Phục vụ tài sản được bảo vệ thông qua CDN

Question

Chúng tôi muốn phân phát nhiều tệp video từ một số khu vực AWS có sẵn. Đối tượng mục tiêu đến từ nhiều địa điểm trên toàn cầu. Tốc độ kết nối không được đảm bảo. Vì vậy, một CDN (tốt nhất là CloudFront) là hoàn toàn cần thiết.

Các video cần được bảo vệ, vì vậy chúng chỉ có thể phát nếu người dùng được xác thực và được phép xem các video này. Rõ ràng là logic của ai có thể xem cái gì và khi nào là một phần của ứng dụng. Phát trực tuyến video từ nguồn gốc sẽ không thể chấp nhận được chậm. Đặt video ở chế độ công khai và có thể lưu vào bộ nhớ cache cũng không phải là tùy chọn.

Mọi người giải quyết vấn đề như thế nào?

Answer 1

Amazon CloudFront cũng cung cấp Serving Private Content through CloudFront để giải quyết trường hợp sử dụng của bạn:

Nhiều công ty phân phối nội dung qua Internet muốn hạn chế truy cập vào các tài liệu, dữ liệu kinh doanh, suối phương tiện truyền thông, hoặc nội dung được dành riêng cho lựa chọn người dùng, ví dụ: người dùng đã thanh toán một khoản phí. Để phục vụ một cách an toàn nội dung tin này sử dụng CloudFront, bạn có thể:

• Yêu cầu người dùng sử dụng đặc biệt CloudFront ký URL để truy cập nội dung của bạn, không phải là tiêu chuẩn CloudFront URL công cộng.

• Yêu cầu người dùng truy cập nội dung Amazon S3 của bạn bằng các URL CloudFront, không phải URL Amazon S3.

Đó là vào các ứng dụng để tạo ra và phân phối cần Signed URLs, tuy nhiên, do logic của những người có thể nhìn thấy những gì và khi nào là một phần của logic ứng dụng bạn dường như được chuẩn bị tốt cho phần đó.

Xin lưu ý rằng bạn cần đảm bảo Using an Origin Access Identity to Restrict Access to Your Amazon S3 Content để người dùng không thể rò rỉ/đoán các URL S3 và được yêu cầu thực hiện qua CloudFront.

Nếu bạn muốn sử dụng CloudFront ký URL để cung cấp quyền truy cập vào các đối tượng trong xô Amazon S3 của bạn, bạn có lẽ cũng muốn ngăn chặn người dùng truy cập đối tượng Amazon S3 của bạn sử dụng URL Amazon S3. Nếu người dùng truy cập trực tiếp đối tượng của bạn trong Amazon S3, họ sẽ bỏ qua các điều khiển do CloudFront ký, bao gồm kiểm soát khi URL hết hạn và kiểm soát địa chỉ IP nào có thể được sử dụng để truy cập các đối tượng. [...]

Bạn giới hạn quyền truy cập vào nội dung Amazon S3 bằng cách tạo một nhận dạng truy cập nguồn gốc, một người dùng CloudFront đặc biệt. Bạn thay đổi quyền truy cập của Amazon S3 để cấp quyền nhận dạng quyền truy cập gốc để truy cập đối tượng của bạn và xóa quyền từ mọi người khác. [...]

[nhấn mạnh của tôi]