HTTPS は、Transport Layer Security（TLS）プロトコルまたは Secure Sockets Layer（SSL）プロトコルを使用してデータ伝送のセキュリティを確保します。ApsaraVideo Live は、HTTPS の構成と SSL 証明書の管理をサポートしており、ライブストリーミングのセキュリティと信頼性を向上させます。
HTTPS とは
HTTPS は、ネットワーク経由の安全な通信のための HTTP の拡張です。HTTPS では、TLS プロトコルまたは SSL プロトコルを使用して通信が暗号化されます。ドメイン名に SSL 証明書を構成すると、HTTP アクセスと HTTPS アクセスの両方がサポートされます。証明書がドメイン名と一致しない場合、または無効になっている場合は、HTTP アクセスのみがサポートされます。
メリット
HTTPS は、セッション ID や Cookie などの機密情報を転送中に暗号化します。これにより、機密情報の漏洩によるセキュリティの脅威を防ぎます。
HTTPS は、転送中にデータ整合性をチェックして、DNS ハイジャックや改ざんなどの man-in-the-middle（MITM）攻撃からデータを保護します。
開始する前に
構成に関する注意事項
ドメイン名に対して HTTPS を無効にすると、HTTP アクセスのみがサポートされます。証明書と秘密鍵は使用できなくなります。HTTPS を再度有効にするには、証明書と秘密鍵を再度アップロードします。
証明書の基本情報は表示できます。ただし、秘密鍵は機密情報のため表示されません。
証明書は変更または編集できます。更新された証明書が有効になるまで 5 分 かかります。
アップロードする証明書は秘密鍵と一致する必要があります。一致しない場合は、検証に失敗します。
証明書に関する注意事項
ApsaraVideo Live は、SSL Certificates Service を介して購入した証明書とカスタム証明書をサポートしています。
ApsaraVideo Live は NGINX ベースの Tengine Web サーバーを使用しているため、NGINX で読み取ることができる PEM 証明書のみをサポートしています。証明書のコンテンツと秘密鍵は PEM 形式である必要があります。
ApsaraVideo Live は、Server Name Indication（SNI）情報を含む SSL/TLS ハンドシェイクのみをサポートしています。
パスワードが構成されている秘密鍵はサポートされていません。
HTTPS を構成する
ステップ 1: 証明書を購入する
HTTPS を有効にするには、高速化ドメイン名と一致する証明書が必要です。証明書をお持ちでない場合は、 [SSL Certificates Service] ページにアクセスし、[SSL 証明書の購入] をクリックします。すでに証明書をお持ちの場合は、この手順をスキップしてください。
ステップ 2: ドメイン名に対して HTTPS を有効にする
HTTPS を有効にします。
[ApsaraVideo Live コンソール] にログインします。
左側のナビゲーションウィンドウで、[ドメイン] をクリックして、ドメイン管理 ページに移動します。
HTTPS を構成する取り込みドメインを選択し、[アクション] 列の [ドメイン設定] をクリックします。
[ストリーミング管理] > [HTTPS 設定] を選択し、[HTTPS 証明書] スイッチをオンにします。
証明書をアップロードします。
Alibaba Cloud によって発行された証明書:
[HTTPS 設定] ダイアログボックスで、証明書のタイプとして [SSL Certificates Service] を選択します。次に、[証明書名] で証明書を選択します。コンテンツと秘密鍵は自動的に入力されます。
カスタム証明書:
[HTTPS 設定] ダイアログボックスで、証明書のタイプとして [カスタム] を選択します。次に、証明書名を入力し、コンテンツと秘密鍵をアップロードします。この証明書は [SSL Certificates Service コンソール] に保存されます。
ステップ 3: 証明書の有効性を検証する
設定が完了した後、証明書が有効になるまで約 1 分かかります。その後、HTTPS を使用してリソースにアクセスします。ブラウザのアドレスバーにロックアイコンが表示されたら、証明書は有効になっています。
証明書の形式
このセクションでは、ApsaraVideo Live でサポートされている証明書の形式と、形式を変換する方法について説明します。
ルート CA 証明書
