Usar a autenticação de dois tokens

Assinatura Ed25519

1. Gere uma chave privada:

   openssl genpkey -algorithm ed25519 -outform PEM -out SSL_KEY_NAME.private.key
   

   Substitua SSL_KEY_NAME pelo nome de uma chave.

2. Gere uma chave pública da chave privada:

   openssl pkey -outform DER -pubout -in SSL_KEY_NAME.private.key |\
   tail -c +13 |\
   python3 -c "import base64, sys; print(('%s' % base64.urlsafe_b64encode(sys.stdin.buffer.read()))[2:-1])"
   

3. Crie um novo conjunto de chaves com uma única chave pública:

   Console

   1. No console Google Cloud , acesse a página Media CDN.

      Acesse Media CDN

   2. Clique na guia Conjuntos de chaves.

   3. Clique em addCriar conjunto de chaves.

   4. Em Nome, insira um nome exclusivo para o conjunto de chaves.

   5. Opcional: em Descrição, insira uma descrição para o conjunto de chaves.

   6. Opcional: clique em Adicionar rótulo e insira um ou mais pares de chave-valor para o conjunto de chaves.

   7. Clique em Adicionar chave pública e faça o seguinte:

      1. Em ID, insira um ID alfanumérico.
      2. Selecione Inserir o valor e especifique o valor codificado em base64 da sua chave pública Ed25519.

   8. Clique em Criar conjunto de chaves.

   gcloud

   Use o comando gcloud edge-cache keysets create.

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --public-key='id=SSL_PUBLIC_KEY_NAME,value=SSL_PUBLIC_KEY_VALUE'
   

   Substitua:

   • SHORT_KEYSET_NAME: um nome exclusivo para o conjunto de chaves, por exemplo, prod-vod-keyset
   • SSL_PUBLIC_KEY_NAME: o nome da chave pública SSL
   • SSL_PUBLIC_KEY_VALUE: o valor da sua chave pública SSL

   Para revisar as chaves associadas ao conjunto de chaves, use o comando gcloud edge-cache keysets describe.

   gcloud edge-cache keysets describe prod-vod-keyset
   

   O resultado será assim:

   name: prod-vod-keyset
   description: "Keyset for prod.example.com"
   publicKeys:
   - id: "key-20200918"
     value: "DThVLjhAKm3VYOvLBAwFZ5XbjVyF98Ias8NZU0WEM9w"
   - id: "key-20200808"
     value: "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA="
   

   Terraform

   resource "google_network_services_edge_cache_keyset" "default" {
     name        = "prod-vod-keyset"
     description = "Keyset for prod.example.com"
     public_key {
       id    = "key-20200918"
       value = "FHsTyFHNmvNpw4o7-rp-M1yqMyBF8vXSBRkZtkQ0RKY" # Update Ed25519 public key
     }
     public_key {
       id    = "key-20200808"
       value = "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA=" # Update Ed25519 public key
     }
   }

HMAC de chave simétrica

1. Se você nunca usou o Secret Manager, configure o serviço.

2. Criar um secret.

3. Adicione uma versão do secret em formato binário.

4. Conceda o papel de acesso ao Secret Manager (roles/secretmanager.secretAccessor) à conta de serviço da Media CDN:

   Console

   1. No console Google Cloud , acesse a página Secret Manager.

      Acessar o Secret Manager

   2. Marque a caixa de seleção ao lado do nome do secret.

   3. Clique em Mostrar painel de informações.

   4. No painel de informações, clique em Adicionar participante.

   5. Em Novos principais, insira a conta de serviço da CDN de mídia neste formato:

      service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com
      

      Substitua PROJECT_NUMBER pelo número do projeto.

