Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
# Cifrado de contenido y DRM en AWS Elemental MediaPackage
Proteja su contenido del uso no autorizado mediante el cifrado de contenido y la gestión de derechos digitales (DRM). AWS Elemental MediaPackage utiliza la [API AWS Secure Packager and Encoder Key Exchange (SPEKE)](https://aws.amazon.com/media/tech/speke-basics-secure-packager-encoder-key-exchange-api/) para facilitar el cifrado y descifrado del contenido por parte de un proveedor de DRM. Con SPEKE, el proveedor de DRM suministra claves de cifrado a través de la API SPEKE. MediaPackage El proveedor de DRM también proporciona licencias a los reproductores multimedia compatibles para que puedan descifrar el contenido. Para obtener más información sobre cómo se usa SPEKE con los servicios y funciones que se ejecutan en la nube, consulte la [arquitectura de AWS basada en la nube](https://docs.aws.amazon.com/speke/latest/documentation/what-is-speke.html#services-architecture) en la *guía de Especificaciones de la API de Secure Packager and Encoder Key Exchange*.
## Limitaciones y requisitos
Cuando implementes el cifrado de contenido AWS Elemental MediaPackage, consulta las siguientes limitaciones y requisitos:
+ Utilice la API AWS Secure Packager and Encoder Key Exchange (SPEKE) para facilitar la integración con un proveedor de gestión de derechos digitales (DRM). Para obtener información sobre SPEKE, consulte [¿Qué es Secure Packager and Encoder Key Exchange?](https://docs.aws.amazon.com/speke/latest/documentation/what-is-speke.html)
+ Su proveedor de DRM debe ser compatible con SPEKE. *Para obtener una lista de los proveedores de DRM compatibles [con SPEKE, consulte el tema Cómo unirse a un proveedor de plataformas DRM en](https://docs.aws.amazon.com/speke/latest/documentation/customer-onboarding.html#choose-drm-provider) la Guía del usuario. MediaPackage * Tu proveedor de soluciones DRM puede ayudarte a configurar el uso del cifrado DRM en. MediaPackage
+ Se utiliza MediaPackage para cifrar contenido en directo y de vídeo bajo demanda (VOD). Los activos que deben entregarse a través del servicio de MediaPackage VOD deben recopilarse desde un terminal HLS Live sin cifrar. Puede recopilar live-to-VOD activos de puntos finales HLS y DASH que estén protegidos mediante DRM o cifrado. Sin embargo, el servicio de MediaPackage VOD no puede ingerir estos activos porque son contenido cifrado (no transparente). Para obtener más información acerca de este tipo de flujo de trabajo, consulte [Creación de live-to-VOD activos con AWS Elemental MediaPackage](ltov.md).
En las siguientes secciones se proporcionan instrucciones sobre cómo elegir e implementar el cifrado de contenido con SPEKE for. MediaPackage
**Topics**
+ [Limitaciones y requisitos](#encryption-requirements)
+ [Cómo elegir la versión de SPEKE correcta](encryption-choosing-speke-version.md)
+ [Implementación de SPEKE](encryption-deploying-speke.md)
+ [Preparar y administrar los certificados para usarlos con las claves de contenido](drm-content-key-encryption.md)
+ [Comprender el comportamiento de rotación de claves](drm-content-key-rotation.md)
+ [Ajustes preestablecidos de la versión 2.0 de SPEKE](drm-content-speke-v2-presets.md)
+ [Eliminar etiquetas del manifiesto principal de AWS Elemental MediaPackage](drm-query-param.md)
# Cómo elegir la versión de SPEKE correcta
La [versión 1 de SPEKE](https://docs.aws.amazon.com/speke/latest/documentation/the-speke-api.html) admite el uso de una única clave de cifrado para todas las pistas de audio y video, y utiliza la [versión 2.0 de CPIX.](https://dashif.org/docs/DASH-IF-CPIX-v2-0.pdf) Para pistas de audio y video, la versión [2.0 de SPEKE](https://docs.aws.amazon.com/speke/latest/documentation/the-speke-api-v2.html) admite el uso claves de cifrado múltiples y diferentes, y utiliza la [versión 2.3 de CPIX](https://dashif.org/docs/CPIX2.3/Cpix.html). Para obtener más información sobre las configuraciones de cifrado de la versión 2.0 de SPEKE, consulte [Ajustes preestablecidos de la versión 2.0 de SPEKE](drm-content-speke-v2-presets.md).
