HTTPS は、SSL または TLS プロトコルを使用してデータ転送を保護します。ApsaraVideo Live は、柔軟な証明書管理が可能な HTTPS セキュアアクセラレーションソリューションを提供し、ライブストリーミングサービスのセキュリティと信頼性を保証します。
機能紹介
Hypertext Transfer Protocol Secure (HTTPS) は、SSL または TLS プロトコルによるカプセル化によって保護される HTTP チャネルです。ApsaraVideo Live は、HTTPS セキュアアクセラレーションソリューションを提供し、証明書の表示、無効化、有効化、編集をサポートしています。証明書が正しく設定され有効になっている場合、HTTP と HTTPS の両方のアクセスが可能です。証明書が一致しないか無効化されている場合、HTTP アクセスのみが可能です。
HTTPS アクセラレーションのメリット
伝送中にユーザーの重要な情報を暗号化し、攻撃者によるセッション ID や Cookie などの機密データの漏洩を防ぎます。
伝送中のデータ整合性を検証し、DNS ハイジャックや第三者によるコンテンツの改ざんなどの中間者 (MITM) 攻撃から保護します。
注意事項
設定関連
機能 | 説明 |
[無効]と[Enabled] |
|
証明書の表示 | 証明書は表示できますが、秘密鍵には機密情報が含まれているため、表示できません。証明書の詳細は慎重に管理してください。 |
証明書の編集 | 証明書を編集できます。変更は 5 分後に有効になりますので、ご注意ください。 |
証明書関連
ApsaraVideo Live は、Alibaba Cloud の SSL 証明書とカスタム証明書の 2 種類に対応しています。
高速化ドメイン名で HTTPS の有効化 を設定するには、対応する証明書と秘密鍵を PEM 形式でアップロードします。
ApsaraVideo Live は Nginx ベースの Tengine を使用しているため、Nginx で読み取り可能な PEM 形式の証明書のみをサポートしています。
SNI 情報を含む SSL または TLS ハンドシェイクのみをサポートしています。
アップロードする証明書と秘密鍵は一致している必要があります。一致しない場合、検証は失敗します。
証明書の更新は 5 分後に有効になります。
パスワードで保護された秘密鍵はサポートしていません。
証明書とドメインのマッチングルール
ライブストリーミングドメインに HTTPS 証明書を設定する際、証明書の対象ドメインが実際のビジネスドメインと一致することを確認する必要があります。そうしないと、証明書の選択が失敗したり、HTTPS が有効にならなかったりする可能性があります。以下のルールにご注意ください。
ドメインレベルの一致 — 証明書の適用ドメインのレベルは、お客様のビジネスドメインのレベルと一致している必要があります。 たとえば、ライブストリーミングドメインが
live.example.comのような第 3 レベルドメインである場合、この第 3 レベルドメインを明示的に対象とする証明書を選択してください。ワイルドカード証明書の範囲 —
*.example.comのようなワイルドカード証明書は、通常、その直下の 1階層のサブドメインにのみ一致し、*.s2.example.comのような複数階層のサブドメインや、より深い階層とのマッチングはサポートしていません。お使いのビジネスドメインに複数階層のサブドメイン構造がある場合は、対応する階層のワイルドカード証明書、またはマルチドメイン証明書を申請してください。
HTTPS セキュアアクセラレーションの設定
ステップ1：証明書の購入
HTTPS の有効化 を有効にするには、加速ドメイン名と一致する証明書が必要です。SSL 証明書に移動し、Buy Now をクリックして証明書を購入できます。既にカスタム証明書をお持ちの場合は、この手順をスキップしてください。
ステップ2：ライブストリーミングドメインの設定
HTTPS セキュアアクセラレーションの有効化
ApsaraVideo Live コンソールにログインします。
左側のナビゲーションペインで、アップストリームミングまたはストリーミングのドメイン名管理 をクリックして、ドメイン管理 ページに移動します。
HTTPS セキュアアクセラレーションを設定するプッシュドメインを選択し、ドメイン設定 をクリックします。
HTTPS をクリックし、HTTPS 証明書 スイッチをオンにします。
証明書の選択
SSL 証明書: [証明書タイプ] で Alibaba Cloud Security をクリックし、SSL 証明書サービスから購入した証明書の中から、アクセラレーションドメイン名に適した証明書を名前で選択します。
