使用雙重權杖驗證

Ed25519 簽章

1. 產生私密金鑰：

   openssl genpkey -algorithm ed25519 -outform PEM -out SSL_KEY_NAME.private.key
   

   將 SSL_KEY_NAME 替換為鍵名稱。

2. 從私密金鑰產生公開金鑰：

   openssl pkey -outform DER -pubout -in SSL_KEY_NAME.private.key |\
   tail -c +13 |\
   python3 -c "import base64, sys; print(('%s' % base64.urlsafe_b64encode(sys.stdin.buffer.read()))[2:-1])"
   

3. 使用單一公開金鑰建立新的金鑰組：

   主控台

   1. 前往 Google Cloud 控制台的「Media CDN」頁面。

      前往 Media CDN

   2. 按一下「Keyset」分頁標籤。

   3. 按一下「add 建立鍵組」。

   4. 在「Name」 中輸入不重複的鍵組名稱。

   5. 選用：在「說明」中輸入鍵組的說明。

   6. 選用：按一下「Add label」(新增標籤)，然後為鍵組輸入一或多個鍵/值組合。

   7. 按一下「新增公開金鑰」，然後執行下列操作：

      1. 在「ID」中輸入英數字元 ID。
      2. 選取「輸入值」，然後指定 Ed25519 公開金鑰的 Base64 編碼值。

   8. 按一下「建立金鑰組」。

   gcloud

   使用 gcloud edge-cache keysets create 指令。

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --public-key='id=SSL_PUBLIC_KEY_NAME,value=SSL_PUBLIC_KEY_VALUE'
   

   更改下列內容：

   • SHORT_KEYSET_NAME：不重複的鍵組名稱，例如 prod-vod-keyset
   • SSL_PUBLIC_KEY_NAME：SSL 公開金鑰的名稱
   • SSL_PUBLIC_KEY_VALUE：SSL 公開金鑰的值

   如要查看與鍵組相關聯的鍵，請使用 gcloud edge-cache keysets describe 指令。

   gcloud edge-cache keysets describe prod-vod-keyset
   

   輸出結果會與下列內容相似：

   name: prod-vod-keyset
   description: "Keyset for prod.example.com"
   publicKeys:
   - id: "key-20200918"
     value: "DThVLjhAKm3VYOvLBAwFZ5XbjVyF98Ias8NZU0WEM9w"
   - id: "key-20200808"
     value: "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA="
   

   Terraform

   resource "google_network_services_edge_cache_keyset" "default" {
     name        = "prod-vod-keyset"
     description = "Keyset for prod.example.com"
     public_key {
       id    = "key-20200918"
       value = "FHsTyFHNmvNpw4o7-rp-M1yqMyBF8vXSBRkZtkQ0RKY" # Update Ed25519 public key
     }
     public_key {
       id    = "key-20200808"
       value = "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA=" # Update Ed25519 public key
     }
   }

對稱金鑰 HMAC

1. 如果您之前未使用過 Secret Manager，請設定 Secret Manager。

2. 建立密鑰。

3. 以二進位格式新增密鑰版本。

4. 將 Secret Manager 存取權角色 (roles/secretmanager.secretAccessor) 授予 Media CDN 服務帳戶：

   主控台

   1. 前往 Google Cloud 控制台的「Secret Manager」頁面。

      前往 Secret Manager

   2. 勾選機密名稱旁的核取方塊。

   3. 按一下「顯示資訊面板」。

   4. 在資訊面板中，按一下「新增主體」。

   5. 在「新增主體」中，輸入 Media CDN 服務帳戶的格式如下：

      service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com
      

      將 PROJECT_NUMBER 替換為您的專案編號。

   6. 在「請選取角色」中，依序選取「Secret Manager」和「Secret Manager Secret Accessor」。

   gcloud

   使用 gcloud secrets add-iam-policy-binding 指令。

   gcloud secrets add-iam-policy-binding projects/PROJECT_NUMBER/secrets/SECRET_ID \
     --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com" \
     --role="roles/secretmanager.secretAccessor"
   