Si el cifrado con varias claves o la versión 2.3 de Content Protection Information Exchange (CPIX, intercambio de información sobre protección de contenido) son requisitos obligatorios para la entrega de contenido, la versión 2.0 de SPEKE es una buena opción. Sin embargo, la compatibilidad con la versión 2.0 de SPEKE es progresiva en todos los tipos de terminales. MediaPackage Esto significa que algunas opciones en directo, como la rotación de claves, aún no están disponibles. Tenga en cuenta estas limitaciones a la hora de diseñar su estrategia de integración de SPEKE. Para obtener más información sobre la hoja de ruta de la versión 2.0 de SPEKE MediaPackage, ponte en contacto con tu equipo. Cuenta de AWS
**Protocolos y plataformas de DRM compatibles**
En las tablas siguientes, se presentan los diferentes protocolos y plataformas de gestión de derechos digitales (DRM) compatibles con las versiones 1.0 y 2.0 de SPEKE.
**nota**
La protección de contenido de Irdeto no es compatible en combinación con la versión 1.0 de SPEKE.
| | | | | |
| --- |--- |--- |--- |--- |
| SPEKE Versión 1.0 — Matriz de soporte para protocolo y sistema DRM | Microsoft PlayReady | Google Widevine | Apple FairPlay | AES-128 |
| En vivo |
| Apple HLS | No admitido | No admitido | √ Dispone de rotación de claves | √ Dispone de rotación de claves |
| CMAF Apple HLS | No compatible | √ Dispone de rotación de claves Solo admite el cifrado cbcs | √ Dispone de rotación de claves Solo admite el cifrado cbcs | No compatible |
| DASH | √ Dispone de rotación de claves | √ Dispone de rotación de claves | No admitido | No admitido |
| Microsoft Smooth | √ | No admitido | No admitido | No admitido |
| VOD |
| Apple HLS | No admitido | No admitido | √ | √ |
| CMAF Apple HLS | No compatible | √ Solo admite el cifrado cbcs | √ Solo admite el cifrado cbcs | No compatible |
| DASH | √ | √ | No admitido | No admitido |
| Microsoft Smooth | √ | No admitido | No admitido | No admitido |
| | | | | |
| --- |--- |--- |--- |--- |
| SPEKE Versión 2.0 — Matriz de soporte para protocolo y sistema DRM | Microsoft PlayReady | Google Widevine | Apple FairPlay | Protección de contenido de Irdeto |
| En vivo |
| CMAF Apple HLS | √ Admite el cifrado cbcs y cenc | √ Admite el cifrado cbcs y cenc | √ Admite el cifrado cbcs | No compatible |
| DASH | √ | √ | No compatible | √ |
| VOD |
| CMAF Apple HLS | √ Solo admite el cifrado cbcs | √ Solo admite el cifrado cbcs | √ Solo admite el cifrado cbcs | No compatible |
| DASH | √ | √ | No compatible | √ |
# Implementación de SPEKE
Su proveedor de soluciones de gestión de derechos digitales (DRM) puede ayudarle a configurar el uso del cifrado DRM en. MediaPackage Por lo general, el proveedor le proporciona una pasarela SPEKE para que la implemente en el mismo Región de AWS lugar Cuenta de AWS en el que se MediaPackage ejecuta. Además de configurar sus puntos finales de origen con los ajustes de cifrado correctos, debe [configurar las notificaciones de eventos](https://docs.aws.amazon.com/mediapackage/latest/ug/cloudwatch-events-notification.html) para los eventos del [proveedor clave que MediaPackage se generan como CloudWatch eventos](https://docs.aws.amazon.com/mediapackage/latest/ug/cloudwatch-events-example.html#key-provider-state-events). Para obtener información sobre cómo configurar los ajustes de cifrado para su punto de conexiòn, consulte la sección correspondiente a su protocolo: [campos de cifrado HLS](https://docs.aws.amazon.com/mediapackage/latest/ug/endpoints-hls-encryption.html), [campos de cifrado MSS](https://docs.aws.amazon.com/mediapackage/latest/ug/endpoints-smooth-encryption.html), [campos de cifrado CMAF](https://docs.aws.amazon.com/mediapackage/latest/ug/endpoints-cmaf-encryption.html) y [campos de cifrado DASH](https://docs.aws.amazon.com/mediapackage/latest/ug/endpoints-dash-encryption.html).
