使用与 Amazon S3 兼容的专用存储桶作为来源

gcloud

gcloud beta services identity create \
    --project PROJECT_ID \
    --service=networkservices.googleapis.com

将 PROJECT_ID 替换为您的项目 ID。

控制台

1. 在 Google Cloud 控制台中，前往 Secret Manager 页面。

   转到 Secret Manager

2. 在 Secret Manager 页面上，点击创建 Secret 。

3. 在 Secret 详情 部分，完成以下操作：

   1. 在名称 字段中，输入 Secret 的名称，例如 aws-access-key-id。

   2. 在 Secret 值 部分，跳过上传文件 字段。

   3. 在 Secret 值 字段中，输入 AWS 私有访问密钥。

4. 跳过其余部分。

5. 点击创建 Secret 。

gcloud

确保您使用的是 Google Cloud CLI 402.0.0 或更高版本。 在 Compute Engine 或 Google Kubernetes Engine (GKE) 上，您必须 使用 cloud-platform 范围进行身份验证。

gcloud secrets create SECRET_NAME \
    --replication-policy="automatic" \
    --data-file="PATH_TO_AWS_SECRET_ACCESS_KEY"

替换以下内容：

• SECRET_NAME：Secret 的名称，例如 aws-access-key-id
• PATH_TO_AWS_SECRET_ACCESS_KEY：AWS 私有访问密钥值的路径

控制台

1. 在 Google Cloud 控制台中，前往 Secret Manager 页面。

   转到 Secret Manager

2. 选择 Secret。
3. 选择权限 ，然后选择授予访问权限 。系统会显示 授予访问权限 对话框。

4. 在添加主账号 部分，在新的主账号 字段中输入媒体 CDN 服务帐号，如下所示：
   service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com

   将 PROJECT_NUMBER 替换为您的 项目编号。

5. 在分配角色 部分，对于选择角色 ，选择 Secret Manager ，然后选择 Secret Manager Secret Accessor 。
6. 点击保存 。

gcloud

gcloud secrets add-iam-policy-binding \
projects/PROJECT_NUMBER/secrets/SECRET_NAME \
    --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com" \
    --role="roles/secretmanager.secretAccessor"

替换以下内容：

• PROJECT_NUMBER：您的项目编号
• SECRET_NAME：Secret 的名称

控制台

1. 在 Google Cloud 控制台中，前往媒体 CDN 页面。

   转到“媒体 CDN”

2. 点击来源 标签页。

3. 点击要配置的来源的名称。

   系统会打开边缘缓存来源详情 页面。

4. 点击修改 按钮。

5. 对于来源地址，选择指定 FQDN 或 IP 地址，然后 输入 FQDN 或 IP 地址。

6. 在专用来源身份验证 部分中，选择使用 AWS 签名版本 4 对媒体 CDN 针对此来源的请求进行身份验证。

7. 请指定以下信息：

   • 密钥 ID：您的 AWS 访问密钥 ID，具有对 来源的读取权限
   • 引用 Secret：Secret Manager 中访问密钥的 ID 及其版本。您可以选择现有 ID、手动输入 ID，或创建新 ID 并选择它。
   • 区域：Amazon S3 存储桶所在的区域，例如 us-east-1

8. 对于协议 ，选择 HTTPS 。

9. 点击更新来源 。

gcloud

1. 如需将服务的当前配置导出到 YAML 文件，请运行 gcloud edge-cache services export命令：

   gcloud edge-cache services export SERVICE_NAME \
       --destination=FILENAME.yaml
   

   替换以下内容：

   • SERVICE_NAME：媒体 CDN 服务的名称
   • FILENAME：YAML 文件的名称

2. 在 Cloud Shell 中，使用文本编辑器修改 YAML 文件。

3. 更新 YAML 文件，使其包含以下代码行：

   name: ORIGIN_NAME
   originAddress: "S3_BUCKET_NAME.s3.S3_REGION.amazonaws.com"
   protocol: HTTPS
   awsV4Authentication:
     accessKeyId: "AWS_ACCESS_KEY_ID"
     secretAccessKeyVersion: "projects/PROJECT_NUMBER/secrets/SECRET_NAME/versions/SECRET_VERSION"
     originRegion: "S3_REGION"
   

   替换以下内容：

   • ORIGIN_NAME：您为此来源设置的名称
   • S3_BUCKET_NAME：Amazon S3 存储桶的名称
   • S3_REGION：Amazon S3 存储桶所在的区域，例如 us-east-1
   • AWS_ACCESS_KEY_ID：您的 AWS 访问密钥 ID，具有对来源的读取权限
   • PROJECT_NUMBER：您的项目编号
   • SECRET_NAME：Secret Manager 中访问密钥的 ID
   • SECRET_VERSION：要使用的 Secret 版本

4. 为发送到来源的请求配置主机和路径重写。例如，如需映射路径前缀为 /vod/ 的所有请求，请配置与 EdgeCacheService 的 YAML 文件中列出的 originAddress 对应的 hostRewrite。以下代码示例展示了如何使用 hostRewrite：

   name: SERVICE_NAME
   routeRules:
     - priority: 1
     - description: ROUTE_DESCRIPTION
       origin: ORIGIN_NAME
       matchRules:
       - prefixMatch: "/vod/"
       routeAction:
         urlRewrite:
           hostRewrite: "S3_BUCKET_NAME.s3.S3_REGION.amazonaws.com"
           pathPrefixRewrite: "/"
         cdnPolicy:
           cacheMode: CACHE_ALL_STATIC
           defaultTtl: 3600s
   

   将 SERVICE_NAME 替换为 EdgeCacheService 的名称。

   如需了解详情，请参阅 使用第三方存储后端。

5. 保存 YAML 文件。

6. 如需更新配置，请导入 YAML 文件。

   gcloud edge-cache origins import ORIGIN_NAME \
       --source=FILENAME.yaml