カスタム証明書: 証明書タイプで、カスタム をクリックし、証明書名を入力し、証明書とプライベートキーをアップロードします。 証明書は SSL 証明書コンソールの 証明書アプリケーションリポジトリに保存されます。
説明PEM 形式の証明書のみをサポートしています。
ライブストリーミングドメインと SSL 証明書が異なる Alibaba Cloud アカウントに属している場合、証明書を所有するアカウントから Nginx 形式の証明書 (証明書ファイルと秘密鍵ファイルを含む) をダウンロードします。 次に、ApsaraVideo Live コンソールの HTTPS 設定で カスタム を選択し、証明書の内容と秘密鍵の内容を手動で貼り付けて関連付けを完了します。
ステップ3：証明書の有効性の確認
設定後、証明書がグローバルに伝播するまでに約 1 分かかります。HTTPS を使用してリソースにアクセスします。ブラウザにロックアイコンが表示されれば、HTTPS セキュアアクセラレーションは有効です。アドレスバーのロックアイコンをクリックします。パネルに Connection is secure と表示された場合、証明書は有効です。
証明書形式のリファレンス
このセクションでは、ApsaraVideo Live がサポートする証明書形式と、形式間の変換方法について説明します。
ルート証明書認証局によって発行された証明書
ルート証明機関によって発行される各証明書は一意で、Apache、IIS、Nginx、Tomcat など、複数のサーバーソフトウェアプラットフォームで使用できます。ApsaraVideo Live は通常、Nginx サーバーを使用して証明書を処理します。証明書ファイルの拡張子は通常 .crt で、秘密鍵ファイルの拡張子は通常 .key です。
証明書のアップロード形式：
ヘッダー
-----BEGIN CERTIFICATE-----とフッター-----END CERTIFICATE-----を含めてください。各行は 64 文字でなければなりませんが、最終行は 64 文字未満になる場合があります。
Linux 環境では、PEM 形式の証明書の例は次のとおりです。
-----BEGIN CERTIFICATE-----
MIIDRjCCAq+gAwIBAgIJAJn3ox4K13xxx
xxx
-----END CERTIFICATE-----中間証明書認証局によって発行された証明書
中間認証局からの証明書には複数の証明書が含まれています。サーバー証明書と中間証明書を連結して一緒にアップロードしてください。
連結ルール：サーバー証明書を最初に配置し、その後に中間証明書を続けます。証明書発行者は通常、具体的な指示を提供しますので、その指示に従ってください。
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----
証明書チェーンのルール：
証明書間に空行を入れないでください。
各証明書は、標準のアップロード形式に従う必要があります。
RSA 秘密鍵の形式要件
RSA 秘密鍵のルール：
ローカルで秘密鍵を生成するには、
openssl genrsa -out privateKey.pem 2048を実行します。 ここで、privateKey.pemは秘密鍵ファイルです。キーは
-----BEGIN RSA PRIVATE KEY-----で始まり、-----END RSA PRIVATE KEY-----で終わる必要があります。すべてのコンテンツをアップロードしてください。各行は 64 文字でなければなりませんが、最終行は 64 文字未満になる場合があります。
-----BEGIN RSA PRIVATE KEY-----
MIICXAIBAAKBgQDOOkt3vfjY9...
... (秘密鍵の内容) ...
-----END RSA PRIVATE KEY-----上記の方法で秘密鍵を生成するのではなく、-----BEGIN PRIVATE KEY----- や -----END PRIVATE KEY----- などの形式で秘密鍵を取得した場合は、次のように変換できます。
openssl rsa -in old_server_key.pem -out new_server_key.pem次に、証明書とともに new_server_key.pem の内容をアップロードします。
証明書形式の変換方法
HTTPS 設定は PEM 形式のみサポートしています。他の形式は OpenSSL ツールを使用して PEM に変換してください。次の表は、一般的な変換方法を示しています。
変換方法 | 説明 |
DER から PEM へ | DER 形式は、Java プラットフォームで一般的に使用されます。
|
P7B から PEM へ | P7B 形式は、Windows Server および Tomcat で一般的に使用されます。
|
PFX から PEM へ | PFX 形式は、Windows Server で一般的に使用されます。
|