Si debe crear su propia API Gateway para conectarse MediaPackage a su servicio de claves, puede utilizar el [servidor de referencia SPEKE](https://github.com/awslabs/speke-reference-server) disponible en GitHub como punto de partida.
# Preparar y administrar los certificados para usarlos con las claves de contenido
AWS Elemental MediaPackage utiliza un documento de intercambio de información sobre protección de contenido (CPIX) para comunicarse con SPEKE acerca de las claves de contenido que se utilizan para cifrar el contenido. Para obtener la solución de cifrado de gestión de derechos digitales (DRM) más segura, utilice claves de contenido cifrado en el documento CPIX.
Para utilizar claves de contenido cifrado, se deben cumplir los siguientes requisitos:
+ El contenido cifrado debe estar activo. El vídeo bajo demanda (VOD) y los live-to-VOD flujos de trabajo no admiten las claves de contenido cifradas del documento CPIX.
+ El proveedor de claves DRM debe admitir las claves de contenido cifrado. Si habilita esta característica en un proveedor de claves que no admite el cifrado de claves de contenido, la reproducción no se ejecutará correctamente.
+ Debe importar un certificado adecuado a AWS Certificate Manager (ACM) en la misma región en la que se ejecuta. MediaPackage Para obtener información sobre ACM, consulta la [Guía del usuario de AWS Certificate Manager](https://docs.aws.amazon.com/acm/latest/userguide/).
En los siguientes procedimientos se describe cómo preparar y administrar el certificado.
**Si quieres preparar un certificado para el cifrado de claves de contenido DRM**
1. Obtén un certificado firmado con 2048 RSA, SHA-512.
1. Abra la consola ACM en. [https://console.aws.amazon.com/acm/](https://console.aws.amazon.com/acm/)
1. Importe el certificado en ACM siguiendo las instrucciones que se especifican en [Importar certificados en AWS Certificate Manager](https://docs.aws.amazon.com/acm/latest/userguide/import-certificate.html). Anote el ARN del certificado resultante, ya que lo necesitará más adelante.
Para poder utilizarlo en el cifrado de DRM, el certificado debes tener el estado **Emitido** en ACM.
**Para utilizar un certificado en AWS Elemental MediaPackage**
Si utiliza el cifrado de DRM para configurar puntos de enlace, proporcione el ARN del certificado en los parámetros de cifrado. De este modo, se habilita el cifrado de claves de contenido. Puede utilizar el mismo ARN de certificado con diferentes eventos. Para obtener más detalles, consulte los datos de configuración del cifrado en [Trabajar con puntos finales en AWS Elemental MediaPackage](endpoints.md).
**Para renovar un certificado**
Para renovar un certificado que está utilizando AWS Elemental MediaPackage, vuelva a importarlo a ACM. El certificado se renueva sin que se interrumpa su uso en MediaPackage.
**Para eliminar un certificado**
Para eliminar un certificado de ACM, este no debe estar asociado con ningún otro servicio. Elimine el ARN del certificado de las configuraciones de puntos de enlace en las que lo ha utilizado. Después, elimínelo de ACM.
**nota**
Si elimina un ARN de certificado de un punto de enlace activo, el punto de enlace seguirá en funcionamiento, pero dejará de utilizar el cifrado de claves de contenido.
# Comprender el comportamiento de rotación de claves
Cuando habilita la rotación de claves en contenido activo desde puntos de enlace HLS, CMAF y DASH, AWS Elemental MediaPackage recupera las claves de contenido antes de que comience el contenido en directo. A medida que avanza el contenido, MediaPackage recupera las nuevas claves en el intervalo que haya establecido en el punto final, tal y como se describe en. [Campos de cifrado de paquetes](endpoints-hls-encryption.md)
Si MediaPackage no puede recuperar la clave de contenido, realiza las siguientes acciones:
+ Si anteriormente se MediaPackage ha recuperado correctamente una clave de contenido para este punto final, utilizará la última clave que haya obtenido. Esto garantiza que los puntos de enlace que funcionaban anteriormente sigan funcionando.
+ Si *no MediaPackage * ha recuperado correctamente una clave de contenido para este punto final anteriormente, MediaPackage responde a la solicitud de reproducción con el error 404.
En todos los casos, cuando no se MediaPackage puede obtener una clave de contenido, se genera un CloudWatch evento, tal y como se describe en[Eventos de notificación del proveedor de claves](cloudwatch-events-example.md#key-provider-state-events).
# Ajustes preestablecidos de la versión 2.0 de SPEKE
La versión 2.0 de SPEKE admite el uso de varias claves de cifrado distintas para las pistas de audio y vídeo. MediaPackage utiliza **ajustes preestablecidos** para configurar el cifrado. La MediaPackage API define estos ajustes preestablecidos y aparecen en la MediaPackage consola en los menús preestablecidos de cifrado de **vídeo y preajuste de cifrado** de **audio de la sección** de **configuración de puntos finales de Package Encryption**. Los ajustes preestablecidos asignan las claves de cifrado a pistas de audio o vídeo específicas en función del número de canales de las pistas de audio y de la resolución de vídeo de las pistas de vídeo. MediaPackage utiliza combinaciones específicas de ajustes preestablecidos de cifrado de audio y vídeo para admitir tres escenarios de cifrado diferentes:
+ [Situación 1: pistas cifradas y no cifradas](#drm-content-speke-v2-presets-unencrypted-and-encrypted-tracks)
+ [Situación 2: clave de cifrado única para todas las pistas de audio y video](#drm-content-speke-v2-presets-single-encryption-key-for-all-tracks)
+ [Situación 3: clave de cifrado múltiple para las pistas de audio y video](#drm-content-speke-v2-presets-multiple-encryption-keys-for-audio-and-video-tracks)
## Situación 1: pistas cifradas y no cifradas
Puedes optar por *no* cifrar las pistas de audio o video seleccionando el ajuste preestablecido **SIN CIFRAR** en los menús **Ajustes preestablecidos de cifrado de video** o **Ajustes preestablecidos cifrado de audio**. No puedes seleccionar **SIN CIFRAR** para los ajustes preestablecidos de audio y video ya que, si lo haces, no tiene intención de cifrar ninguna de las pistas. Además, no puedes combinar los ajustes preestablecidos **SIN CIFRAR** y **COMPARTIDO** para audio y video, ya que **COMPARTIDO** es un ajuste preestablecido especial. Para obtener más información, consulta [Situación 2: clave de cifrado única para todas las pistas de audio y video](#drm-content-speke-v2-presets-single-encryption-key-for-all-tracks).
La siguiente lista describe las combinaciones válidas de ajustes preestablecidos **SIN CIFRAR**:
+ **SIN CIFRAR** para pistas de audio y cualquier ajuste preestablecido de video con un nombre que comience por `PRESET-VIDEO-`
+ **SIN CIFRAR** para pistas de video y cualquier ajuste preestablecido de audio con un nombre que comience por `PRESET-AUDIO-`
## Situación 2: clave de cifrado única para todas las pistas de audio y video
El ajuste preestablecido **COMPARTIDO** de la versión 2.0 de SPEKE utiliza una clave de cifrado única para todas las pistas de audio y video, como en la versión 1.0 de SPEKE. Si selecciona el ajuste preestablecido **COMPARTIDO**, selecciónelo para el cifrado de audio y video.
