Amazon S3 と CloudFront: ステップバイステップ

1. つながりを理解する#

DRM-X は署名付きリクエストで S3 に直接アップロードします。視聴者は CloudFront から HTTPS で暗号化メディアを取得します。S3 の Block all public access は有効のままにしてください。CloudFront には Origin Access Control (OAC) で読み取り権限を限定して付与します。

CloudFront は本番で使える https://….cloudfront.net ホスト名を提供します。独自ドメインは任意です。公開配信ではオブジェクトのバイト列が取得可能になりますが、正しくパッケージ化されたメディアの復号は引き続き DRM が制御します。CORS は認可の仕組みではありません。このガイドは通常の公開 CDN 配信を使用します。視聴者向けの署名付き URL や Cookie には別の統合が必要です。

2. S3 バケットを作成する#

12

1. Amazon S3→General purpose buckets→Create bucket オープンします。
2. 地域を選択し、us-east-1 などのコードを記録します。 General purposeを選択してください。名前空間を要求された場合は、このチュートリアルでは Global namespace を使用します。
3. グローバルに一意な独自のバケット名を入力します。 Object Ownership→ACLs disabled (Bucket owner enforced)を維持します。
4. Block all public access にチェックを入れたままにしてください。スコープ付きポリシーを通じて CloudFront にアクセス権を付与します。
5. このウォークスルーでは、Default encryption → Server-side encryption with Amazon S3 managed keys (SSE-S3) を維持します。これは追加のストレージ暗号化であり、DRM パッケージの代替ではありません。 SSE-KMS には追加のアップローダーと CloudFront KMS 権限が必要です。
6. バケットを確認して作成します。 S3 静的 Web サイトホスティングを有効にしないでください。

3. 権限を限定した IAM ユーザーとアクセスキーを作成する#

1. IAM→Policies→Create policy→JSON を開きます。以下のポリシーを貼り付けて、サンプルのバケット名をすべて置き換えます。
2. この例では、protected/ のみが許可されています。別のベース パスを使用する場合は、プレフィックス条件とオブジェクト ARN の両方を更新します。バケットルートを使用する場合は、ListBucket プレフィックス条件を削除し、オブジェクトに arn:aws:s3:::YOUR_BUCKET/* を使用します。
3. ポリシーを保存します。 IAM → Users → Create user を開き、AWS Console アクセス権なしの専用統合ユーザーを作成し、このポリシーのみをアタッチします。
4. ユーザーのSecurity credentials→Access keys→Create access keyを開きます。 AWS の外部で実行されているアプリケーションのユースケースを選択し、プロンプトに従います。 Access key IDとSecret access keyはDRM-Xのためにしっかりと保持してください。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ListProtectedFolder",
      "Effect": "Allow",
      "Action": "s3:ListBucket",
      "Resource": "arn:aws:s3:::customer-drm-media-example",
      "Condition": {
        "StringLike": {
          "s3:prefix": [
            "protected",
            "protected/",
            "protected/*"
          ]
        }
      }
    },
    {
      "Sid": "BucketRegion",
      "Effect": "Allow",
      "Action": "s3:GetBucketLocation",
      "Resource": "arn:aws:s3:::customer-drm-media-example"
    },
    {
      "Sid": "ManageProtectedObjects",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Resource": "arn:aws:s3:::customer-drm-media-example/protected/*"
    }
  ]
}

ルートキーやAdministratorAccessは使用しないでください。コピーには GetObject と PutObject を使用します。個別の s3:CopyObject IAM アクションはありません。名前の変更には DeleteObject も必要です。このガイドは、DRM-X の現在のアクセスキー形式に従っています。役割 ARN だけではキー ペアを置き換えません。

4. ブラウザーアップロード用に S3 CORS を設定します#

1. S3バケットを開く → Permissions
2. Cross-origin resource sharing (CORS) → Edit までスクロールします。
3. 以下の JSON を貼り付けます。公開する暗号化メディアの読み取りには * を使用し、アップロードは DRM-X Console に限定します。既存のバケットで必要な他のルールは保持してください。
4. Save changesを選択します。 Block Public Access を有効のままにします: CORS はバケットを公開しません。

[
  {
    "AllowedOrigins": [
      "https://6.drm-x.com"
    ],
    "AllowedMethods": [
      "PUT"
    ],
    "AllowedHeaders": [
      "Content-Type",
      "x-amz-meta-drmx-sha256"
    ],
    "ExposeHeaders": [
      "ETag"
    ],
    "MaxAgeSeconds": 3600
  },
  {
    "AllowedOrigins": [
      "*"
    ],
    "AllowedMethods": [
      "GET",
      "HEAD"
    ],
    "AllowedHeaders": [
      "Range"
    ],
    "ExposeHeaders": [
      "ETag",
      "Content-Length",
      "Content-Range",
      "Accept-Ranges"
    ],
    "MaxAgeSeconds": 3600
  }
]