   6. Em Selecionar um papel, escolha Secret Manager e depois Acessador de secrets do Secret Manager.

   gcloud

   Use o comando gcloud secrets add-iam-policy-binding

   gcloud secrets add-iam-policy-binding projects/PROJECT_NUMBER/secrets/SECRET_ID \
     --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com" \
     --role="roles/secretmanager.secretAccessor"
   

   Substitua:

   • PROJECT_NUMBER: o ID do seu projeto
   • SECRET_ID: o ID do secret

5. Acesse as versões do secret e copie os caminhos do secret, incluindo os números das versões.

6. Crie um novo conjunto de chaves com os segredos compartilhados em uma chave compartilhada de validação:

   Console

   1. No console Google Cloud , acesse a página Media CDN.

      Acesse Media CDN

   2. Clique na guia Conjuntos de chaves.

   3. Clique em addCriar conjunto de chaves.

   4. Em Nome, insira um nome exclusivo para o conjunto de chaves.

   5. Opcional: em Descrição, insira uma descrição para o conjunto de chaves.

   6. Opcional: clique em Adicionar rótulo e insira um ou mais pares de chave-valor para o conjunto de chaves.

   7. Para especificar uma chave compartilhada de validação, clique em Adicionar chave compartilhada de validação e faça o seguinte:

      1. Em Secret, selecione um secret na lista, insira um secret manualmente especificando o ID do recurso ou crie um novo secret e selecione-o.

      2. Em Versão do secret, selecione uma versão na lista ou crie uma nova versão do secret e selecione-a.

   8. Clique em Criar conjunto de chaves.

   gcloud

   Use o comando gcloud edge-cache keysets create.

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --validation-shared-key='secret_version=projects/PROJECT_NUMBER/secrets/SECRET_ID/versions/KEY_VERSION'
   

   Substitua:

   • SHORT_KEYSET_NAME: um nome exclusivo para o conjunto de chaves, por exemplo, prod-vod-keyset
   • PROJECT_NUMBER: ID do projeto;
   • SECRET_ID: o ID do recurso do secret
   • KEY_VERSION: a versão do secret que você quer usar

Console

1. Crie ou modifique um conjunto de chaves.

2. Na seção Chaves, selecione Usar Google-owned and managed key para autenticação de dois tokens.

gcloud e YAML

Use uma das seguintes opções:

• Crie uma chave de assinatura gerenciada pelo Google:

  gcloud edge-cache keysets create LONG_KEYSET_NAME \
      --public-key='id=google-managed-key,managed=true'
  

  Substitua LONG_KEYSET_NAME por um nome de chave, por exemplo, prod-vod-keyset-long.

• Modificar um conjunto de chaves:

  1. Exporte o conjunto de chaves para um arquivo YAML. Use o comando gcloud edge-cache keysets export.

     gcloud edge-cache keysets export LONG_KEYSET_NAME \
        --destination=prod-vod-keyset-long.yaml
     

  2. Em um editor de texto ou na ferramenta de gerenciamento de configuração, edite a configuração do conjunto de chaves para que ela fique semelhante a esta:

     name: projects/my-project/locations/global/edgeCacheKeysets/LONG_KEYSET_NAME
     publicKeys:
     - id: some-key
       value: MC4CAQAwBQYDK2VwBCIEINV2iYugIWBuvGBJUQ_Ab69E4v4zcVqvgYHw-iZxGzcd
     - id: google-managed-key
       managed: true
     

  3. Importe o conjunto de chaves editado. Use o comando gcloud edge-cache keysets import (em inglês).

     gcloud edge-cache keysets import LONG_KEYSET_NAME \
         --source=prod-vod-keyset-long.yaml
     

Console

Ative a autenticação de token de curta duração na rota do manifesto principal:

1. No console Google Cloud , acesse a página Media CDN.

   Acesse Media CDN

2. Para abrir a página Detalhes de um serviço, clique no nome dele.

3. Para mudar para o modo de edição, clique no botão Editar.

4. Para navegar até a seção Roteamento, clique em Próxima.

5. Expanda a regra de host a que você quer adicionar a regra de rota do manifesto principal.

6. Clique em Adicionar regra de rota.

   Para editar uma regra de rota, clique em editEditar na linha correspondente.

7. No painel Editar regra de rota, em Prioridade, defina um valor, por exemplo, 1.

8. Em Descrição, forneça uma breve descrição que ajude a identificar a regra na lista.

9. Na seção Correspondência, clique em Adicionar uma condição de correspondência. Em seguida, faça o seguinte:

   1. Em Tipo de correspondência, selecione Correspondência de modelo de caminho.
   2. Em Correspondência de caminho, especifique os nomes ou modelos de caminho para a playlist principal HLS (M3U8) ou o arquivo de manifesto DASH (MPD). Para mais informações, consulte Correspondência de caminho.

