限制對 AWS Elemental MediaPackage v2 原始伺服器的存取 - Amazon CloudFront
建立新的 OAC原始存取控制的進階設定

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

限制對 AWS Elemental MediaPackage v2 原始伺服器的存取

CloudFront 提供原始存取控制 (OAC)，以限制對 MediaPackage v2 原始伺服器的存取。

注意

CloudFront OAC 僅支援 MediaPackage v2。不支援 MediaPackage v1。

建立新的 OAC

完成下列主題中所述的步驟，以在 CloudFront 中設定新的 OAC。

先決條件

在建立和設定 OAC 之前，您必須擁有具有 MediaPackage v2 原始伺服器的 CloudFront 分佈。如需詳細資訊，請參閱使用 MediaStore 容器或 MediaPackage 頻道。

授予 CloudFront 存取 MediaPackage v2 原始伺服器的許可

在您建立 OAC 或在 CloudFront 分佈中設定它之前，請確定 CloudFront 具有存取 MediaPackage v2 原始伺服器的許可。在建立 CloudFront 分佈之後，但在您將 OAC 新增至分佈組態中的 MediaPackage v2 原始伺服器之前，請執行此操作。

使用 IAM 政策允許 CloudFront 服務主體 (cloudfront.amazonaws.com) 存取原始伺服器。政策中的 Condition元素只有在請求代表包含 MediaPackage v2 原始伺服器的 CloudFront 分佈時，才允許 CloudFront CloudFront 存取 MediaPackage v2 原始伺服器。這是您要新增 OAC 的 MediaPackage v2 原始伺服器分佈。

範例 ：IAM 政策，允許啟用 OAC 之 CloudFront 分佈的唯讀存取

下列政策允許 CloudFront 分佈 (E1PDK09ESKHJWT) 存取 MediaPackage v2 原始伺服器。原始伺服器是為 Resource元素指定的 ARN。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudFrontServicePrincipal",
            "Effect": "Allow",
            "Principal": {"Service": "cloudfront.amazonaws.com"},
            "Action": "mediapackagev2:GetObject",
            "Resource": "arn:aws:mediapackagev2:us-east-1:123456789012:channelGroup/channel-group-name/channel/channel-name/originEndpoint/origin_endpoint_name",
            "Condition": {
                "StringEquals": {"AWS:SourceArn": "arn:aws:cloudfront::123456789012:distribution/E1PDK09ESKHJWT"}
            }
        }
    ]
}
備註

  • 如果您已啟用 MQAR 功能和原始存取控制 (OAC)，請將 mediapackagev2:GetHeadObject動作新增至 IAM 政策。MQAR 需要此許可，才能將HEAD請求傳送至 MediaPackage v2 原始伺服器。如需 MQAR 的詳細資訊，請參閱 媒體品質感知彈性。

  • 如果您建立的分佈沒有 MediaPackage v2 原始伺服器的許可，您可以從 CloudFront 主控台選擇複製政策，然後選擇更新端點許可。然後，您可以將複製的許可連接到端點。如需詳細資訊，請參閱AWS Elemental MediaPackage 《 使用者指南》中的端點政策欄位。

建立 OAC

若要建立 OAC，您可以使用 AWS Management Console AWS CloudFormation、 AWS CLI、 或 CloudFront API。

Console
建立 OAC

  1. 登入 AWS Management Console ，並在 開啟 CloudFront 主控台https://console.aws.amazon.com/cloudfront/v4/home。

  2. 於左側導覽窗格中，選擇 Origin access (原始存取)。

  3. 選擇 Create control setting (建立控制設定)。

  4. 在建立新的 OAC 表單上，執行下列動作：

    1. 輸入名稱和 （選擇性） OAC 的描述。

    2. 對於簽署行為，我們建議您保留預設設定 (簽署請求 （建議）)。如需詳細資訊，請參閱原始存取控制的進階設定。

  5. 針對原始伺服器類型，選擇 MediaPackage V2。

  6. 選擇建立。

    提示

    建立 OAC 之後，請記下名稱。您需要於下列程序中進行使用。

將 OAC 新增至分佈中的 MediaPackage v2 原始伺服器

  1. 在 https://console.aws.amazon.com/cloudfront/v4/home 中開啟 CloudFront 主控台。

  2. 選擇具有您要新增 OAC 之 MediaPackage V2 原始伺服器的分佈，然後選擇原始伺服器索引標籤。

  3. 選取您要新增 OAC 的 MediaPackage v2 原始伺服器，然後選擇編輯。

  4. 在原始伺服器的Protocol (通訊協定) 選取 HTTPS only (僅限 HTTPS)。

  5. 從原始存取控制下拉式清單中，選擇您要使用的 OAC 名稱。

  6. 選擇儲存變更。

分佈開始部署至所有 CloudFront 邊緣節點。當節點收到新組態時，它會簽署其傳送至 MediaPackage v2 原始伺服器的所有請求。

CloudFormation

若要使用 建立 OAC AWS CloudFormation，請使用 AWS::CloudFront::OriginAccessControl 資源類型。下列範例顯示用於建立 OAC 的 YAML 格式 AWS CloudFormation 範本語法。

Type: AWS::CloudFront::OriginAccessControl
Properties: 
  OriginAccessControlConfig: 
      Description: An optional description for the origin access control
      Name: ExampleOAC
      OriginAccessControlOriginType: mediapackagev2
      SigningBehavior: always
      SigningProtocol: sigv4

如需詳細資訊，請參閱《AWS CloudFormation 使用者指南》中的 AWS::CloudFront::OriginAccessControl。

CLI

若要使用 AWS Command Line Interface (AWS CLI) 建立原始存取控制，請使用 aws cloudfront create-origin-access-control命令。您可以使用輸入檔案來提供命令的輸入參數，而不必分別將每個個別參數指定為命令列輸入。

如要建立原始存取控制 (包含輸入檔案的 CLI)

  1. 使用下列命令建立名為 origin-access-control.yaml 的檔案。這個檔案中包含 create-origin-access-control 命令的所有輸入參數。

    
aws cloudfront create-origin-access-control --generate-cli-skeleton yaml-input > origin-access-control.yaml

  2. 開啟您剛才建立的 origin-access-control.yaml 檔案。編輯檔案以新增 OAC 的名稱、說明 (選用)，並將 SigningBehavior 變更為 always。接著儲存檔案。

    如需其他 OAC 設定的相關資訊，請參閱 原始存取控制的進階設定。

  3. 使用下列命令，利用 origin-access-control.yaml 檔案中的輸入參數建立原始存取控制。

    
aws cloudfront create-origin-access-control --cli-input-yaml file://origin-access-control.yaml

    記下命令輸出中的 Id 值，您需要它來將 OAC 新增至 CloudFront 分佈中的 MediaPackage v2 原始伺服器。

將 OAC 連接至現有分佈中的 MediaPackage v2 原始伺服器 （具有輸入檔案的 CLI)

  1. 使用下列命令來儲存您想要新增之 CloudFront 分佈的分佈組態。分佈必須具有 MediaPackage v2 原始伺服器。

    
aws cloudfront get-distribution-config --id <CloudFront distribution ID> --output yaml > dist-config.yaml

  2. 開啟您剛才建立且命名為 dist-config.yaml 的檔案。編輯檔案，進行下列變更：

    • 於 Origins 物件中，將 OAC 的 ID 新增至名為 OriginAccessControlId 的欄位。

    • 從名為 OriginAccessIdentity 的欄位中移除值(如果存在)。

    • 將 ETag 欄位重新命名為 IfMatch，但不要變更欄位的值。

    完成後儲存檔案。

  3. 使用下列命令來更新分佈，以使用原始存取控制。

    
aws cloudfront update-distribution --id <CloudFront distribution ID> --cli-input-yaml file://dist-config.yaml

分佈開始部署至所有 CloudFront 邊緣節點。當節點收到新組態時，它會簽署其傳送至 MediaPackage v2 原始伺服器的所有請求。

API

若要使用 CloudFront API 建立 OAC，請使用 CreateOriginAccessControl。如需您在此 API 呼叫中指定欄位的詳細資訊，請參閱 AWS SDK 或其他 API 用戶端的 API 參考文件。

建立 OAC 之後，您可以使用下列其中一個 API 呼叫，將其連接至分佈中的 MediaPackage v2 原始伺服器：

對於這兩個 API 呼叫，請在原始伺服器內的 OriginAccessControlId 欄位中提供 OAC ID。如需您在這些 API 呼叫中指定之其他欄位的詳細資訊，請參閱 分佈設定參考和 AWS SDK 或其他 API 用戶端的 API 參考文件。

原始存取控制的進階設定

CloudFront OAC 功能包含進階設定，僅適用於特定使用案例。除非您對進階設定有特定需求，否則請使用建議的設定。

OAC 包含名為簽署行為 （在 主控台中） 或 SigningBehavior（在 API、CLI 和 中） 的設定 AWS CloudFormation。此設定提供下列選項：

永遠簽署原始請求 (建議設定)

我們建議使用此設定，於主控台中名為Sign requests (recommended) (簽署請求 (建議使用))，或於 API、CLI 和 AWS CloudFormation中的 always。透過此設定，CloudFront 一律會簽署傳送至 MediaPackage v2 原始伺服器的所有請求。

絕不簽署原始伺服器請求

此設定於主控台中命名為 Do not sign requests (請勿簽署請求)，或 API、CLI 和 AWS CloudFormation中的 never。使用此設定可關閉使用此 OAC 的所有分佈中所有原始伺服器的 OAC。相較於從所有使用它的原始伺服器和分佈逐一移除 OAC，這可以節省時間和精力。使用此設定，CloudFront 不會簽署傳送到 MediaPackage v2 原始伺服器的任何請求。

警告

若要使用此設定，MediaPackage v2 原始伺服器必須可公開存取。如果您將此設定與不可公開存取的 MediaPackage v2 原始伺服器搭配使用，CloudFront 就無法存取原始伺服器。MediaPackage v2 原始伺服器會將錯誤傳回 CloudFrontCloudFront 會將這些錯誤傳遞給檢視器。如需詳細資訊，請參閱《 AWS Elemental MediaPackage 使用者指南》中 MediaPackage 中政策和許可的範例 MediaPackage v2 政策。

請勿覆寫檢視器 (用戶端) Authorization 標題

此設定於主控台中命名為 Do not override authorization header (請勿覆寫授權標頭)，或於 API、CLI 和 AWS CloudFormation中的 no-override。如果您想要 CloudFront 僅於對應的檢視器請求不包含 Authorization 標題時簽署原始伺服器請求，請使用此設定。利用此設定，當檢視器請求存在時，CloudFront 會傳遞來自檢視器請求的 Authorization 標題，但在檢視器請求不包含 Authorization 標題時對原始伺服器請求進行簽名 (新增其自己的 Authorization 標題)。

警告

若要從檢視器請求傳遞 Authorization標頭，您必須針對使用此原始伺服器存取控制關聯之 MediaPackage v2 原始伺服器的所有快取行為，將 Authorization標頭新增至快取政策。