   更改下列內容：

   • PROJECT_NUMBER：您的專案編號
   • SECRET_ID：密鑰 ID

5. 存取密鑰版本，並複製密鑰路徑 (包括版本編號)。

6. 在驗證共用金鑰中使用共用密鑰建立新的金鑰組：

   主控台

   1. 前往 Google Cloud 控制台的「Media CDN」頁面。

      前往 Media CDN

   2. 按一下「Keyset」分頁標籤。

   3. 按一下「add 建立鍵組」。

   4. 在「Name」 中輸入不重複的鍵組名稱。

   5. 選用：在「說明」中輸入鍵組的說明。

   6. 選用：按一下「Add label」(新增標籤)，然後為鍵組輸入一或多個鍵/值組合。

   7. 如要指定驗證共用金鑰，請按一下「新增驗證共用金鑰」，然後執行下列操作：

      1. 如要設定「密鑰」，請從清單中選取密鑰、指定資源 ID 手動輸入密鑰，或是建立新的密鑰，然後選取密鑰。

      2. 針對「Secret version」，請從清單中選取版本，或建立新的密鑰版本，然後選取該版本。

   8. 按一下「建立金鑰組」。

   gcloud

   使用 gcloud edge-cache keysets create 指令。

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --validation-shared-key='secret_version=projects/PROJECT_NUMBER/secrets/SECRET_ID/versions/KEY_VERSION'
   

   更改下列內容：

   • SHORT_KEYSET_NAME：鍵集的專屬名稱，例如 prod-vod-keyset
   • PROJECT_NUMBER：您的專案 ID
   • SECRET_ID：密鑰的資源 ID
   • KEY_VERSION：您要使用的密鑰版本

主控台

1. 建立或修改鍵組。

2. 在「Keys」部分中，選取「UseGoogle-owned and managed key for dual-token authentication」。

gcloud 和 YAML

請使用下列任一選項：

• 建立 Google 代管的簽署金鑰：

  gcloud edge-cache keysets create LONG_KEYSET_NAME \
      --public-key='id=google-managed-key,managed=true'
  

  將 LONG_KEYSET_NAME 替換為鍵名稱，例如 prod-vod-keyset-long。

• 修改現有鍵組：

  1. 將鍵組匯出為 YAML 檔案。使用 gcloud edge-cache keysets export 指令。

     gcloud edge-cache keysets export LONG_KEYSET_NAME \
        --destination=prod-vod-keyset-long.yaml
     

  2. 在文字編輯器或設定管理工具中，編輯鍵集設定，使其看起來類似下列內容：

     name: projects/my-project/locations/global/edgeCacheKeysets/LONG_KEYSET_NAME
     publicKeys:
     - id: some-key
       value: MC4CAQAwBQYDK2VwBCIEINV2iYugIWBuvGBJUQ_Ab69E4v4zcVqvgYHw-iZxGzcd
     - id: google-managed-key
       managed: true
     

  3. 匯入已編輯的鍵組。使用 gcloud edge-cache keysets import 指令：

     gcloud edge-cache keysets import LONG_KEYSET_NAME \
         --source=prod-vod-keyset-long.yaml
     

控制台

在主要資訊清單路徑上啟用短時間權杖驗證：

1. 前往 Google Cloud 控制台的「Media CDN」頁面。

   前往 Media CDN

2. 如要開啟服務的「詳細資料」頁面，請按一下服務名稱。

3. 如要切換至編輯模式，請按一下「編輯」按鈕。

4. 如要前往「路由」部分，請按一下「下一步」。

5. 展開要新增主要資訊清單路由規則的主機規則。

6. 按一下「Add route rule」(新增轉送規則)。

   如要編輯路由規則，請按一下相應資料列中的 edit「編輯」。

7. 在「Edit route rule」窗格中，針對「Priority」設定值，例如 1。

8. 在「說明」中，提供簡短說明，方便在規則清單中識別規則。

9. 在「比對」部分中，按一下「新增比對條件」。接著，請按照下列步驟操作：

   1. 在「比對類型」中，選取「路徑範本比對」。
   2. 在「Path match」(路徑比對) 部分，指定 HLS 主要播放清單 (M3U8) 或 DASH 資訊清單 (MPD) 檔案的名稱或路徑範本。詳情請參閱「路徑比對」。