S3 で署名付きアップロードを設定し、S3 と CloudFront の両方で再生用 CORS を設定します。手順 5 の CloudFront レスポンスヘッダーポリシーでも、同じ再生オリジンを使用します。

5. CloudFront HTTPS 配信 URL を作成する#

1. CloudFront→Distributions→Create distribution を開きます。標準ディストリビューションを使用します。 AWS にオンボーディングまたは料金プランの選択が表示されている場合は、リソースを作成する前に、アカウントに適したプランを確認して選択してください。
2. Web サイトのエンドポイントではなく、バケットの通常の S3 REST origin を選択します。このガイドで使用するフォルダー マッピングのOrigin path は空 のままにしておきます。
3. Origin access control settings (recommended)を選択してください。 Sign requests (recommended) を使用して OAC を作成または選択します。
4. ビューアのプロトコル ポリシーを Redirect HTTP to HTTPS または HTTPS only に設定します。 GET、HEAD、OPTIONS を許可します。アップロードには S3 エンドポイントが使用されるため、CloudFront には PUT は必要ありません。
5. ディストリビューションを作成します。 CloudFront で生成されたバケット ポリシーを、S3 → Bucket → Permissions → Bucket policy → Edit に適用します。必要な既存のステートメントとマージします。このディストリビューションの ARN へのアクセスを制限します。以下の例では、読み取りを protected/ に制限します。
6. CloudFront → Policies → Response headers → Create response headers policy を開きます。以下の表の CORS フィールドを設定します。このポリシーをディストリビューションのメディア/デフォルト動作にアタッチします。
7. デプロイが完了するまで待ちます。 Distribution domain nameをコピーします。あなたの配信元はhttps://YOUR_DISTRIBUTION.cloudfront.netです。

OPTIONS プリフライトの場合、管理対象の CORS-S3Origin オリジンリクエストポリシーをアタッチします。 Origin、Access-Control-Request-Method、Access-Control-Request-Headers を S3 に転送します。最初は GET/HEAD のみをキャッシュし、OPTIONS キャッシュは無効のままにします。後で OPTIONS をキャッシュする場合は、これらのヘッダーをそのキャッシュ キーに含めて、さまざまなプレーヤーのオリジンをテストします。ヘッダーのみを転送しても、ヘッダーはキャッシュ キーに追加されません。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowThisCloudFrontDistribution",
      "Effect": "Allow",
      "Principal": {
        "Service": "cloudfront.amazonaws.com"
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::customer-drm-media-example/protected/*",
      "Condition": {
        "StringEquals": {
          "AWS:SourceArn": "arn:aws:cloudfront::111122223333:distribution/EEXAMPLE123"
        }
      }
    }
  ]
}

サンプルアカウントID、ディストリビューションID、バケット名を置き換えます。 SourceArn は、作成したばかりのディストリビューションを識別する必要があります。ヘッダー変更後、以前の応答がキャッシュに残っている場合は、影響を受けるテスト/メディア パスを無効にします。

オプション: media.example.com を使用します

1. US East (N. Virginia)、us-east-1 のホスト名をカバーするACM 公開証明書をリクエストし、DNS 検証を完了します。
2. ディストリビューションの Alternate domain names の下にホスト名を追加し、その証明書を添付します。
3. DNS プロバイダーで、CloudFront ホスト名を指す CNAME またはサポートされているエイリアスを作成します。 DNS、証明書と配布の展開を待ちます。
4. 配信元としてhttps://media.example.comを使用してください。 CloudFront ドメインと証明書のセットアップがなければ、DNS CNAME だけでは不十分です。

6. Amazon S3 を DRM-X 6.0 に接続します#

Cloud Storage→Connect storage を開きます。 Amazon S3を選択してください。

例では、protected というフォルダーを使用しています。バケット名は自動的にはフォルダーになりません。ここで使用されているドメインからバケットへの直接マッピングでは、パブリック URL プレフィックスに同じストレージ フォルダーを 1 回だけ含めます。

Bucket:                      customer-drm-media-example
Protected-content base path: protected
Public URL prefix:           https://media.example.com/protected
File selected for upload:    sample.encrypted.bin
Object key in the bucket:    protected/sample.encrypted.bin
Preview URL:                 https://media.example.com/protected/sample.encrypted.bin

