Pengaturan HTTP/S - ApsaraVideo Live

HTTPS memastikan transmisi data yang aman melalui enkripsi dan verifikasi integritas. HTTP/2 meningkatkan efisiensi serta kecepatan transmisi melalui berbagai peningkatan teknis. Menggabungkan fitur-fitur ini memberikan pengguna pengalaman yang lebih cepat, lancar, dan aman.

Konfigurasikan HTTPS

Pendahuluan

HTTPS adalah ekstensi dari HTTP untuk komunikasi yang aman melalui jaringan. Dalam HTTPS, komunikasi dienkripsi menggunakan protokol Transport Layer Security (TLS) atau Secure Sockets Layer (SSL). Setelah Anda mengonfigurasi sertifikat SSL untuk nama domain, akses HTTP dan HTTPS didukung. Jika sertifikat tidak sesuai dengan nama domain atau dinonaktifkan, hanya akses HTTP yang didukung.

Manfaat

HTTPS mengenkripsi informasi sensitif seperti ID sesi dan cookie selama transmisi, mencegah ancaman keamanan akibat kebocoran informasi sensitif.
HTTPS memeriksa integritas data selama transmisi untuk melindungi terhadap serangan man-in-the-middle (MITM), seperti pembajakan DNS dan pemalsuan.

Sebelum Anda Memulai

Catatan tentang konfigurasi

Setelah menonaktifkan HTTPS untuk nama domain, hanya akses HTTP yang didukung. Sertifikat dan kunci privat tidak lagi tersedia. Untuk mengaktifkan kembali HTTPS, unggah sertifikat dan kunci privat lagi.
Anda dapat melihat informasi dasar tentang sertifikat. Namun, kunci privat tidak ditampilkan karena sifatnya yang sensitif.
Anda dapat mengubah atau mengedit sertifikat. Diperlukan sekitar 5 menit agar sertifikat yang diperbarui berlaku.
Sertifikat yang diunggah harus sesuai dengan kunci privat. Jika tidak, verifikasi akan gagal.

Catatan tentang sertifikat

ApsaraVideo Live mendukung sertifikat yang dibeli melalui Certificate Management Service dan sertifikat kustom.
ApsaraVideo Live menggunakan server web Tengine berbasis NGINX, sehingga hanya mendukung sertifikat PEM yang dapat dibaca oleh NGINX. Konten sertifikat dan kunci privat harus dalam format PEM.
ApsaraVideo Live hanya mendukung jabat tangan SSL/TLS yang mencakup informasi Server Name Indication (SNI).
Sistem tidak mendukung kunci privat yang memiliki kata sandi yang dikonfigurasi.

Prosedur

Langkah 1: Beli sertifikat

Untuk mengaktifkan HTTPS, Anda memerlukan sertifikat yang sesuai dengan nama domain yang dipercepat. Jika Anda tidak memilikinya, kunjungi halaman Certificate Management Service dan klik Purchase SSL Certificates. Jika Anda sudah memilikinya, lewati langkah ini.

Langkah 2: Aktifkan HTTPS untuk nama domain

Aktifkan HTTPS.
1. Masuk ke Konsol ApsaraVideo Live.
2. Di panel navigasi kiri, klik Domain Names. Halaman Domain Management akan muncul.
3. Pilih domain ingest yang ingin Anda konfigurasi untuk HTTPS, dan klik Domain Settings di kolom Actions.
4. Pilih Streaming Management > HTTPS Settings dan nyalakan sakelar HTTPS Certificate.
Unggah sertifikat.
- Sertifikat yang diterbitkan oleh Alibaba Cloud:
  Di kotak dialog HTTPS Settings, pilih Certificate Management Service sebagai jenis sertifikat. Kemudian, pilih sertifikat di Certificate Name. Konten dan kunci privat akan terisi secara otomatis.
- Sertifikat Kustom:
  Di kotak dialog HTTPS Settings, pilih Custom sebagai jenis sertifikat. Masukkan nama sertifikat dan unggah konten serta kunci privat dalam format PEM. Sertifikat ini akan disimpan di Konsol Layanan Manajemen Sertifikat.

Langkah 3: Verifikasi efektivitas sertifikat

Setelah menyelesaikan pengaturan, dibutuhkan sekitar satu menit agar sertifikat berlaku. Kemudian, akses sumber daya menggunakan HTTPS. Jika ikon gembok muncul di bilah alamat browser, sertifikat telah berlaku.

