Configuración de las credenciales y la autenticación de CDN cdn-credentials-authentication

La CDN proporcionada por Adobe tiene varias funciones y servicios, algunos de los cuales dependen de las credenciales y la autenticación para garantizar un nivel adecuado de seguridad empresarial. Al declarar reglas en un archivo de configuración implementado mediante la canalización de configuración de Cloud Manager, los clientes pueden configurar, en modo de autoservicio, lo siguiente:

Cada uno de ellos, incluida la sintaxis de configuración, se describe en su propia sección a continuación.

Hay una sección sobre cómo rotar claves, lo cual es una buena práctica de seguridad.

Valor del encabezado HTTP de CDN administrado por el cliente CDN-HTTP-value

Como se describe en la página CDN en AEM as a Cloud Service, los clientes pueden elegir enrutar el tráfico a través de su propia CDN, que se denomina CDN del cliente (también denominada a veces BYOCDN).

Como parte de la configuración, la CDN de Adobe y la CDN del cliente deben acordar un valor del encabezado HTTP X-AEM-Edge-Key. Este valor se establece en cada solicitud en la CDN del cliente antes de enrutarse a la CDN de Adobe, que luego valida que el valor es el esperado, por lo que puede confiar en otros encabezados HTTP, incluidos los que ayudan a enrutar la solicitud al origen de AEM adecuado.

El valor X-AEM-Edge-Key está referenciado por las propiedades edgeKey1 y edgeKey2 en un archivo de nombre cdn.yaml o similar, en algún lugar bajo una carpeta de nivel superior config. Lea Uso de canalizaciones de configuración para obtener detalles acerca de la estructura de carpetas y cómo implementar la configuración. La sintaxis se describe en el ejemplo siguiente.

Para obtener más información de depuración y errores comunes, compruebe Errores comunes.

kind: "CDN"
version: "1"
metadata:
  envTypes: ["dev"]
data:
  authentication:
    authenticators:
      - name: edge-auth
        type: edge
        edgeKey1: ${{CDN_EDGEKEY_052824}}
        edgeKey2: ${{CDN_EDGEKEY_041425}}
    rules:
      - name: edge-auth-rule
        when: { reqProperty: tier, equals: "publish" }
        action:
          type: authenticate
          authenticator: edge-auth

Consulte Uso de canalizaciones de configuración para obtener una descripción de las propiedades que aparecen por encima del nodo data. El valor de la propiedad kind debe ser CDN y la propiedad version debe establecerse en 1.

Consulte el tutorial Configurar e implementar la regla CDN de validación de encabezado HTTP para obtener más información.

Entre las propiedades adicionales se incluyen:

Migración segura para reducir el riesgo de tráfico bloqueado migrating-safely

Si su sitio ya está activo, tenga cuidado al migrar a CDN administrada por el cliente, ya que una configuración incorrecta puede bloquear el tráfico público; esto se debe a que solo la CDN de Adobe aceptará las solicitudes con el valor de encabezado X-AEM-Edge-Key esperado. Se recomienda un método cuando se incluya temporalmente una condición adicional en la regla de autenticación, lo que hace que bloquee la solicitud solo si se incluye un encabezado de prueba o si coincide una ruta:

    - name: edge-auth-rule
        when:
          allOf:
            - { reqProperty: tier, equals: "publish" }
            - { reqHeader: x-edge-test, equals: "test" }
        action:
          type: authenticate
          authenticator: edge-auth

    - name: edge-auth-rule
        when:
          allOf:
            - { reqProperty: tier, equals: "publish" }
            - { reqProperty: path, like: "/test*" }
        action:
          type: authenticate
          authenticator: edge-auth

Se puede utilizar el siguiente patrón de solicitud curl:

curl https://publish-p<PROGRAM_ID>-e<ENV-ID>.adobeaemcloud.com -H "X-Forwarded-Host: example.com" -H "X-AEM-Edge-Key: <CONFIGURED_EDGE_KEY>" -H "x-edge-test: test"

Después de realizar la prueba correctamente, se puede eliminar la condición adicional y volver a implementar la configuración.

