Access Control

「Access Control」機能では、クライアントのIPアドレス、HTTP Referer、HTTP User-Agent、署名付きURLトークン、またはリモート認証サーバーを使用して、ライブストリームへのアクセス権を制御できます。各ルールはディレクトリ、ファイルタイプ、またはURLパターン単位で適用可能で、複数のルールがリクエストに一致した場合は、優先順位を指定して評価順序を決定できます。

以下のコントロールが含まれます：

はじめに

• トークン認証の場合、署名鍵、URLパラメータ名、タイムスタンプ形式、署名要素の順序をご用意ください。
• リモート認証の場合、認証サーバのURL、想定されるレスポンスステータスコード、想定されるレスポンスボディ、タイムアウトポリシー、およびリクエストパラメータをご用意ください。

アクセス制御へのナビゲート

1. メディア配信 > Media Acceleration Live Broadcast > 設定 に移動します。
2. 設定したいDomainを見つけ、設定の編集 を選択します。
3. 設定メニューで、アクセス制御 を選択します。
4. アクセス制御ページには、IPアクセスリスト、Refererアクセスリスト、User-Agentアクセスリスト、トークン認証、リモート認証が表示されます。

IPアクセスリストの設定

IPアクセスリストは、クライアントのIPアドレスまたはCIDRブロックに基づいてリクエストの許可または拒否を行います。

1. アクセス制御ページで、IPアクセスリストの横にある**+追加**を選択します。
2. IPアクセスリストダイアログで、適用対象からオプションを選択します。

3. スコープ値を入力します。
4. ルールタイプ で ブロックリスト または 許可リスト を選択します。

重要：許可リストのルールは1つのみサポートされています。複数のエントリを許可する必要がある場合は、すべてのエントリを同じ許可リストルールに追加してください。

5. ブロックされたIPおよびCIDRブロック または 許可されたIPおよびCIDRブロック には、IPアドレスまたはCIDRブロックをセミコロン（;）で区切って入力します。このフィールドは最大65,535文字（約3,000件のIPアドレス）までサポートします。
6. 優先度 には整数を入力します。値が大きいルールから順に評価されます。デフォルト値は 10 です。
7. 確認 を選択します。

リファラーアクセスリストの設定

リファラーアクセスリストは、HTTPの「Referer」ヘッダーに基づいてリクエストを許可またはブロックします。これを使用して、どのWebサイトがライブストリームを埋め込んだりリンクしたりできるかを制限できます。

1. アクセスコントロールページで、リファラーアクセスリストの横にある**+追加**を選択します。
2. 適用先からオプションを選択し、スコープの値を入力します。
3. ルールタイプでブロックリストまたは許可リストを選択します。

重要：許可リストルールは1つのみサポートされます。複数の項目を許可する必要がある場合は、すべて同じ許可リストルールに追加してください。

4. 入力モードを選択します：

   • Domain/URLリスト：固定されたDomain名または完全なURLを使用します。
   • 正規表現：パターンやワイルドカード形式のマッチングを利用してください。

5. 選択したモードに応じてRefererの値を入力してください。

Domain/URLリストモード

正規表現モード

6. 「空のRefererを許可」を設定します。このオプションを有効にすると、Refererヘッダーがないリクエストも許可されます。
7. 「優先順位」欄に整数値を入力してください。デフォルト値は「10」です。
8. 「確認」を選択してください。

User-Agent アクセスリストの設定

User-Agent アクセスリストは、HTTPの User-Agent ヘッダーに基づいてリクエストを許可またはブロックします。

1. アクセス制御 ページで、User-Agent アクセスリスト の横にある + 追加 を選択します。
2. 適用先 からオプションを選択し、スコープ値を入力します。
3. ルールタイプ で、ブロックリスト または 許可リスト を選択します。

重要: 許可リストルールは1つのみサポートされています。複数の項目を許可する場合は、すべて同じ許可リストルールに追加してください。

4. ブロックされたUser-Agent または 許可されたUser-Agentに、User-Agentの値を1行に1つずつ入力してください。
5. 優先度に整数値を入力してください。デフォルト値は「10」です。
6. 確認を選択してください。

トークン認証の設定

トークン認証では、再生URLに署名と有効期限のタイムスタンプを含める必要があります。CDNはアクセスを許可する前に署名とタイムスタンプを検証します。

1. アクセスコントロールページで、トークン認証の横にある**+追加**を選択してください。
2. 適用先からオプションを選択し、スコープ値を入力してください。
3. トークンパラメーターを設定します。

4. Signature Componentsでは、再生URLの署名ロジックに一致するオプションを選択してください。

5. 確認 を選択します。

リモート認証の設定

リモート認証はリクエスト情報を認証サーバーに転送し、サーバーの応答に基づいてアクセスを許可または拒否します。

ご注意：リモート認証はHLSオリジンプルDomainには対応していません。

1. 「Access Control」ページで、「Remote Authentication」の隣にある「Edit」を選択します。
2. 「Remote Authentication」ダイアログで、「Remote Authentication」を「On」に設定します。
3. 「Auth Method」で「GET」または「POST」を選択してください。
4. 「Auth Server URL」に、プロトコル、ホスト、必要に応じてポート、パス、および固定のクエリパラメータを含む完全な認証エンドポイントのURLを入力してください。例: https://auth.example.com/api/check?service=live。
5. （オプション）「Auth Host」には、認証サーバーへ送信されるHostヘッダーがURLのホスト名と異なる必要がある場合、その値を入力してください。
6. 「Parameter Retention」で、元のURLパラメータをどのように転送するかを選択してください。

7. 認証変数で設定をクリックを選択し、認証リクエストに含める変数を選択してください。認証サーバーに送信するパラメータ名はカスタマイズ可能です。

8. 検証基準で、成功または失敗を選択し、レスポンスの一致条件を設定してください。
   • HTTPステータスコード: 認証サーバーから返されるHTTPステータスコード。セミコロン（;）で区切ります。
   • 「Response body」：認証サーバーから返されたレスポンスボディの内容。
9. 「Timeout」では、「1」から「10」秒の値を入力してください。デフォルト値は「5」です。
10. 「Retry Count」では、「0」から「5」までの値を入力してください。デフォルト値は「0」です。
11. 「Action on Timeout」では、認証サーバーがタイムアウトまでに応答しなかった場合に実行するアクションを選択してください。
    • 「Allow access」：認証がタイムアウトした場合、リクエストを許可します。
    • 「Deny access」：認証がタイムアウトした場合、リクエストを拒否します。
12. 「Confirm」を選択してください。

参考資料

プロトコルサポートマトリクス