatura, selecione uma das seguintes opções:

   • via cookies (para streaming HLS e DASH): configura Media CDN para retornar um Edge-Cache-Cookie com a resposta do manifesto principal.
   • via parâmetros de consulta do URL do manifesto HLS (sem cookies): configura Media CDN para manipular o manifesto principal de HLS anexar um token de longa duração a cada URL.

6. Na seção Gerar novo token de longa duração, faça o seguinte:

   1. Para especificar um conjunto de chaves para tokens de longa duração, clique em Selecione um conjunto de chaves e escolha conjunto de chaves de token de longa duração.

      Como alternativa, clique em Criar novo conjunto de chaves para criar um novo conjunto de chaves que tem as chaves de que você precisa. Em seguida, selecione-o.

   2. Em Token TTL, especifique, em segundos, a vida útil máxima do o token de longa duração.

   3. Em Tipo de assinatura, se você selecionou a opção via cookies: Depois, na seção Parâmetros copiados, selecione os parâmetros que você quer que o Media CDN copie dos arquivos de curta duração para o token de longa duração. Para usar a autenticação de token duplo, selecione PathGlobs (ou um dos aliases, acl ou paths) ou URLPrefix.

      Se você tiver selecionado a opção via parâmetros de consulta do URL do manifesto HLS: para o parâmetro de consulta do token, mantenha o valor padrão. edge-cache-token

7. Para salvar as alterações na seção Ação de rota, clique em Concluído.

8. Para salvar as alterações na regra de rota, clique em Salvar.

   Será exibida uma mensagem perguntando se você gostaria de criar os trajetos para mídia. playlists e segmentos de forma automática ou manual. Se você selecionar automática, uma única nova rota é criada para a assinatura de cookies e duas rotas para a assinatura sem cookies. Se você selecionar a opção manual, continue para a próxima seção.

gcloud e YAML

Modifique a seção addSignatures da regra de rota do manifesto principal para que O Media CDN pode gerar tokens de longa duração no trajeto:

          addSignatures:
            actions:
              - GENERATE_COOKIE
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID

Set-Cookie: Edge-Cache-Cookie=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

          addSignatures:
            actions:
              - GENERATE_TOKEN_HLS_COOKIELESS
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID
            tokenQueryParameter: LONG_TOKEN_NAME

#EXTM3U
#EXT-X-STREAM-INF:BANDWIDTH=1280000,AVERAGE-BANDWIDTH=1000000
http://example.com/HLS_PRIMARY_PLAYLIST.m3u8?LONG_TOKEN_NAME=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

Console

gcloud e YAML

Edite o arquivo YAML:

    - priority: 2
      description: "SEGMENTS_ROUTE_DESCRIPTION"
      origin: "ORIGIN_NAME"
      matchRules:
      - pathTemplateMatch: "/**.m3u8" # HLS media playlists
      - pathTemplateMatch: "/**.ts" # HLS segments
      - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
      routeAction:
        cdnPolicy:
          cacheMode: CACHE_ALL_STATIC
          signedRequestMode: REQUIRE_TOKENS
          signedRequestKeyset: LONG_KEYSET_NAME

Cookies

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_MASTER_PLAYLIST.m3u8" # HLS primary playlists
        - pathTemplateMatch: "/DASH_MANIFESTS.mpd" # DASH manifests
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            addSignatures:
              actions:
                - GENERATE_COOKIE
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        - pathTemplateMatch: "/**.ts" # HLS segments
        - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME

Parâmetros de consulta do URL

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_PRIMARY_PLAYLIST.m3u8" # HLS primary playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            signedTokenOptions:
              tokenQueryParameter: SHORT_TOKEN_NAME
            addSignatures:
              actions:
                - GENERATE_TOKEN_HLS_COOKIELESS
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              tokenQueryParameter: LONG_TOKEN_NAME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "PLAYLIST_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME
            addSignatures:
              actions:
                - PROPAGATE_TOKEN_HLS_COOKIELESS
      - priority: 3
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.ts" # HLS segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME