Sécurisation des interactions AWS Elemental MediaTailor d'origine avec SigV4 - AWS Elemental MediaTailor
MediaTailor Exigences relatives à l'assemblage des canauxExigences relatives à Amazon S3MediaPackage exigences

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Sécurisation des interactions AWS Elemental MediaTailor d'origine avec SigV4

Signature Version 4 (SigV4) est un protocole de signature utilisé pour authentifier les MediaTailor demandes aux origines prises en charge. HTTPS Avec la signature Sigv4, MediaTailor inclut un en-tête d'autorisation signé dans la demande HTTPS d'origine adressée à MediaTailor Channel Assembly, à Amazon S3 et à AWS Elemental MediaPackage la version 2.

Vous pouvez utiliser SigV4 à l'origine pour vous assurer que les demandes de manifeste ne sont satisfaites que si elles proviennent d'un en-tête d'autorisation signé MediaTailor et contiennent un en-tête d'autorisation signé. Ainsi, les configurations de MediaTailor lecture non autorisées ne peuvent pas accéder à votre contenu d'origine. Si l'en-tête d'autorisation signé est valide, votre origine répond à la demande. Si elle n'est pas valide, la demande échoue.

Les sections suivantes décrivent les exigences relatives à l'utilisation de la signature MediaTailor Sigv4 pour les origines prises en charge.

MediaTailor Exigences relatives à l'assemblage des canaux

Si vous utilisez SigV4 pour protéger l'origine de votre MediaTailor Channel Assembly, les conditions suivantes doivent être remplies MediaTailor pour accéder au manifeste :

  • La base d'origine URL de votre MediaTailor configuration doit être un canal d'assemblage de canaux au format suivant : channel-assembly.mediatailor.region.amazonaws.com

  • Votre origine doit être configurée pour être utiliséeHTTPS. S'il n'HTTPSest pas activé à l'origine, il ne MediaTailor signera pas la demande.

  • Votre chaîne doit disposer d'une politique d'accès à l'origine incluant les éléments suivants :

    • Accès principal pour MediaTailor accéder à votre chaîne. Accordez l'accès à mediatailor.amazonaws.com.

    • IAMpermissions mediatailor : GetManifest pour lire tous les manifestes de haut niveau référencés par la configuration. MediaTailor

    Pour plus d'informations sur la définition d'une politique sur la chaîne, consultezCréation d'une chaîne à l'aide de la MediaTailor console.

Exemple politique d'accès à l'origine pour Channel Assembly, limitée au compte de MediaTailor configuration
{
    "Effect": "Allow",
    "Principal": {"Service": "mediatailor.amazonaws.com"},
    "Action": "mediatailor:GetManifest",
    "Resource": "arn:aws:mediatailor:us-west-2:777788889999:channel/ca-origin-channel",
    "Condition": {
        "StringEquals": {"AWS:SourceAccount": "777788889999"}
    }
}
Exemple politique d'accès à l'origine pour l'assemblage des canaux, adaptée à la configuration de MediaTailor lecture
{
    "Effect": "Allow",
    "Principal": {"Service": "mediatailor.amazonaws.com"},
    "Action": "mediatailor:GetManifest",
    "Resource": "arn:aws:mediatailor:us-west-2:777788889999:channel/ca-origin-channel",
    "Condition": {
        "StringEquals": {"AWS:SourceArn": "arn:aws:mediatailor:us-west-2:777788889999:playbackConfiguration/test"}
    }
}

Exigences relatives à Amazon S3

Si vous utilisez SigV4 pour protéger votre origine Amazon S3, les conditions suivantes doivent être remplies MediaTailor pour accéder au manifeste :

  • La base d'origine URL de votre MediaTailor configuration doit être un compartiment S3 au format suivant : s3.region.amazonaws.com

  • Votre origine doit être configurée pour être utiliséeHTTPS. S'il n'HTTPSest pas activé à l'origine, il ne MediaTailor signera pas la demande.

  • Votre chaîne doit disposer d'une politique d'accès à l'origine incluant les éléments suivants :

    • Accès principal pour MediaTailor accéder à votre bucket. Accordez l'accès à mediatailor.amazonaws.com.

      Pour plus d'informations sur la configuration de l'accès dansIAM, consultez la section Gestion des accès dans le guide de l'utilisateur d'AWSIdentity and Access Management.

    • IAMpermissions s3 : GetObject pour lire tous les manifestes de haut niveau référencés par la MediaTailor configuration.

Pour obtenir des informations générales sur SigV4 pour Amazon S3, consultez la rubrique Authentication Requests (AWSSignature Version 4) de la référence Amazon S3 API.

Exemple politique d'accès à l'origine pour Amazon S3, limitée au compte MediaTailor 
{
    "Effect": "Allow",
    "Principal": {"Service": "mediatailor.amazonaws.com"},
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::mybucket/*",
    "Condition": {
        "StringEquals": {"AWS:SourceAccount": "111122223333"}
    }
}
Exemple politique d'accès à l'origine pour Amazon S3, limitée à la configuration de MediaTailor lecture
{
    "Effect": "Allow",
    "Principal": {"Service": "mediatailor.amazonaws.com"},
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::mybucket/*",
    "Condition": {
        "StringEquals": {"AWS:SourceArn": "arn:aws:mediatailor:us-west-2:111122223333:playbackConfiguration/test”}
    }
}

MediaPackage exigences

Si vous utilisez SigV4 pour protéger votre origine MediaPackage v2, les conditions suivantes doivent être remplies MediaTailor pour accéder au manifeste :

  • La base d'origine URL de votre MediaTailor configuration doit être un point de terminaison MediaPackage v2 au format suivant : mediapackagev2.region.amazonaws.com

  • Votre origine doit être configurée pour être utiliséeHTTPS. S'il n'HTTPSest pas activé à l'origine, il ne MediaTailor signera pas la demande.

  • Votre chaîne doit disposer d'une politique d'accès à l'origine incluant les éléments suivants :

    • Accès principal pour MediaTailor accéder à votre terminal. Accordez l'accès à mediatailor.amazonaws.com.

    • IAMpermissions mediapackagev2 : GetObject pour lire tous les manifestes de haut niveau référencés par la configuration. MediaTailor

Pour des informations générales sur SigV4 pour MediaPackage v2, consultez la rubrique Authentification des demandes (AWSsignature version 4) dans la référence MediaPackage v2 API.

Exemple politique d'accès à l'origine MediaPackage pour la version 2, limitée au compte MediaTailor 
{
    "Effect": "Allow",
    "Principal": {"Service": "mediatailor.amazonaws.com"},
    "Action": "mediapackagev2:GetObject",
    "Resource": "arn:aws:mediapackagev2:us-west-2:444455556666:channelGroup/emp-origin-channel-group/channel/emp-origin-channel/originEndpoint/emp-origin-endpoint",
    "Condition": {
        "StringEquals": {"AWS:SourceAccount": "444455556666"}
    }
}
Exemple politique d'accès à l'origine pour MediaPackage la version 2, limitée à la configuration de MediaTailor lecture
{
    "Effect": "Allow",
    "Principal": {"Service": "mediatailor.amazonaws.com"},
    "Action": "mediapackagev2:GetObject",
    "Resource": "arn:aws:mediapackagev2:us-west-2:444455556666:channelGroup/emp-origin-channel-group/channel/emp-origin-channel/originEndpoint/emp-origin-endpoint",
    "Condition": {
        "StringEquals": {"AWS:SourceArn": "arn:aws:mediatailor:us-west-2:444455556666:playbackConfiguration/test”"}
    }
}