Proceso de migración si el Soporte técnico de Adobe generó anteriormente el valor del encabezado HTTP X-AEM-Edge-Key migrating-legacy

Anteriormente, el proceso de integración con una CDN administrada por el cliente implicaba a los clientes que solicitaban un valor de encabezado HTTP de clave X-AEM-Edge-Key al servicio de asistencia de Adobe, en lugar de definir el valor por su cuenta. Para migrar al nuevo método de autoservicio, en el que define sus propios valores de claves perimetrales, siga estos pasos para garantizar una transición sin problemas sin tiempo de inactividad:

Purgar token de API purge-API-token

Los clientes pueden purgar la caché de CDN usando un token de API de purga declarado. El token se ha declarado en un archivo con el nombre cdn.yaml o similar, en algún lugar bajo una carpeta de nivel superior config. Lea Uso de canalizaciones de configuración para obtener detalles acerca de la estructura de carpetas y cómo implementar la configuración.

La sintaxis se describe a continuación:

kind: "CDN"
version: "1"
metadata:
  envTypes: ["dev"]
data:
  authentication:
    authenticators:
       - name: purge-auth
         type: purge
         purgeKey1: ${{CDN_PURGEKEY_031224}}
         purgeKey2: ${{CDN_PURGEKEY_021225}}
    rules:
       - name: purge-auth-rule
         when: { reqProperty: tier, equals: "publish" }
         action:
           type: authenticate
           authenticator: purge-auth

Consulte Uso de canalizaciones de configuración para obtener una descripción de las propiedades que aparecen por encima del nodo data. El valor de la propiedad kind debe ser CDN y la propiedad version debe establecerse en 1.

Entre las propiedades adicionales se incluyen:

Puede hacer referencia a un tutorial centrado en la configuración de claves de depuración y en la depuración de la caché de la CDN.

Autenticación básica basic-auth

Proteja determinados recursos de contenido mostrando un cuadro de diálogo de autenticación básica que requiera un nombre de usuario y una contraseña. Esta función está diseñada principalmente para casos de uso de autenticación ligera, como la revisión del contenido por parte de las partes interesadas empresariales, en lugar de como una solución completa para los derechos de acceso del usuario final.

El usuario final verá aparecer un cuadro de diálogo de autenticación básico como el siguiente:

La sintaxis es la siguiente:

kind: "CDN"
version: "1"
metadata:
  envTypes: ["dev"]
data:
  authentication:
    authenticators:
       - name: my-basic-authenticator
         type: basic
         credentials:
           - user: johndoe
             password: ${{JOHN_DOE_PASSWORD}}
           - user: janedoe
             password: ${{JANE_DOE_PASSWORD}}
    rules:
       - name: basic-auth-rule
         when: { reqProperty: path, like: "/summercampaign" }
         action:
           type: authenticate
           authenticator: my-basic-authenticator

Consulte Uso de canalizaciones de configuración para obtener una descripción de las propiedades que aparecen por encima del nodo data. El valor de la propiedad kind debe ser CDN y la propiedad version debe establecerse en 1.

Además, la sintaxis incluye lo siguiente:

Rotación de secretos rotating-secrets

Es recomendable cambiar las credenciales con regularidad por motivos de seguridad. Recuerde que las variables de entorno no deben cambiarse directamente, sino que debe crear un nuevo secreto y hacer referencia al nuevo nombre en la configuración.

Este caso de uso se ejemplifica a continuación, utilizando el ejemplo de una clave Edge, aunque la misma estrategia también se puede utilizar para depurar claves.

Al girar secretos configurados en encabezados de solicitud, por ejemplo para autenticarse en un backend, se recomienda realizar la rotación en dos pasos para garantizar que el valor del encabezado se cambie sin interrupciones temporales.