ApsaraVideo Live:Contrôle d'accès

Introduction

La signature d'URL fonctionne conjointement avec votre serveur métier pour offrir une méthode sécurisée de protection des ressources de flux en direct. Flux de travail :

1. Votre serveur métier génère une URL signée contenant les informations d'authentification.

2. L'utilisateur final utilise cette URL signée pour initier une requête d'ingestion de flux vers ApsaraVideo Live.

3. Un nœud périphérique d'ApsaraVideo Live décode et valide la signature de l'URL. Si celle-ci est invalide, la requête est rejetée.

Pour plus d'informations sur les scénarios applicables, la structure des URL signées et les principes de fonctionnement, consultez la rubrique URL d'ingestion et de streaming signées.

Procédure

1. Connectez-vous à la console ApsaraVideo Live.

2. Dans le volet de navigation de gauche, cliquez sur Domain Names. La page Domain Management s'affiche.

3. Recherchez le domaine d'ingestion à gérer, puis cliquez sur Domain Settings dans la colonne Actions.

4. Choisissez Streaming Management > Access Control.

5. Cliquez sur l'onglet URL Signing, puis sur Modify.

   La section de configuration de l'authentification comprend le bouton bascule URL Signing, le champ Authentication Type (par exemple, Type A), ainsi que les champs Primary Key, Secondary Key et Validity Period (en minutes).

   Remarque

   • La signature d'URL est activée par défaut lors de l'ajout d'un domaine. Pour la désactiver pour la première fois, vous devez reconnaître le risque d'utilisation non autorisée et signer l'accord de décharge de responsabilité.

   • Si la signature d'URL est activée, cliquez sur Modify pour mettre à jour les paramètres. Si vous l'avez précédemment désactivée, activez simplement le bouton bascule URL Signing pour la reconfigurer.

6. Configurez les paramètres de signature d'URL et cliquez sur OK.

   Paramètre	Description
   Authentication Type	Les domaines d'ingestion prennent uniquement en charge la signature de type A. Remarque Toutes les erreurs de signature d'URL renvoient une erreur 403. Dans ce cas, recalculez la signature. Pour diagnostiquer la cause exacte de l'échec, vérifiez l'en-tête X-Tengine-Error dans la réponse HTTP : Erreurs de calcul MD5 Exemple : X-Tengine-Error:denied by req auth: invalid md5hash=de7bfdc915ced05e17380a149bd760be Erreurs d'horodatage Exemple : X-Tengine-Error:denied by req auth: expired timestamp=1439469547
   Primary Key	Lors de l'ajout d'un domaine, la console génère aléatoirement une clé primaire. Vous pouvez également saisir une clé primaire personnalisée.
   Secondary Key	Saisissez un mot de passe de secours pour l'authentification par URL. Remarque Les clés primaire et secondaire ont la même validité. La clé secondaire sert principalement à assurer une rotation fluide des clés. Si vous mettez à jour la clé primaire, toutes les URL signées avec l'ancienne clé primaire deviennent invalides. Pour éviter toute interruption, copiez l'ancienne clé primaire dans le champ de la clé secondaire afin qu'elle continue de fonctionner pendant la transition.
   Validity Period	La période de validité définit la durée pendant laquelle l'URL signée reste valide pour initier une ingestion ou une lecture. L'ingestion et la lecture en direct utilisent des connexions persistantes. Une fois démarrées pendant la période de validité, ces sessions se poursuivent même après son expiration. Toutefois, les nouvelles requêtes d'ingestion ou de lecture échouent si l'URL a expiré. La période de validité par défaut pour un domaine nouvellement ajouté est de 1 jour (1 440 minutes). Vous pouvez personnaliser cette valeur en minutes.

Introduction

• Liste de blocage IP : l'accès au domaine accéléré est refusé aux adresses IP ajoutées à cette liste.

• Liste d'autorisation IP : seules les adresses IP ajoutées à cette liste peuvent accéder au domaine accéléré.

Procédure

1. Connectez-vous à la console ApsaraVideo Live.

2. Dans le volet de navigation de gauche, cliquez sur Domain Names. La page Domain Management s'affiche.

3. Recherchez le domaine d'ingestion à gérer, puis cliquez sur Domain Settings dans la colonne Actions.

4. Choisissez Streaming Management > Access Control.

5. Cliquez sur l'onglet IP Blacklist or Whitelist et activez la fonctionnalité.

6. Définissez le List Type et la Rule, puis cliquez sur OK.

   Les listes de blocage et d'autorisation sont mutuellement exclusives ; une seule peut être active à la fois. Vous pouvez configurer jusqu'à 1 000 adresses IPv6 ou 3 000 adresses IPv4. Séparez les entrées par des sauts de ligne, sans doublons. La notation CIDR est prise en charge (par exemple, 127.0.0.0/24). Les adresses IPv6 ne sont pas sensibles à la casse et ne prennent pas en charge le format abrégé ::.

   Type	Description
   IP Blacklist	L'accès au domaine accéléré est refusé aux adresses IP ajoutées à la liste de blocage.
   Whitelist	Seules les adresses IP ajoutées à la liste d'autorisation peuvent accéder au domaine accéléré.

Introduction

L'authentification distante et la signature d'URL protègent toutes deux les ressources de flux en direct en garantissant que seuls les utilisateurs autorisés peuvent y accéder. Elles diffèrent cependant par leur mise en œuvre :

• Signature d'URL : vous fournissez les règles d'authentification au centre de diffusion en direct, qui gère l'ensemble du processus d'authentification.

• Authentification distante : vous maintenez votre propre serveur d'authentification. Lorsque le centre de diffusion en direct reçoit une requête utilisateur, il la transfère à votre serveur d'authentification pour validation. Vous êtes responsable de la configuration et de la gestion de ce serveur. L'authentification distante ne prend pas en charge le protocole HTTP Live Streaming (HLS).

Le flux de données pour l'authentification distante est le suivant :

Procédure