View a markdown version of this page

Diperlukan otentikasi untuk SPEKE - Spesifikasi API Pertukaran Kunci Pengemas dan Encoder yang Aman
Otentikasi untuk implementasi cloud AWSOtentikasi untuk produk lokal

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Diperlukan otentikasi untuk SPEKE

SPEKE memerlukan otentikasi untuk produk lokal dan untuk layanan serta fitur yang berjalan di AWS Cloud.

Otentikasi untuk implementasi cloud AWS

SPEKE memerlukan otentikasi AWS melalui peran IAM untuk digunakan dengan enkripsi. Peran IAM dibuat oleh penyedia DRM atau oleh operator yang memiliki titik akhir DRM di akun AWS. Setiap peran diberi Nama Sumber Daya Amazon (ARN), yang disediakan operator layanan AWS Elemental di konsol layanan saat meminta enkripsi. Izin kebijakan peran harus dikonfigurasi untuk memberikan izin untuk mengakses API penyedia kunci dan tidak ada akses sumber daya AWS lainnya. Ketika enkripsi menghubungi penyedia kunci DRM, ia menggunakan peran ARN untuk mengambil peran pemegang akun penyedia kunci, yang mengembalikan kredenSIAL sementara untuk enkripsi untuk digunakan untuk mengakses penyedia kunci.

Salah satu implementasi umum adalah operator atau vendor platform DRM menggunakan Amazon API Gateway di depan penyedia utama, dan kemudian mengaktifkan otorisasi AWS Identity and Access Management (AWS IAM) pada sumber daya API Gateway. Anda dapat menggunakan contoh definisi kebijakan berikut dan melampirkannya ke peran baru untuk memberikan izin ke sumber daya yang sesuai. Dalam hal ini, izin untuk semua sumber daya API Gateway:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "execute-api:Invoke"
            ],
            "Resource": [
                "arn:aws:execute-api:us-west-2:*:*/*/GET/*"
            ]
        }
    ]
}

Akhirnya, peran memerlukan penambahan hubungan kepercayaan, dan operator harus dapat memilih layanan.

Contoh berikut menunjukkan peran ARN yang dibuat untuk mengakses penyedia kunci DRM:

arn:aws:iam::2949266363526:role/DRMKeyServer

Untuk informasi selengkapnya tentang pembuatan peran, lihat AWS AssumeRole. Untuk informasi selengkapnya tentang menandatangani permintaan, lihat AWS Sigv4.

Otentikasi untuk produk lokal

Untuk produk lokal, kami menyarankan Anda menggunakan SSL/TLS dan mencerna otentikasi untuk keamanan terbaik, tetapi setidaknya Anda harus menggunakan otentikasi dasar melalui HTTPS.

Kedua jenis otentikasi menggunakan Authorization header dalam permintaan HTTP:

  • Otentikasi Digest — Header otorisasi terdiri dari Digest pengenal diikuti oleh serangkaian nilai yang mengotentikasi permintaan. Secara khusus, nilai respons dihasilkan melalui serangkaian fungsi hash MD5 yang mencakup nonce unik sekali pakai dari server yang digunakan untuk memastikan bahwa kata sandi berjalan dengan aman.

  • Otentikasi dasar — Header otorisasi terdiri dari pengen Basic al diikuti oleh string yang dikodekan base-64 yang mewakili nama pengguna dan kata sandi, dipisahkan oleh titik dua.

Untuk informasi tentang otentikasi dasar dan ringkasan, termasuk informasi terperinci tentang header, lihat spesifikasi Gugus Tugas Rekayasa Internet (IETF) RFC 2617 - Otentikasi HTTP: Otentikasi Akses Dasar dan Digest.