Autoriser Amazon CloudFront à accéder à votre conteneur AWS Elemental MediaStore

Vous pouvez utiliser Amazon CloudFront pour diffuser le contenu que vous stockez dans un conteneur dans AWS Elemental MediaStore. Vous pouvez le faire de l'une des manières suivantes :

• Utilisation du contrôle d'accès d'origine (OAC)- (Recommandé) Utilisez cette option si vous êtes Région AWS compatible avec la fonctionnalité OAC de CloudFront.

• Utilisation de secrets partagés- Utilisez cette option si vous n'êtes Région AWS pas compatible avec la fonctionnalité OAC de CloudFront.

Utilisation du contrôle d'accès d'origine (OAC)

Vous pouvez utiliser la fonctionnalité Origin Access Control (OAC) d'Amazon CloudFront pour sécuriser les origines AWS MediaStore Elemental avec une sécurité améliorée. Vous pouvez activer AWS la version 4 de signature (SigV4) sur les CloudFront demandes d' MediaStoreorigine et définir quand et si vous CloudFront devez signer les demandes. Vous pouvez accéder à la fonctionnalité OAC CloudFront par le biais de la console APIs, du SDK ou de la CLI, sans frais supplémentaires pour son utilisation.

Pour plus d'informations sur l'utilisation de la fonctionnalité OAC avec MediaStore, consultez Restreindre l'accès à une MediaStore origine dans le manuel Amazon CloudFront Developer Guide.

Utilisation de secrets partagés

Si vous Région AWS n'êtes pas compatible avec la fonctionnalité OAC d'Amazon CloudFront, vous pouvez associer à votre conteneur AWS MediaStore Elemental une politique qui accorde un accès en lecture ou supérieur à. CloudFront

Note

Nous vous recommandons d'utiliser la fonctionnalité OAC si vous la Région AWS supportez. Les procédures suivantes nécessitent que vous configuriez MediaStore et CloudFront que vous utilisiez des secrets partagés afin de restreindre l'accès aux MediaStore conteneurs. Pour respecter les meilleures pratiques de sécurité, cette configuration manuelle nécessite une rotation périodique des secrets. Avec OAC on MediaStore origin, vous pouvez demander de signer les demandes CloudFront à l'aide de SigV4 et de les transmettre à des MediaStore fins de correspondance des signatures, éliminant ainsi le besoin d'utiliser et de faire pivoter les secrets. Cela garantit que les demandes sont automatiquement vérifiées avant que le contenu multimédia ne soit diffusé, ce qui CloudFront simplifie MediaStore et sécurise la diffusion du contenu multimédia.

Pour autoriser CloudFront l'accès à votre conteneur (console)

1. Ouvrez la MediaStore console à l'adresse https://console.aws.amazon.com/mediastore/.

2. Sur la page Containers (Conteneurs), choisissez le nom du conteneur.

   La page des détails du conteneur s'affiche.

3. Dans la section Politique relative aux conteneurs, joignez une politique qui accorde un accès en lecture ou supérieur à Amazon CloudFront.

   L'exemple de politique suivant, qui est similaire à l'exemple de politique pour l'accès public en lecture via HTTPS, répond à ces exigences car il autorise GetObject et DescribeObject commande toute personne soumettant des demandes à votre domaine via HTTPS. En outre, l'exemple de politique suivant sécurise mieux votre flux de travail car il autorise CloudFront l'accès aux MediaStore objets uniquement lorsque la demande est effectuée via une connexion HTTPS et contient l'en-tête Referer correct.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "CloudFrontRead",
         "Effect": "Allow",
         "Principal": "*",
         "Action": [
           "mediastore:GetObject",
           "mediastore:DescribeObject"
         ],
         "Resource": "arn:aws:mediastore:<region>:<owner acct number>:container/<container name>/*",
         "Condition": {
           "StringEquals": {
             "aws:Referer": "<secretValue>"
           },
           "Bool": {
             "aws:SecureTransport": "true"
           }
         }
       }
    ]}

4. Dans la section Container CORS policy (Stratégie CORS du conteneur), attribuez une stratégie qui accorde le niveau d'accès approprié.

   Note

   Une stratégie CORS est nécessaire uniquement si vous souhaitez fournir un accès à un joueur basé sur navigateur.

5. Notez les détails suivants :

   • Le point de terminaison des données attribué à votre conteneur . Vous pouvez trouver ces informations dans la section Info (Infos) de la page Containers (Conteneurs). Dans CloudFront, le point de terminaison des données est appelé nom de domaine d'origine.

   • La structure de dossiers du conteneur dans lequel les objets sont stockés. Dans CloudFront, c'est ce que l'on appelle le chemin d'origine. Notez que ce paramètre est facultatif. Pour plus d'informations sur les chemins d'origine, consultez le manuel Amazon CloudFront Developer Guide.

6. Dans CloudFront, créez une distribution configurée pour diffuser le contenu d'AWS Elemental MediaStore. Vous aurez besoin des informations collectées dans l'étape précédente.

Après avoir attaché la politique à vos MediaStore conteneurs, vous devez configurer CloudFront pour n'utiliser que des connexions HTTPS pour les demandes d'origine, et également ajouter un en-tête personnalisé avec la valeur secrète correcte.

Pour configurer CloudFront l'accès à votre conteneur via une connexion HTTPS avec une valeur secrète pour l'en-tête Referer (console)

1. Ouvrez la CloudFront console.

2. Sur la page Origines, choisissez votre MediaStore origine.

3. Choisissez Modifier.

4. Choisissez HTTPS uniquement pour le protocole.

5. Dans la section Ajouter un en-tête personnalisé, choisissez Ajouter un en-tête.

6. Pour le nom, choisissez Referer. Pour la valeur, utilisez la même <secretValue> chaîne que celle que vous avez utilisée dans votre politique de conteneur.

7. Choisissez Enregistrer et laissez les modifications se déployer.