Konfigurasikan HTTP/2

Pendahuluan

HTTP/2 adalah versi baru dari HTTP yang mendukung lebih banyak fitur, termasuk multiplexing, kompresi header, prioritisasi, dan dorongan server. HTTP/2 memberikan performa yang dioptimalkan dan kompatibel dengan semantik HTTP/1.1. Protokol ini didukung oleh browser utama seperti Google Chrome, Microsoft Edge, Safari, dan Mozilla Firefox.

Manfaat

Pengkodean biner: Berbeda dengan protokol HTTP/1.x berbasis teks biasa yang dipisahkan oleh baris baru, semua komunikasi HTTP/2 dibagi menjadi pesan yang lebih kecil dan frame, masing-masing dienkripsi dalam format biner. Ini membuat HTTP/2 lebih dapat diperluas.
Multiplexing: HTTP/1.x menghadapi blokir head-of-line karena batasan permintaan browser untuk domain tunggal. Jika satu sumber daya tidak dapat dimuat, itu memblokir semua sumber daya lain di belakangnya. Sebaliknya, HTTP/2 dapat menggunakan satu koneksi TCP untuk mengirim beberapa aliran data sekaligus sehingga tidak ada sumber daya yang memblokir sumber daya lain. HTTP/2 melakukan ini dengan membagi data menjadi pesan kode biner dan menomori pesan-pesan tersebut, sehingga klien mengetahui aliran mana setiap pesan biner milik.
Kompresi header: Setiap pesan HTTP membawa satu set header. Untuk mengurangi overhead header yang berulang, HTTP/2 menggunakan kompresi HPACK untuk mengompres metadata header. Baik klien maupun server mempertahankan daftar header bidang yang diindeks. Daftar ini digunakan sebagai referensi untuk mengkodekan nilai yang sebelumnya ditransmisikan.
Dorongan server: Server dapat mengirim beberapa respons ke satu permintaan dan menyediakan konten ke klien sebelum klien memintanya.

Sebelum Anda Memulai

Untuk mengaktifkan HTTP/2, Anda harus terlebih dahulu mengonfigurasi HTTPS dan menunggu sertifikat SSL berlaku.
Jika Anda menonaktifkan HTTPS setelah mengaktifkan HTTP/2, HTTP/2 akan secara otomatis dinonaktifkan.

Prosedur

Masuk ke Konsol ApsaraVideo Live.
Di panel navigasi kiri, klik Domain Names. Halaman Domain Management akan muncul.
Temukan domain streaming yang ingin Anda konfigurasi dan klik Domain Settings di kolom Tindakan.
Di pohon navigasi di sebelah kiri, pilih Streaming Management > HTTPS Settings.
Di bagian HTTP/2, nyalakan atau matikan HTTP/2.

Pengalihan Paksa

Pendahuluan

Jika Anda telah mengaktifkan HTTPS untuk nama domain, Anda dapat memaksa mengarahkan ulang permintaan klien berdasarkan jenis pengalihan yang ditentukan untuk mengubah protokol.

Sebagai contoh, jika Anda memilih HTTP > HTTPS, ketika pengguna menginisiasi permintaan HTTP, server mengembalikan respons 301 untuk mengarahkan ulang permintaan HTTP ke HTTPS, seperti yang diilustrasikan di bawah ini:

Sebelum Anda Memulai

Untuk mengonfigurasi pengalihan paksa, Anda harus terlebih dahulu mengonfigurasi HTTPS.

Prosedur

Masuk ke Konsol ApsaraVideo Live.
Di panel navigasi kiri, klik Domain Names. Halaman Domain Management akan muncul.
Temukan domain streaming yang ingin Anda konfigurasi dan klik Domain Settings di kolom Tindakan.
Pilih Streaming Management > HTTPS Settings.
Di bagian Force Redirect, klik Modify.

Pilih Redirect Type.

跳转类型

Jenis Pengalihan	Deskripsi
Default	Baik permintaan HTTP maupun HTTPS didukung.
HTTPS > HTTP	Permintaan dari klien ke titik kehadiran (POPs) dipaksa dialihkan sebagai permintaan HTTP.
HTTP > HTTPS	Permintaan dari klien ke POPs dipaksa dialihkan sebagai permintaan HTTPS untuk memastikan keamanan.

Klik OK.

Format Sertifikat

Bagian ini menjelaskan format sertifikat yang didukung oleh ApsaraVideo Live dan cara mengonversi format.