10. 按一下 [Advanced configurations] (進階設定)。

11. 在「Route action」(轉送動作) 部分，按一下「Add an item」(新增項目)。

12. 在「Type」(類型) 部分，選取「CDN policy」(CDN 政策)。

13. 在「已簽署的要求」部分的「已簽署的要求模式」中，選取「需要權杖」。

14. 在「已簽署的要求金鑰組」部分中，執行下列操作：

    1. 如要指定短時間長度的符記的鍵組，請按一下「選取鍵組」，然後選取短時間長度的符記鍵組。

       如要建立包含所需鍵的新鍵組，請按一下「Create new keyset」。然後選取該項目。

    2. 在「簽章演算法」部分，選取「使用公開金鑰的 Ed25519」。

    3. 在「權杖查詢參數」中，保留預設值 edge-cache-token。

       或者，如果您打算使用 HLS 資訊清單網址查詢參數，而非 Cookie 進行驗證，請指定要儲存要求權杖的參數。

    4. 針對「Max time to live」，請以秒為單位，指定傳入要求權杖的生命週期上限。

15. 如要儲存「路由動作」部分的變更，請按一下「完成」。

16. 如要儲存路由規則中的變更，請按一下「儲存」。

gcloud 和 YAML

1. 將 Media CDN 設定匯出至 YAML 檔案。使用 gcloud edge-cache services export 指令。

   gcloud edge-cache services export SERVICE_NAME \
       --destination=FILENAME.yaml
   

   更改下列內容：

   • SERVICE_NAME：服務名稱
   • FILENAME：YAML 檔案名稱

2. 如要在主要資訊清單路由規則中啟用短時間權杖驗證，請在 YAML 檔案的路由 cdnPolicy 部分指定 signedTokensOptions 設定。

     pathMatchers:
     - name: "ROUTE_NAME"
       routeRules:
       - priority: 1
         description: "ROUTE_DESCRIPTION"
         origin: "ORIGIN_NAME"
         matchRules:
         - pathTemplateMatch: "/MANIFEST_OR_PLAYLIST"
         routeAction:
           cdnPolicy:
             cacheMode: CACHE_ALL_STATIC
             signedRequestMode: REQUIRE_TOKENS
             signedRequestKeyset: SHORT_KEYSET_NAME
             signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
             signedTokenOptions:
               tokenQueryParameter: SHORT_TOKEN_NAME
   

   更改下列內容：

   • ROUTE_NAME：路徑規則名稱
   • ROUTE_DESCRIPTION：轉送規則的說明
   • ORIGIN_NAME：來源名稱
   • MANIFEST_OR_PLAYLIST：HLS 主要播放清單 (M3U8) 或 DASH 資訊清單 (MPD) 檔案的名稱。詳情請參閱「路徑比對」。
   • SHORT_KEYSET_NAME：用於短時間長度的符記的鍵組名稱
   • SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME：已簽署要求的到期時間，例如 600s。詳情請參閱 signedRequestMaximumExpirationTtl。
   • 選用：SHORT_TOKEN_NAME：用於尋找短代碼的查詢參數。預設值為 edge-cache-token。詳情請參閱 SignedTokenOptions。

   使用對稱金鑰 HMAC 時，請在 signedTokenOptions 部分附加 allowedSignatureAlgorithms，其值為 HMAC_SHA_256：

          allowedSignatureAlgorithms:
          - HMAC_SHA_256
   

3. 如要更新服務，請從 YAML 檔案匯入 Media CDN 設定。使用 gcloud edge-cache services import 指令。

   gcloud edge-cache services import SERVICE_NAME \
       --source=FILENAME.yaml
   

控制台

修改主要資訊清單路徑規則，讓 Media CDN 能夠在路徑上產生長時間代碼：

1. 在「編輯路由規則」頁面中，按一下「進階設定」。
2. 在「Type」(類型) 部分，選取「CDN policy」(CDN 政策)。
3. 展開「雙重權杖驗證」。
4. 針對「Signature action」，選取「Generate new long-duration token」。