ルート証明書は、ルート認証局（CA）によって発行される一意の公開鍵証明書です。Apache、インターネットインフォメーションサービス（IIS）、NGINX、Tomcat など、さまざまなサーバーに実装できます。ApsaraVideo Live は、NGINX サーバーを使用して証明書を管理します。証明書情報は .crt ファイルに含まれ、秘密鍵情報は .key ファイルに含まれます。
次の形式で証明書をアップロードします。
証明書は
-----BEGIN CERTIFICATE-----で始まり、-----END CERTIFICATE-----で終わる必要があります。最後の行を除くすべての行の長さは 64 文字である必要があります。最後の行の長さは最大 64 文字にすることができます。
次の図は、Linux オペレーティングシステムで使用される PEM 形式の証明書の例です。
中間 CA 証明書
中間 CA によって発行された証明書には、サーバー証明書と中間証明書が含まれています。アップロードする前に、サーバー証明書と中間証明書のコンテンツを手動で連結する必要があります。
連結ルール:
最初にサーバー証明書を配置し、次に中間証明書を配置します。
通常、発行機関は連結に関する指示を提供しています。続行する前に、これらのガイドラインを参照してください。
証明書チェーンの形式:
証明書間に空行を入れることはできません。
各証明書は、アップロードのために指定された形式に従う必要があります。
中間 CA によって発行された証明書チェーンの例を次に示します。
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----
RSA 秘密鍵
Rivest-Shamir-Adleman（RSA）秘密鍵は、次のルールに準拠する必要があります。
openssl genrsa -out privateKey.pem 2048コマンドを実行して、RSA 秘密鍵を生成します。privateKey.pemは秘密鍵ファイルです。秘密鍵は
-----BEGIN RSA PRIVATE KEY-----で始まり、-----END RSA PRIVATE KEY-----で終わる必要があります。これらの行と一緒にキーをアップロードします。最後の行を除くすべての行の長さは 64 文字である必要があります。最後の行の長さは最大 64 文字にすることができます。
秘密鍵の例:
秘密鍵が上記の形式と一致せず、-----BEGIN PRIVATE KEY----- で始まり、-----END PRIVATE KEY----- で終わる場合は、次のコマンドを使用して変換します。
openssl rsa -in old_server_key.pem -out new_server_key.pem次に、new_server_key.pem ファイルと証明書をアップロードします。
証明書の形式変換
ApsaraVideo Live は、PEM 形式の SSL 証明書のみをサポートしています。証明書が PEM 形式でない場合は、OpenSSL を使用して変換します。
DER 形式から PEM 形式への変換
DER 形式は通常 Java で使用されます。
次のコマンドを実行して証明書を変換します。
openssl x509 -inform der -in certificate.cer -out certificate.pem次のコマンドを実行して秘密鍵を変換します。
openssl rsa -inform DER -outform pem -in privatekey.der -out privatekey.pem
P7B 形式から PEM 形式への変換
P7B 形式は通常、Windows Server および Tomcat で使用されます。
次のコマンドを実行して証明書を変換します。
openssl pkcs7 -print_certs -in incertificat.p7b -out outcertificate.ceroutcertificat.cerファイルを開きます。-----BEGIN CERTIFICATE-----で始まり、-----END CERTIFICATE-----で終わる部分をコピーして、証明書コンテンツとして貼り付けます。P7B 証明書には秘密鍵ファイルは含まれていません。ApsaraVideo Live コンソールで秘密鍵情報を指定する必要はありません。
PFX 形式から PEM 形式への変換
PFX 形式は通常 Windows Server で使用されます。
次のコマンドを実行して証明書を変換します。
openssl pkcs12 -in certname.pfx -nokeys -out cert.pem次のコマンドを実行して秘密鍵を変換します。
openssl pkcs12 -in certname.pfx -nocerts -out key.pem -nodes