Sertifikat CA Root

Sertifikat root adalah sertifikat kunci publik unik yang dikeluarkan oleh otoritas sertifikat root (CA). Ini dapat diimplementasikan pada server yang berbeda, termasuk Apache, Internet Information Services (IIS), NGINX, dan Tomcat. ApsaraVideo Live menggunakan server NGINX untuk mengelola sertifikat. Informasi sertifikat terdapat dalam file .crt, dan informasi kunci privat dalam file .key.

Unggah sertifikat Anda dalam format berikut:

Sertifikat harus dimulai dengan -----BEGIN CERTIFICATE----- dan diakhiri dengan -----END CERTIFICATE-----.
Semua baris kecuali baris terakhir harus memiliki panjang 64 karakter. Baris terakhir bisa memiliki panjang hingga 64 karakter.

Gambar berikut menunjukkan contoh sertifikat dalam format PEM yang digunakan dalam sistem operasi Linux:

Sertifikat CA Perantara

Sertifikat yang dikeluarkan oleh CA perantara mencakup sertifikat server dan sertifikat perantara. Anda harus secara manual menggabungkan konten sertifikat server dan perantara sebelum mengunggahnya.

Aturan penggabungan:

Letakkan sertifikat server terlebih dahulu, diikuti oleh sertifikat perantara.
Biasanya, otoritas penerbit memberikan petunjuk tentang penggabungan. Rujuk panduan ini sebelum melanjutkan.

Format rantai sertifikat:

Baris kosong tidak diperbolehkan di antara sertifikat.
Setiap sertifikat harus mengikuti format yang ditentukan untuk diunggah.

Berikut ini adalah contoh rantai sertifikat yang dikeluarkan oleh CA perantara:

-----BEGIN CERTIFICATE-----

-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----

-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----

-----END CERTIFICATE-----

Kunci Privat RSA

Kunci privat Rivest-Shamir-Adleman (RSA) harus mematuhi aturan berikut:

Jalankan perintah openssl genrsa -out privateKey.pem 2048 untuk menghasilkan kunci privat RSA. privateKey.pem adalah file kunci privat.
Kunci privat harus dimulai dengan -----BEGIN RSA PRIVATE KEY----- dan diakhiri dengan -----END RSA PRIVATE KEY-----. Unggah kunci bersama dengan baris-baris ini.
Semua baris kecuali baris terakhir harus memiliki panjang 64 karakter. Baris terakhir bisa memiliki panjang hingga 64 karakter.

Contoh kunci privat:

Jika kunci privat Anda tidak sesuai dengan format di atas dan dimulai dengan -----BEGIN PRIVATE KEY----- dan diakhiri dengan -----END PRIVATE KEY-----, konversikan menggunakan perintah berikut:

openssl rsa -in old_server_key.pem -out new_server_key.pem

Kemudian, unggah file new_server_key.pem dan sertifikat.

Konversi Format Sertifikat

ApsaraVideo Live hanya mendukung sertifikat SSL dalam format PEM. Jika sertifikat Anda tidak dalam format PEM, konversikan menggunakan OpenSSL.

Dari format DER ke PEM
Format DER biasanya digunakan untuk Java.
- Jalankan perintah berikut untuk mengonversi sertifikat:
```
openssl x509 -inform der -in certificate.cer -out certificate.pem
```
- Jalankan perintah berikut untuk mengonversi kunci privat:
```
openssl rsa -inform DER -outform pem -in privatekey.der -out privatekey.pem
```
Dari format P7B ke PEM
Format P7B biasanya digunakan untuk Windows Server dan Tomcat.
- Jalankan perintah berikut untuk mengonversi sertifikat:
```
openssl pkcs7 -print_certs -in incertificat.p7b -out outcertificate.cer
```
  Buka file outcertificat.cer. Kemudian, salin dan tempel bagian yang dimulai dengan -----BEGIN CERTIFICATE----- dan diakhiri dengan -----END CERTIFICATE----- sebagai konten sertifikat.
- Sertifikat P7B tidak mencakup file kunci privat. Anda tidak perlu menentukan informasi kunci privat di Konsol ApsaraVideo Live.
Dari format PFX ke PEM
Format PFX biasanya digunakan untuk Windows Server.
- Jalankan perintah berikut untuk mengonversi sertifikat:
```
openssl pkcs12 -in certname.pfx -nokeys -out cert.pem
```
- Jalankan perintah berikut untuk mengonversi kunci privat:
```
openssl pkcs12 -in certname.pfx -nocerts -out key.pem -nodes
```