Par défaut, le contenu distribué via ApsaraVideo VOD est public. Pour empêcher les téléchargements non autorisés et le hotlinking, activez la signature d'URL en complément d'autres mesures, telles que la protection contre le hotlinking basée sur le referer et les listes d'autorisation/de blocage d'adresses IP. La signature d'URL valide une chaîne de signature et un horodatage dans l'URL de requête afin de protéger les ressources de votre serveur d'origine.
Fonctionnement
La signature d'URL ApsaraVideo VOD coordonne les points de présence (POP) Alibaba Cloud CDN et votre serveur d'applications pour prévenir tout accès non autorisé. Les composants suivants interviennent :
Serveur d'applications : génère une URL signée selon des règles prédéfinies, notamment l'algorithme de signature et la clé.
Application ou navigateur de l'utilisateur : demande une ressource en envoyant l'URL signée à un POP CDN pour validation.
POP CDN : valide les informations contenues dans l'URL signée, telles que la chaîne de signature et l'horodatage.
Le processus d'authentification se déroule comme suit :
Configurez les règles de génération d'une URL signée sur votre serveur d'applications.
Un client demande une URL signée à votre serveur d'applications.
Votre serveur d'applications renvoie une URL signée pour la ressource demandée.
Le client utilise l'URL signée pour demander la ressource auprès d'un POP CDN.
-
Le POP CDN valide les informations d'authentification présentes dans l'URL signée.
Si l'authentification échoue, la requête est refusée.
Si l'authentification réussit, le POP CDN traite la requête.
-
En cas de succès de l'authentification, le POP CDN sert la ressource selon sa logique de mise en cache.
RemarqueSi la requête entraîne un manque de cache (cache miss), le POP CDN récupère les données depuis l'origine. Avant cela, il supprime les paramètres d'authentification de l'URL signée pour restaurer l'URL d'origine (par exemple,
http://DomainName/FileName). Le POP CDN utilise ensuite cette URL d'origine pour générer une clé de cache ou récupérer le contenu depuis votre serveur d'origine.Après avoir authentifié l'URL de requête, le CDN échappe les caractères spéciaux présents dans l'URL, tels que
=et+.
Activer et configurer la signature d'URL
Assurez-vous d'avoir configuré les règles de génération d'une URL signée sur votre serveur d'applications, y compris l'algorithme de signature et la clé.
La logique de signature d'URL dans ApsaraVideo VOD doit correspondre à celle de votre serveur d'applications.
Connectez-vous à la console ApsaraVideo VOD.
Dans le volet de navigation de gauche, sélectionnez Configuration Management > CDN Configuration > Domain Names.
Repérez le nom de domaine à configurer et cliquez sur Configure dans la colonne Actions.
Cliquez sur Resource Access Control.
Accédez à l'onglet URL Signing et cliquez sur Modify dans la section Set URL Signing.
-
Activez URL Signing et configurez les paramètres d'authentification.
Le tableau suivant décrit les paramètres.
Parameter
Description
Type
ApsaraVideo VOD prend en charge trois méthodes de signature. Choisissez celle qui correspond au format d'URL signée requis :
RemarqueUne erreur de signature d'URL renvoie un code d'état 403.
-
Erreurs de hachage MD5
Exemple :
X-Tengine-Error:denied by req auth: invalid md5hash=de7bfdc915ced05e17380a149bd7**** -
Erreurs d'horodatage
Exemple :
X-Tengine-Error:denied by req auth: expired timestamp=143946****
Primary Key
Saisissez la clé principale pour la méthode de signature sélectionnée. La clé doit comporter entre 6 et 32 caractères et contenir uniquement des lettres majuscules, des lettres minuscules et des chiffres.
Secondary Key
Saisissez la clé secondaire pour la méthode de signature sélectionnée. La clé doit comporter entre 6 et 32 caractères et contenir uniquement des lettres majuscules, des lettres minuscules et des chiffres. Vous devez fournir au moins une clé (principale ou secondaire).
RemarqueL'utilisation d'une clé secondaire évite les interruptions de service en maintenant la validité des URLs signées avec l'ancienne clé lors de la rotation des clés.