## Situación 3: clave de cifrado múltiple para las pistas de audio y video
Cuando se utiliza un ajuste preestablecido con un nombre que comienza por `PRESET-VIDEO-` o`PRESET-AUDIO-`, MediaPackage cifra las pistas de audio y vídeo con el número de claves de cifrado que defina el ajuste preestablecido específico. En las tablas siguientes se muestra el número de claves MediaPackage solicitadas por el servidor de claves y la forma en que esas claves se asignan a las pistas. Si ninguna pista coincide con los criterios de una clave concreta, MediaPackage no utiliza esa clave para cifrar ninguna pista.
MediaPackage cifra únicamente las pistas trickplay en formato I con la clave correspondiente a su resolución.
En la siguiente tabla, el valor del **nombre de clave** es el valor del `ContentKeyUsageRule@IntendedTrackType` atributo que se MediaPackage utiliza en el documento CPIX. Se envía al servidor de SPEKE para obtener una clave de contenido específica.
**Ajustes preestablecidos de cifrado de video**
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/mediapackage/latest/ug/drm-content-speke-v2-presets.html)
En la siguiente tabla, el valor del **nombre de clave** es el valor del `ContentKeyUsageRule@IntendedTrackType` atributo que se MediaPackage utiliza en el documento CPIX. Se envía al servidor de SPEKE para obtener una clave de contenido específica.
**Ajustes preestablecidos de cifrado de audio**
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/mediapackage/latest/ug/drm-content-speke-v2-presets.html)
Ahora ya sabe cómo MediaPackage es compatible con los ajustes preestablecidos de la versión 2.0 de SPEKE para pistas cifradas y no cifradas. Con estos ajustes preestablecidos, puede utilizar una clave de cifrado única para todas las pistas de audio y video, y múltiples claves de cifrado para las pistas de audio y video.
# Eliminar etiquetas del manifiesto principal de AWS Elemental MediaPackage
MediaPackage Las señales del canal principal muestran la `#EXT-X-SESSION-KEY` etiqueta de cada tipo de pista en un punto final HLS o CMAF. Esta etiqueta permite a los dispositivos de reproducción recuperar previamente las claves cuando una clave se comparte en varias transmisiones. Hay ocasiones en las que puede que no quieras usar esta etiqueta opcional, por ejemplo, cuando usas solo un subconjunto de las pistas y no quieres que se haga referencia a todas las claves en el manifiesto principal. Con SPEKE v2, puedes añadir un parámetro de consulta a tus solicitudes de manifiesto que eliminará todas las `#EXT-X-SESSION-KEY ` etiquetas del manifiesto principal. Como cada manifiesto secundario tiene su propia `#EXT-X-KEY` etiqueta para obtener una clave de descifrado, esto `#EXT-X-SESSION-KEY ` suele ser superfluo.
Para quitar la `#EXT-X-SESSION-KEY` etiqueta de las respuestas al MediaPackage manifiesto, usa el siguiente parámetro de consulta: `aws.drmsettings=excludesessionkeys`
En la siguiente sección, se proporciona más información sobre el uso de los parámetros de consulta.
## Sintaxis de la consulta
El parámetro de consulta base para eliminar `#EXT-X-SESSION-KEY` etiquetas es`aws.drmsettings`, seguido de los pares opcionales de nombre y valor del parámetro. Para crear la consulta, añádala `?aws.drmsettings=` al final de la URL del MediaPackage punto final, seguido del nombre y el valor del parámetro.
