Bekerja dengan SiGv4 untuk Amazon S3

Signature Version 4 (SigV4) untuk Amazon S3 adalah protokol penandatanganan yang digunakan untuk mengautentikasi permintaan ke Amazon S3 over. HTTPS Saat Anda menggunakan SiGv4 untuk Amazon S3 MediaTailor , sertakan header otorisasi yang ditandatangani dalam permintaan HTTPS ke bucket Amazon S3 yang digunakan sebagai asal Anda. Jika header otorisasi yang ditandatangani valid, asal Anda memenuhi permintaan. Jika tidak valid, permintaan gagal.

Untuk informasi umum tentang SiGv4 AWS Key Management Service, lihat topik Permintaan Autentikasi (Versi AWS Tanda Tangan 4) di referensi Amazon S3. API

catatan

MediaTailor selalu menandatangani permintaan ke asal-usul ini dengan SiGv4.

Persyaratan

Jika Anda mengaktifkan otentikasi SigV4 untuk Amazon S3 untuk lokasi sumber Anda, Anda harus memenuhi persyaratan ini:

• Anda harus mengizinkan MediaTailor untuk mengakses bucket Amazon S3 Anda dengan memberikan akses utama mediatailor.amazonaws.com. IAM Untuk informasi tentang mengonfigurasi aksesIAM, lihat Manajemen akses di Panduan AWS Identity and Access Management Pengguna.

• Prinsipal layanan mediatailor.amazonaws.com harus memiliki izin untuk membaca semua manifes tingkat atas yang direferensikan oleh konfigurasi paket sumber. VOD

• Penelepon API harus memiliki GetObject IAM izin s3: untuk membaca semua manifes tingkat atas yang direferensikan oleh konfigurasi paket sumber Anda. MediaTailor VOD

• Basis lokasi MediaTailor sumber Anda URL harus mengikuti format permintaan gaya host virtual Amazon S3. URL Misalnya, https://bucket-name.s3.Region.amazonaws.com/key-name. Untuk informasi tentang akses gaya virtual yang dihosting Amazon S3, lihat Permintaan Gaya Hosted Virtual.

MediaTailor SiGv4 Menandatangani Permintaan Asal

Anda dapat menggunakan penandatanganan SiGv4 ke permintaan yang dibuat oleh MediaTailor ke AWS asal yang valid termasuk Amazon S3, Channel Assembly, dan V2. MediaPackage Hal ini memungkinkan asal untuk mengetahui permintaan sedang dibuat oleh MediaTailor, dan Anda dapat membatasi akses hanya ke MediaTailor permintaan. Jika Anda tidak membatasi akses hanya ke MediaTailor permintaan, MediaTailor pelanggan lain akan dapat mengakses asal Anda melalui konfigurasi MediaTailor pemutaran mereka sendiri.

Asal-usul yang akan kami tandatangani adalah AWS Key Management Service, Channel Assembly, dan MediaPackage V2. Asal URLs harus terlihat seperti berikut:,


mediapackagev2.<region>.amazonaws.com

channel-assembly.mediatailor.<region>.amazonaws.com

s3.<region>.amazonaws.com

penting

Gunakan https untuk menandatangani permintaan ke asalURLs. Jika Origin Anda tidak dikonfigurasi untuk digunakanHTTPS, tidak MediaTailor akan menandatangani permintaan asal dengan SigV4.

Contoh IAM kebijakan untuk asal untuk membatasi akses ke MediaTailor

IAMKebijakan berikut menunjukkan contoh cara membatasi akses ke MediaTailor.

Amazon S3

Dicakup ke akun:

{
    "Effect": "Allow",
    "Principal": {"Service": "mediatailor.amazonaws.com"},
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::mybucket/*",
    "Condition": {
        "StringEquals": {"AWS:SourceAccount": "123456789012"}
    }
}

Cakupan ke konfigurasi pemutaran: ARN

{
                            "Effect": "Allow",
                            "Principal": { 
                            "Service": "mediatailor.amazonaws.com" 
                        },
                            "Action": "s3:GetObject",
                            "Resource": "arn:aws:s3:::mybucket/*",
                            "Condition": {
                            "StringEquals": {
                            "AWS:SourceArn”: “arn:aws:mediatailor:us-west-2:123456789012:playbackConfiguration/test”
                        } 
                        }
                        }

MediaPackage V2

Dicakup ke akun:

{
                            "Effect": "Allow",
                            "Principal": { 
                            "Service": "mediatailor.amazonaws.com" 
                        },
                            "Action": “mediapackagev2:GetObject",
                            "Resource": "arn:aws:mediapackagev2:us-west-2:123456789012:channelGroup/emp-origin-channel-group/channel/emp-origin-channel/originEndpoint/emp-origin-endpoint",
                            "Condition": {
                            "StringEquals": {
                            "AWS:SourceAccount": "123456789012"
                        } 
                        }
                        }

Cakupan ke konfigurasi pemutaran: ARN

{
                           "Effect": "Allow",
                           "Principal": { 
                           "Service": "mediatailor.amazonaws.com" 
                        },
                           "Action": “mediapackagev2:GetObject",
                           "Resource": "arn:aws:mediapackagev2:us-west-2:123456789012:channelGroup/emp-origin-channel-group/channel/emp-origin-channel/originEndpoint/emp-origin-endpoint",
                           "Condition": {
                           "StringEquals": {
                           "AWS:SourceArn”: “arn:aws:mediatailor:us-west-2:123456789012:playbackConfiguration/test”
                        } 
                        }
                        }

Majelis Saluran

Dicakup ke akun:

{
                          "Effect": "Allow",
                          "Principal": { 
                          "Service": "mediatailor.amazonaws.com" 
                        },
                         "Action": “mediatailor:GetManifest",
                         "Resource": "arn:aws:mediatailor:us-west-2:123456789012:channel/ca-origin-channel",
                         "Condition": {
                         "StringEquals": {
                         "AWS:SourceAccount": "123456789012"
                        } 
                        }
                        }

Cakupan ke konfigurasi pemutaran: ARN

{
                        "Effect": "Allow",
                        "Principal": { 
                        "Service": "mediatailor.amazonaws.com" 
                        },
                        "Action": “mediatailor:GetManifest",
                        "Resource": "arn:aws:mediatailor:us-west-2:123456789012:channel/ca-origin-channel",
                        "Condition": {
                        "StringEquals": {
                        "AWS:SourceArn”: “arn:aws:mediatailor:us-west-2:123456789012:playbackConfiguration/test”
                        } 
                        }
                        }