バケット ルートを使用するには、ベース パスを空白のままにし、パブリック プレフィックスとして配信元のみを入力します。意図的にフォルダーとして使用する場合を除き、バケット名を追加しないでください。このマッピングでは、CloudFront Origin path を空のままにしておきます。

必要に応じてデフォルトのアップロード先を選択し、Save and verify を選択します。 S3 API のホスト名は、CloudFront の配信 URL ではありません。

* ポリシーはすべてのウェブサイトからのブラウザーによる読み取りを許可します。復号は引き続き DRM ライセンス認可で制御されます。暗号化メディアと公開予定のアセット専用のバケットを使用してください。メディアリクエストにはクロスオリジン Cookie を含めないでください。Cookie 認証による配信には別の CORS 設定が必要です。

7. ファイルをアップロードし、動作することを確認します。#

1. Cloud Storage を開き、この宛先を選択して、Verify location を選択します。成功とは、DRM-X サーバーがバケットをリストできることを意味します。書き込み権限、ブラウザ CORS または公開配信は確立されません。
2. Upload encrypted files を選択し、既存の DRM-X パッケージから小さな暗号化セグメントを 1 つ選択します。パッケージをお持ちでない場合は、以下の使い捨ての暗号化診断を使用してください。オリジナルのビデオや個人的な文書をアップロードしないでください。
3. 成功メッセージを待ちます。 Cloud Storageにファイル名とサイズが表示されていることを確認します。プロバイダー コンソールの protected/ で同じオブジェクトを見つけます。
4. プライベートブラウザウィンドウで Preview URL を開きます。ログインせずにアップロード済みオブジェクトが HTTP 200 を返すことを確認してください。
5. ブラウザーの Network パネルで manifest とメディアのレスポンスを確認します。デフォルトのポリシーでは Access-Control-Allow-Origin が *、制限付きポリシーではプレーヤーの正確なオリジンになっている必要があります。URL を直接開くだけでは CORS を検証できません。
6. 完了したら、使い捨ての診断オブジェクトのみを削除してください。次に、デスクトップパッケージャーガイドに従い、Package contentでこの保存先を選択し、完全な暗号化パッケージをアップロードします。ファイルを手動でアップロードしても、Published Content ID は登録されません。
7. 結果の Published ファイルを Universal Playback Lab と独自のプレーヤー Web サイトでテストします。ビデオ、オーディオ、シーク、および必要なデバイスを確認します。バイナリのダウンロードが成功しても、DRM の再生が証明されるわけではありません。

$samplePath = Join-Path (Get-Location) 'drmx-storage-check.encrypted.bin'
if (Test-Path -LiteralPath $samplePath) { throw 'Choose a new folder; this test file already exists.' }
$aes = [System.Security.Cryptography.Aes]::Create()
try {
    $aes.GenerateKey()
    $aes.GenerateIV()
    $encryptor = $aes.CreateEncryptor()
    try {
        $bytes = [Text.Encoding]::UTF8.GetBytes('DRM-X disposable storage check')
        $encrypted = $encryptor.TransformFinalBlock($bytes, 0, $bytes.Length)
        [IO.File]::WriteAllBytes($samplePath, $encrypted)
    } finally { $encryptor.Dispose() }
} finally { $aes.Dispose() }
Get-Item -LiteralPath $samplePath | Select-Object Name, Length

curl.exe -I -H "Origin: https://www.example.com" "https://media.example.com/protected/sample.encrypted.bin"

両方の URL を置き換えます。デフォルトのポリシーでは HTTP 200 と Access-Control-Allow-Origin: * が返ることを確認します。Range: bytes=0-15 を指定した GET は HTTP 206 と Content-Range を返す必要があります。DASH は application/dash+xml、HLS は application/vnd.apple.mpegurl、メディアファイルは適切な MIME タイプを保持してください。

8. 結果のトラブルシューティングを行う#

CloudFront 403: は、OAC がリクエストに署名し、バケットポリシーが正しいディストリビューション ARN とプレフィックスを使用し、オリジンが S3 REST エンドポイントであることを確認します。 S3 Block Public Access をオンのままにします。 SSE-KMS を選択した場合は、KMS 権限を確認してください。

公式リファレンス#

• S3バケットを作成します
• アクセスキーIAMの管理
• S3 CORS 構成
• CloudFront OAC および S3 バケットポリシー
• CloudFront 応答ヘッダー
• 管理されたオリジンリクエストポリシー
• カスタム ドメインと証明書

他のプロバイダーについてはクラウドストレージ設定ガイドをご覧ください。