Una consulta de filtro de Apple HLS tendrá el siguiente aspecto:
`https://example-mediapackage-endpoint.mediapackage.us-west-2.amazonaws.com/out/v1/examplemediapackage/index.m3u8?aws.drmsettings=excludesessionkeys`
La sintaxis de la consulta se muestra en la tabla siguiente.
**nota**
Si utilizas Amazon CloudFront como CDN, es posible que tengas que configurar configuraciones adicionales. Para obtener más información, consulte [Configurar el comportamiento de la caché para todos los puntos finales](https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/live-streaming.html#live-streaming-with-mediapackage-create-cache-behavior).
| Componente de la cadena de consulta | Description (Descripción) |
| --- | --- |
| ? | Carácter restringido que indica el comienzo de una consulta. |
| aws.drmsettings= | La consulta base, seguida de parámetros formados por pares de nombre y valor. |
| : | Se utiliza para asociar el nombre del parámetro con un valor. Por ejemplo, parameter\$1name:value. |
| ; | Separa los parámetros de una consulta que contiene varios parámetros. Por ejemplo, parameter1\$1name:value;parameter2\$1name:minValue-maxValue. Cuando se utiliza en una lista de parámetros para la misma consulta, implica una AND operación. |
## Condiciones de error
Algunos dispositivos de reproducción devuelven errores si el manifiesto o los segmentos incluyen parámetros de consulta no válidos o desconocidos. Los siguientes son parámetros de consulta que MediaPackage se pueden procesar:
+ `m`
+ `start`
+ `end`
+ `aws.manifestfilter`
+ `aws.drmsettings`
Si tiene parámetros de consulta distintos de los enumerados, utilice una CDN como Amazon CloudFront para eliminar los parámetros innecesarios. Para obtener más información, consulte Almacenar en [caché el contenido en función de los parámetros de la cadena de consulta](https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/QueryStringParameters.html) en la *Guía para CloudFront desarrolladores de Amazon*.
La siguiente tabla contiene otras condiciones de error comunes.
****
| Condición de error | Ejemplo | Código de estado HTTP |
| --- | --- | --- |
| No se encuentra un parámetro de la lista y no forma parte de una lista restringida | ?aws.manifestfilter=audio\$1language:dahlia | 200 |
| Solo las secuencias de subtítulos están presentes en la secuencia | ?aws.manifestfilter=audio\$1sample\$1rate:0-1;video\$1bitrate=0-1 | 200 |
| Parámetro de filtro duplicado | ?aws.manifestfilter=audio\$1sample\$1rate:0-48000;aws.manifestfilter=audio\$1sample\$1rate:0-48000 | 400 |
| Parámetro no válido | ?aws.manifestfilter=donut\$1type:rhododendron | 400 |
| Parámetro de intervalo no válido | ?aws.manifestfilter=audio\$1sample\$1rate:300-0 | 400 |
| Valor de intervalo no válido (superior a INT\$1MAX) | ?aws.manifestfilter=audio\$1sample\$1rate:0-2147483648 | 400 |
| Cadena de consulta con formato incorrecto | ?aws.manifestfilter=audio\$1sample\$1rate:is:0-44100 | 400 |
| La cadena del parámetro tiene más de 1024 caracteres | ?aws.manifestfilter=audio\$1language:abcdef.... | 400 |
| Parámetros de consulta en un manifiesto de velocidad de bits HLS o CMAF | index\$11.m3u8?aws.manifestfilter=video\$1codec:h264 | 400 |
| Parámetros de consulta en una solicitud de segmento | ...\$11.[ts\$1mp4\$1vtt..]?aws.manifestfilter=video\$1codec:h264 | 400 |
| Parámetro de consulta repetido | ?aws.manifestfilter=audio\$1sample\$1rate:0-48000;aws.manifestfilter=video\$1bitrate:0-1 | 400 |
| La aplicación del filtro da como resultado un manifiesto vacío (el contenido no tiene secuencias que cumplan las condiciones definidas en la cadena de consulta) | ?aws.manifestfilter=audio\$1sample\$1rate:0-1;video\$1bitrate=0-1 | 400 |