10. Clique em Configurações avançadas.

11. Na seção Rota de ação, clique em Adicionar um item.

12. Em Tipo, selecione Política de CDN.

13. Na seção Solicitação assinada, em Modo de solicitação assinada, selecione Exigir tokens.

14. Na seção Conjunto de chaves de solicitação assinada, faça o seguinte:

    1. Para especificar o conjunto de chaves para tokens de curta duração, clique em Selecionar um conjunto de chaves e escolha seu conjunto de chaves de token de curta duração.

       Se preferir, clique em Criar novo conjunto de chaves para criar um com as chaves necessárias. Em seguida, selecione-o.

    2. Em Algoritmo de assinatura, selecione Ed25519 usando chaves públicas.

    3. Em Parâmetro de consulta do token, mantenha o valor padrão, edge-cache-token.

       Como alternativa, se você planeja usar parâmetros de consulta de URL do manifesto HLS em vez de cookies para autenticação, especifique o parâmetro em que os tokens de solicitação serão armazenados.

    4. Em Tempo máximo de vida, especifique, em segundos, o ciclo de vida máximo dos tokens de solicitação recebidos.

15. Para salvar as mudanças na seção Ação de rota, clique em Concluído.

16. Para salvar as mudanças na regra de rota, clique em Salvar.

gcloud e YAML

1. Exporte sua configuração da Media CDN para um arquivo YAML. Use o comando gcloud edge-cache services export.

   gcloud edge-cache services export SERVICE_NAME \
       --destination=FILENAME.yaml
   

   Substitua:

   • SERVICE_NAME: o nome do serviço;
   • FILENAME : o nome do arquivo YAML

2. Para ativar a autenticação de token de curta duração na regra de rota do manifesto principal, na seção cdnPolicy da rota no arquivo YAML, especifique uma configuração signedTokensOptions.

     pathMatchers:
     - name: "ROUTE_NAME"
       routeRules:
       - priority: 1
         description: "ROUTE_DESCRIPTION"
         origin: "ORIGIN_NAME"
         matchRules:
         - pathTemplateMatch: "/MANIFEST_OR_PLAYLIST"
         routeAction:
           cdnPolicy:
             cacheMode: CACHE_ALL_STATIC
             signedRequestMode: REQUIRE_TOKENS
             signedRequestKeyset: SHORT_KEYSET_NAME
             signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
             signedTokenOptions:
               tokenQueryParameter: SHORT_TOKEN_NAME
   

   Substitua:

   • ROUTE_NAME: o nome da regra de rota
   • ROUTE_DESCRIPTION: uma descrição da regra de rota.
   • ORIGIN_NAME: o nome da origem
   • MANIFEST_OR_PLAYLIST: o nome da playlist principal HLS (M3U8) ou do arquivo de manifesto DASH (MPD). Para mais informações, consulte Correspondência de caminho.
   • SHORT_KEYSET_NAME: o nome do conjunto de chaves a ser usado para tokens de curta duração
   • SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME: o prazo de validade das solicitações assinadas, por exemplo, 600s. Para mais informações, consulte signedRequestMaximumExpirationTtl.
   • Opcional: SHORT_TOKEN_NAME: o parâmetro de consulta em que o token curto será encontrado. O valor padrão é edge-cache-token. Veja mais informações em SignedTokenOptions.

   Ao usar HMACs de chave simétrica, na seção signedTokenOptions, adicione allowedSignatureAlgorithms com o valor HMAC_SHA_256:

          allowedSignatureAlgorithms:
          - HMAC_SHA_256
   

3. Para atualizar o serviço, importe a configuração da Media CDN do arquivo YAML. Use o comando gcloud edge-cache services import.

   gcloud edge-cache services import SERVICE_NAME \
       --source=FILENAME.yaml
   

Console

Modifique a regra de rota do manifesto principal para que a Media CDN possa gerar tokens de longa duração na rota:

1. Na página Editar regra de rota, clique em Configurações avançadas.
2. Em Tipo, selecione Política de CDN.
3. Expanda Autenticação de dois tokens.
4. Em Ação de assinatura, selecione Gerar novo token de longa duração.