5. 在「Signature type」(簽名類型) 部分，選取下列任一選項：

   • 使用 Cookie (適用於 HLS 和 DASH 串流)：設定 Media CDN 以傳回包含主要資訊清單回應的 Edge-Cache-Cookie。
   • 透過 HLS 即時串流資訊清單 URI 查詢參數 (沒有 Cookie)：設定 Media CDN，透過在每個網址後面附加長期權杖來操控 HLS 主要資訊清單。

6. 在「Generate new long-duration token」部分，執行以下操作：

   1. 如要指定長時間長度的符記的鍵組，請按一下「選取鍵組」，然後選取長時間長度的符記鍵組。

      或者，您也可以按一下「Create new keyset」，建立包含所需鍵的新鍵組。然後選取該項目。

   2. 針對「Token TTL」，以秒為單位指定長時間長度的權杖的最大生命週期。

   3. 針對「Signature type」(簽名類型)，如果您選取「via cookies」(透過 Cookie) 選項，請在「Copied parameters」(複製的參數) 部分選取要讓 Media CDN 從短期權杖複製到長期權杖的參數。如要使用雙權杖驗證，您必須選取 PathGlobs (或其別名 acl 或 paths) 或 URLPrefix。

      如果您選取「透過 HTTP 即時串流資訊清單 URI 查詢參數」選項，請保留「權杖查詢參數」的預設值 edge-cache-token。

7. 如要儲存「路由動作」部分的變更，請按一下「完成」。

8. 如要儲存路由規則中的變更，請按一下「儲存」。

   系統會顯示訊息，詢問您要自動或手動建立媒體播放清單和片段的路徑。如果選取自動選項，系統會為 Cookie 簽名建立單一新路徑，並為無 Cookie 簽名建立兩個路徑。如果您選取手動選項，請繼續閱讀下一個部分。

gcloud 和 YAML

修改主要資訊清單路徑規則的 addSignatures 部分，讓 Media CDN 在路徑上產生長時間長度的符記：

          addSignatures:
            actions:
              - GENERATE_COOKIE
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID

Set-Cookie: Edge-Cache-Cookie=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

          addSignatures:
            actions:
              - GENERATE_TOKEN_HLS_COOKIELESS
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID
            tokenQueryParameter: LONG_TOKEN_NAME

#EXTM3U
#EXT-X-STREAM-INF:BANDWIDTH=1280000,AVERAGE-BANDWIDTH=1000000
http://example.com/HLS_PRIMARY_PLAYLIST.m3u8?LONG_TOKEN_NAME=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

控制台

gcloud 和 YAML

編輯 YAML 檔案：

    - priority: 2
      description: "SEGMENTS_ROUTE_DESCRIPTION"
      origin: "ORIGIN_NAME"
      matchRules:
      - pathTemplateMatch: "/**.m3u8" # HLS media playlists
      - pathTemplateMatch: "/**.ts" # HLS segments
      - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
      routeAction:
        cdnPolicy:
          cacheMode: CACHE_ALL_STATIC
          signedRequestMode: REQUIRE_TOKENS
          signedRequestKeyset: LONG_KEYSET_NAME

Cookie

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_MASTER_PLAYLIST.m3u8" # HLS primary playlists
        - pathTemplateMatch: "/DASH_MANIFESTS.mpd" # DASH manifests
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            addSignatures:
              actions:
                - GENERATE_COOKIE
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        - pathTemplateMatch: "/**.ts" # HLS segments
        - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME

網址查詢參數

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_PRIMARY_PLAYLIST.m3u8" # HLS primary playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            signedTokenOptions:
              tokenQueryParameter: SHORT_TOKEN_NAME
            addSignatures:
              actions:
                - GENERATE_TOKEN_HLS_COOKIELESS
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              tokenQueryParameter: LONG_TOKEN_NAME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "PLAYLIST_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME
            addSignatures:
              actions:
                - PROPAGATE_TOKEN_HLS_COOKIELESS
      - priority: 3
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.ts" # HLS segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME