SPEKE のキー管理

SPEKE を実装すると、条件付きアクセス (CA) システムが AWS Elemental MediaConnect にキーを提供し、コンテンツの暗号化と復号化を行います。API ゲートウェイは、サービスと CA プラットフォームキープロバイダ間の通信のプロキシとして機能します。各 AWS Elemental MediaConnect フローは、その APIゲートウェイ プロキシと同じ AWS リージョンに存在する必要があります。

次の図は、AWS Elemental MediaConnect が SPEKE を使用して暗号化キーまたは復号キーを取得する方法を示しています。発信者のフローでは、サービスは暗号化キーを取得し、それを使用してコンテンツを暗号化してから、使用権限を通じて送信します。サブスクライバーのフローでは、サービスは使用権限からコンテンツを受信したときに復号化キーを取得します。

以下に主なサービスとコンポーネントを示します。

• AWS Elemental MediaConnect — フローの暗号化設定を提供および制御します。AWS Elemental MediaConnect は、Amazon API Gateway を通じて CA プラットフォームキープロバイダーから暗号化キーを取得します。AWS Elemental MediaConnect は、暗号化キーを使用してコンテンツを暗号化するか (発信者のフローの場合)、コンテンツを復号化します (サブスクライバーのフローの場合)。

• API Gateway – エンクリプタとキープロバイダーの間でお客様に信頼されるロールとプロキシ通信を管理します。API ゲートウェイではロギング機能が利用でき、お客様はエンクリプタおよび CA プラットフォームとの関係を管理できます。API Gateway API は、エンクリプタと同じ AWS リージョン内に存在する必要があります。

• CA プラットフォームキープロバイダー — SPEKE 準拠 API を通じて AWS Elemental MediaConnect に暗号化キーと復号キーを提供します。

詳細については、「SPEKE 暗号化の設定」を参照してください。