5. Em Tipo de assinatura, selecione uma das seguintes opções:

   • por cookies (para streaming HLS e DASH): configura a Media CDN para retornar um Edge-Cache-Cookie com a resposta do manifesto principal.
   • por parâmetros de consulta de URL do manifesto HLS (sem cookies): configura a Media CDN para manipular o manifesto principal do HLS anexando um token de longa duração a cada URL.

6. Na seção Gerar novo token de longa duração, faça o seguinte:

   1. Para especificar um conjunto de chaves para tokens de longa duração, clique em Selecionar um conjunto de chaves e escolha seu conjunto de chaves de token de longa duração.

      Ou clique em Criar novo conjunto de chaves para criar um conjunto com as chaves necessárias. Em seguida, selecione-o.

   2. Em TTL do token, especifique, em segundos, o tempo máximo de vida útil do token de longa duração.

   3. Em Tipo de assinatura, se você selecionou a opção via cookies, na seção Parâmetros copiados, selecione os parâmetros que você quer que a Media CDN copie do token de curta duração para o de longa duração. Para usar a autenticação com dois tokens, selecione PathGlobs (ou um dos aliases, acl ou paths) ou URLPrefix.

      Se você selecionou a opção por parâmetros de consulta URI do manifesto HLS, mantenha o valor padrão edge-cache-token em Parâmetro de consulta de token.

7. Para salvar as mudanças na seção Ação de rota, clique em Concluído.

8. Para salvar as mudanças na regra de rota, clique em Salvar.

   Uma mensagem vai aparecer perguntando se você quer criar as rotas para playlists e segmentos de mídia de forma automática ou manual. Se você selecionar a opção automática, uma única nova rota será criada para a assinatura de cookies e duas rotas para a assinatura sem cookies. Se você selecionar a opção manual, siga para a próxima seção.

gcloud e YAML

Modifique a seção addSignatures da regra de rota do manifesto principal para que a Media CDN possa gerar tokens de longa duração na rota:

          addSignatures:
            actions:
              - GENERATE_COOKIE
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID

Set-Cookie: Edge-Cache-Cookie=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

          addSignatures:
            actions:
              - GENERATE_TOKEN_HLS_COOKIELESS
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID
            tokenQueryParameter: LONG_TOKEN_NAME

#EXTM3U
#EXT-X-STREAM-INF:BANDWIDTH=1280000,AVERAGE-BANDWIDTH=1000000
http://example.com/HLS_PRIMARY_PLAYLIST.m3u8?LONG_TOKEN_NAME=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

Console

gcloud e YAML

Edite o arquivo YAML:

    - priority: 2
      description: "SEGMENTS_ROUTE_DESCRIPTION"
      origin: "ORIGIN_NAME"
      matchRules:
      - pathTemplateMatch: "/**.m3u8" # HLS media playlists
      - pathTemplateMatch: "/**.ts" # HLS segments
      - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
      routeAction:
        cdnPolicy:
          cacheMode: CACHE_ALL_STATIC
          signedRequestMode: REQUIRE_TOKENS
          signedRequestKeyset: LONG_KEYSET_NAME

Cookies

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_MASTER_PLAYLIST.m3u8" # HLS primary playlists
        - pathTemplateMatch: "/DASH_MANIFESTS.mpd" # DASH manifests
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            addSignatures:
              actions:
                - GENERATE_COOKIE
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        - pathTemplateMatch: "/**.ts" # HLS segments
        - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME

Parâmetros de consulta do URL

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_PRIMARY_PLAYLIST.m3u8" # HLS primary playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            signedTokenOptions:
              tokenQueryParameter: SHORT_TOKEN_NAME
            addSignatures:
              actions:
                - GENERATE_TOKEN_HLS_COOKIELESS
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              tokenQueryParameter: LONG_TOKEN_NAME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "PLAYLIST_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME
            addSignatures:
              actions:
                - PROPAGATE_TOKEN_HLS_COOKIELESS
      - priority: 3
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.ts" # HLS segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME