Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
CloudFront fournit un contrôle d'accès à l'origine (OAC) pour restreindre l'accès à une origine MediaPackage v2.
Note
CloudFront OAC ne prend en charge que la MediaPackage v2. MediaPackage la v1 n'est pas prise en charge.
Création d'un nouvel OAC
Suivez les étapes décrites dans les rubriques suivantes pour configurer un nouvel OAC dans CloudFront.
Rubriques
Prérequis
Avant de créer et de configurer OAC, vous devez disposer d'une CloudFront distribution d'origine MediaPackage v2. Pour de plus amples informations, veuillez consulter Utiliser un MediaStore conteneur ou un MediaPackage canal.
Donner à l'OAC l'autorisation d'accéder à l'origine de la MediaPackage version v2
Avant de créer un OAC ou de le configurer dans une CloudFront distribution, assurez-vous que l'OAC est autorisé à accéder à l'origine MediaPackage v2. Procédez ainsi après avoir créé une CloudFront distribution, mais avant d'ajouter l'OAC à l'origine MediaPackage v2 dans la configuration de distribution.
Pour autoriser l'OAC à accéder à l'origine MediaPackage v2, utilisez une politique IAM pour autoriser le principal de CloudFront service (cloudfront.amazonaws.com) à accéder à l'origine. L'Conditionélément de la politique permet d'accéder CloudFront à l'origine MediaPackage v2 uniquement lorsque la demande est au nom de la CloudFront distribution qui contient l'origine MediaPackage v2.
Exemple : politique IAM qui autorise l'accès en lecture seule à une distribution CloudFront
La politique suivante autorise la CloudFront distribution (E1PDK09ESKHJWTResourceélément.
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowCloudFrontServicePrincipal",
"Effect": "Allow",
"Principal": {"Service": "cloudfront.amazonaws.com"},
"Action": "mediapackagev2:GetObject",
"Resource": "arn:aws:mediapackagev2:us-east-1:123456789012:channelGroup/channel-group-name/channel/channel-name/originEndpoint/origin_endpoint_name",
"Condition": {
"StringEquals": {"AWS:SourceArn": "arn:aws:cloudfront::123456789012:distribution/E1PDK09ESKHJWT"}
}
}
]
}Note
Si vous créez une distribution qui n'est pas autorisée à accéder à votre origine MediaPackage v2, vous pouvez choisir Copier la politique depuis la CloudFront console, puis choisir Mettre à jour les autorisations du point de terminaison. Vous pouvez ensuite associer l'autorisation copiée au point de terminaison. Pour plus d'informations, consultez les champs de politique des terminaux dans le guide de AWS Elemental MediaPackage l'utilisateur.
Création de l'OAC
Pour créer un OAC, vous pouvez utiliser le AWS Management Console AWS CloudFormation, AWS CLI, ou l' CloudFront API.
Pour créer un OAC
Connectez-vous à la CloudFront console AWS Management Console et ouvrez-la à l'adressehttps://console.aws.amazon.com/cloudfront/v4/home
. -
Dans le panneau de navigation de gauche, choisissez Accès à l'origine.
-
Choisissez Créer un paramètre de contrôle.
-
Dans le formulaire Créer un nouveau OAC, procédez comme suit :
-
Entrez un nom et (éventuellement) une description pour l'OAC.
-
Pour le comportement de signature, nous vous recommandons de conserver le paramètre par défaut (Signer les demandes (recommandé)). Pour de plus amples informations, veuillez consulter Paramètres avancés pour le contrôle d'accès à l'origine.
-
-
Pour le type d'origine, choisissez MediaPackage V2.
-
Sélectionnez Create (Créer).
Astuce
Après avoir créé l'OAC, notez le nom. Vous en aurez besoin au cours de la procédure suivante.
Pour ajouter un OAC à une origine MediaPackage v2 dans une distribution
Ouvrez la CloudFront console à l'adressehttps://console.aws.amazon.com/cloudfront/v4/home
. -
Choisissez une distribution d'origine MediaPackage V2 à laquelle vous souhaitez ajouter l'OAC, puis choisissez l'onglet Origins.
-
Sélectionnez l'origine MediaPackage v2 à laquelle vous souhaitez ajouter l'OAC, puis choisissez Modifier.
-
Sélectionnez HTTPS only (HTTPS uniquement) pour le paramètre Protocol (Protocole) de votre origine.
-
Dans le menu déroulant du contrôle d'accès Origin, choisissez le nom OAC que vous souhaitez utiliser.
-
Sélectionnez Enregistrer les modifications.
La distribution commence à se déployer sur tous les emplacements CloudFront périphériques. Lorsqu'un emplacement périphérique reçoit la nouvelle configuration, il signe toutes les demandes qu'il envoie à l'origine MediaPackage v2.
Paramètres avancés pour le contrôle d'accès à l'origine
La fonctionnalité CloudFront OAC inclut des paramètres avancés destinés uniquement à des cas d'utilisation spécifiques. Utilisez les paramètres recommandés, sauf si vous avez des besoins spécifiques en matière de paramètres avancés.
L'OAC contient un paramètre nommé Comportement de signature (dans la console) ou SigningBehavior (dans l'API, la CLI et AWS CloudFormation). Ce paramètre fournit les options suivantes :
- Toujours signer les demandes d'origine (paramètre recommandé)
-
Nous vous recommandons d'utiliser ce paramètre, nommé Signer les demandes (recommandé) dans la console ou
alwaysdans l'API, la CLI et AWS CloudFormation. Avec ce paramètre, il signe CloudFront toujours toutes les demandes qu'il envoie à l'origine de la MediaPackage v2. - Ne jamais signer les demandes d'origine
-
Ce paramètre est nommé Ne pas signer les demandes dans la console ou
neverdans l'API, la CLI et AWS CloudFormation. Utilisez ce paramètre pour désactiver l'OAC pour toutes les origines dans toutes les distributions qui utilisent cet OAC. Cela permet d'économiser du temps et des efforts par rapport à la suppression d'un OAC de toutes les origines et distributions qui l'utilisent, une par une. Avec ce paramètre, CloudFront ne signe aucune demande envoyée à l'origine de la MediaPackage v2.Avertissement
Pour utiliser ce paramètre, l'origine MediaPackage v2 doit être accessible au public. Si vous utilisez ce paramètre avec une origine MediaPackage v2 qui n'est pas accessible au public, CloudFront vous ne pouvez pas accéder à l'origine. L'origine MediaPackage v2 renvoie les erreurs CloudFront et les CloudFront transmet aux spectateurs. Pour plus d'informations, consultez l'exemple de politique MediaPackage v2 pour les politiques et les autorisations MediaPackage dans le guide de AWS Elemental MediaPackage l'utilisateur.
- Ne remplacez pas l'en-tête
Authorizationde l'utilisateur (client) -
Ce paramètre est nommé Ne pas remplacer l'en-tête d'autorisation dans la console ou
no-overridedans l'API, la CLI et AWS CloudFormation. Utilisez ce paramètre lorsque vous CloudFront souhaitez signer des demandes d'origine uniquement lorsque la demande d'affichage correspondante ne contient pas d'Authorizationen-tête. Avec ce paramètre, CloudFront transmet l'Authorizationen-tête de la demande du visualiseur lorsqu'il y en a un, mais signe la demande d'origine (en ajoutant son propreAuthorizationen-tête) lorsque la demande du visualiseur n'inclut pas d'Authorizationen-tête.Avertissement
Pour transmettre l'
Authorizationen-tête de la demande du lecteur, vous devez l'Authorizationajouter à une politique de cache pour tous les comportements de cache qui utilisent des origines MediaPackage v2 associées à ce contrôle d'accès à l'origine.