Default Validity Period
Durée pendant laquelle une URL signée reste valide. L'accès est autorisé jusqu'à l'horodatage de l'URL plus cette période de validité.
-
Valeur par défaut : 30. Unité : minutes.
-
Exemple : si le serveur de signature génère une URL signée le 2020-08-15 à 15:00:00 (UTC+8) et que la période de validité par défaut est définie sur 30 minutes, l'URL signée expirera le 2020-08-15 à 15:30:00 (UTC+8).
Support Previewing
La fonctionnalité de prévisualisation permet aux utilisateurs de regarder ou d'écouter une partie d'un fichier multimédia, par exemple les cinq premières minutes. Elle est couramment utilisée pour les contenus basés sur un abonnement ou en paiement à la séance. Pour plus d'informations, consultez Prévisualiser des vidéos.
-
-
Cliquez sur OK pour enregistrer la configuration.
Une fois activée, la signature d'URL s'applique à tout le contenu diffusé via ce nom de domaine.
Pour les ressources gérées via la console ApsaraVideo VOD, la console génère automatiquement des URLs signées à durée limitée. Vous pouvez également obtenir une URL signée en appelant l'opération API GetPlayInfo.
RemarqueAprès activation de la signature d'URL, celle-ci s'applique aux URLs de tous les éléments, y compris les vidéos, les fichiers audio, les vignettes et les snapshots.
Désactiver la signature d'URL
Si vous désactivez la signature d'URL dans ApsaraVideo VOD mais que les requêtes clientes incluent toujours des paramètres de signature, ApsaraVideo VOD ne peut pas restaurer l'URL d'origine. Chaque requête entraîne alors un manque de cache (cache miss) et est transférée vers votre serveur d'origine, ce qui peut augmenter considérablement vos coûts. Pour éviter cela, désactivez la signature d'URL à la fois dans ApsaraVideo VOD et sur votre serveur d'applications.
Dans la section Set URL Signing, cliquez sur Modify.
Désactivez le commutateur Signed URL.
Supprimez les paramètres de signature des URLs de requête générées par votre serveur d'applications.
Générer une URL signée
Générer depuis la console
Après avoir configuré la signature d'URL, générez une URL signée depuis la console pour vérifier que la logique de signature est correcte.
-
Dans la section Generate Signed URL, configurez l'Original URL et les autres informations d'authentification.
Le tableau suivant décrit les paramètres.
Parameter
Description
Original URL
Saisissez l'URL d'origine complète. Exemple :
https://****.com/ecs.mp4.Type
Sélectionnez le type de signature (A, B ou C) choisi à l'étape Activer et configurer la signature d'URL.
Authentication Key
Selon les paramètres configurés dans Activer l'authentification et configurer une URL signée, saisissez votre Primary Key ou Secondary Key.
Validity Period
Saisissez la période de validité pour la signature d'URL selon la configuration spécifiée dans Activer la signature d'URL et configurer une URL signée. L'unité est la seconde. Par exemple : 1800.
-
Cliquez sur Generate. L'Signed URL et l'Timestamp s'affichent alors.
L'URL signée générée suit le format
https://<domain-name>/<path>?auth_key={timestamp}-0-0-{md5hash}. Vous pouvez cliquer sur le bouton Copy pour copier l'URL.
Générer avec un SDK
Intégrez le SDK ApsaraVideo VOD à votre serveur d'applications et appelez l'opération GetPlayInfo pour obtenir une URL de lecture avec les paramètres de signature.
Il n'est pas nécessaire de transmettre la Primary Key lors de l'appel de l'opération. Le système utilise automatiquement la clé configurée dans les paramètres URL Signing de la console pour générer les paramètres de signature. Vous pouvez utiliser le paramètre AuthTimeout du SDK pour spécifier la période de validité (en secondes) de l'URL de lecture. Si vous ne définissez pas ce paramètre, la période de validité par défaut configurée dans les paramètres URL Signing est utilisée.
Générer avec du code
Vous pouvez également écrire du code personnalisé pour générer une URL signée en utilisant l'une des trois méthodes de signature.