配置远程鉴权

功能介绍

注意事项

• 配置远程鉴权后，鉴权失败的请求仍可访问到 CDN 节点，但会被 CDN 节点拒绝并返回403状态码， CDN 日志中仍会记录客户端的请求记录。

• 由于远程鉴权，将用户请求转发至您指定的鉴权服务器，由鉴权服务器对用户请求进行校验，因此在恶意请求被 CDN 节点拦截的同时，会产生少量的流量费用，如果客户端使用HTTPS协议访问，还会产生HTTPS请求数费用（因为拦截恶意请求的时候，也同时消耗了 CDN 节点的处理资源）。

操作步骤

1. 登录 CDN控制台 。

2. 在左侧导航栏，单击 域名管理 。

3. 在 域名管理 页面，找到目标域名，单击 操作 列的 管理 。

4. 在指定域名的左侧导航栏，单击 访问控制 。

5. 单击 远程鉴权 页签。

6. 打开 远程鉴权 开关，根据界面提示，配置远程鉴权信息。

   说明

   开启远程鉴权功能后，用户的每次请求都要转发给鉴权服务器处理，当请求访问量大时，需考虑鉴权服务器的压力和性能。

   参数		说明
   鉴权服务器地址		鉴权服务器对外可以访问的地址。系统会对您输入的鉴权服务器地址进行校验，包括格式校验和值校验。 格式要求 鉴权地址支持HTTP协议和HTTPS协议，格式请参考以下几种类型： http://example.com/auth https://example.com/auth http://192.0.2.1/auth https://192.0.2.1/auth 值要求 值不能包含127.0.0.1和localhost，因为这类本地地址属于无效地址。
   请求方法		鉴权服务器支持的请求方法。支持 GET 、 HEAD 和 POST 这三种请求方法，默认使用GET方法请求。
   鉴权文件类型		所有文件类型 ：所有的文件类型都参与鉴权。 指定文件类型 ：仅指定的文件类型参与鉴权。 指定文件类型时，如果您输入多个文件类型，多个文件类型用竖线（|）分隔，例如：mp4|flv。 文件类型区分大小写，即.jpg和JPG是两种不同的文件类型。
   URL鉴权参数	保留参数设置	用于控制用户请求URL中需要参与鉴权的参数。可以选择 保留所有参数 、 保留指定参数 和 删除所有URL参数 。 保留指定参数时，多个参数用竖线（|）分隔，例如：user|token。 参数区分大小写，即key和KEY是两种不同的参数。
   	添加自定义参数	为CDN节点转发给鉴权服务器的请求URL添加自定义参数。您可以自定义设置参数和取值，也可以直接使用CDN控制台上预设的变量。 自定义设置参数和取值时，要求如下： 多个参数用竖线（|）分隔，例如：token=$arg_token|vendor=ali_cdn。 参数值区分大小写，即key和KEY是两种不同的参数值。 使用预设变量时，您可以提取变量的值添加到CDN转发给鉴权服务器的请求上。 例如，选择提取变量$http_host，则用户请求的URL地址会加上host=$http_host，此处的host表示用户请求头中的host值。变量名称与变量含义的介绍，请参见 变量名称 。
   请求头鉴权参数	保留请求头设置	用于控制用户请求头中需要参与鉴权的参数。可以选择 保留所有参数 、 保留指定参数 和 删除所有请求头参数 。 保留指定参数时，多个请求头用竖线（|）分隔，例如：user_agent|referer|cookies。 参数不区分大小写，即http_remote_addr和HTTP_Remote_Addr一样。 说明 选择“保留所有参数”时，CDN节点默认会删除HOST头，如果您需要保留HOST头，可通过“保留指定参数”或者“添加自定义参数”来保留。CDN节点默认删除HOST头的原因是CDN节点转发给鉴权服务器的鉴权请求中携带的HOST头是加速域名，这可能会导致鉴权服务器无法识别鉴权请求，从而导致访问时返回404状态码，导致鉴权失败。
   	添加自定义参数	用于CDN节点转发给鉴权服务器的请求头添加自定义参数。您可以自定义设置参数和取值，也可以直接使用CDN控制台上预设的变量。 自定义设置参数和取值时，要求如下： 多个请求头用竖线（|）分隔，例如：User-Agent=$http_user_agent|vendor=ali_cdn。 参数不区分大小写，即http_remote_addr和HTTP_Remote_Addr一样。 使用预设变量时，您可以提取变量的值添加到CDN转发给鉴权服务器的请求上。 例如，选择提取变量$http_host，则用户请求的URL地址会加上host=$http_host，此处的host表示用户请求头中的host值。变量名称与变量含义的介绍，请参见 变量名称 。
   鉴权结果对应状态码	鉴权成功状态码	鉴权服务器在鉴权成功时返回给CDN的HTTP状态码。 例如，将鉴权成功状态码设置为200，当鉴权服务器返回200时，表示鉴权成功。 为避免因为一些异常情况阻断所有的用户请求，如果鉴权服务器返回的状态码既不是成功状态码，也不是失败状态码，CDN节点默认放过用户请求（例如：鉴权成功状态码设置为200，鉴权服务器返回201时，结果为放过用户请求）。
   	鉴权失败状态码	鉴权服务器在鉴权失败时返回给CDN的HTTP状态码。 例如，将鉴权失败状态码设置为403，当鉴权服务器返回403时，表示鉴权失败。 为避免因为一些异常情况阻断所有的用户请求，如果鉴权服务器返回的状态码既不是成功状态码，也不是失败状态码，CDN节点默认放过用户请求（例如：鉴权失败状态码设置为403，鉴权服务器返回404时，结果为放过用户请求）。
   	其他状态码是否放行	是 ：为避免因为一些异常情况阻断所有的用户请求，如果鉴权服务器返回的状态码既不是成功状态码，也不是失败状态码，CDN节点默认放过用户请求。 说明 例如： 鉴权成功状态码设置为200，鉴权服务器返回201时，结果为放过用户请求。 鉴权失败状态码设置为403，鉴权服务器返回404时，结果为放过用户请求。 否 ：表示在鉴权服务器返回的状态码既不是成功状态码，也不是失败状态码的情况下，CDN节点将会拒绝用户请求。
   鉴权失败之后CDN执行的操作	响应自定义状态码	用户请求鉴权失败时，CDN节点返回给用户的状态码。 例如，将响应自定义状态码设置为403，当用户请求鉴权失败时，CDN节点会返回403给用户。
   鉴权超时配置	鉴权超时时长	统计的是从CDN节点发起鉴权请求开始，到CDN节点收到鉴权服务器返回的结果为止的时间。单位为毫秒，鉴权超时时长最长可以设置为3000。
   	鉴权超时之后的动作	CDN与鉴权服务器之间的数据交互超时后，CDN对用户请求的处理。支持 通过 和 拒绝 这两种动作，区别如下： 通过 ：鉴权超时，CDN将直接允许用户请求。 拒绝 ：鉴权超时，CDN拒绝用户请求，返回上面配置的 响应自定义状态码 给用户。

7. 单击 确定 ，完成配置。

   成功配置远程鉴权功能后，您可以在 远程鉴权 页签下，对当前的配置进行修改或关闭远程鉴权功能。

变量名称

常见问题

• 阿里云CDN URL鉴权和远程鉴权可以同时开启吗？

• 远程鉴权中鉴权服务器支持配置为内网地址吗？

• 鉴权服务器返回的状态码既不是成功状态码，也不是失败状态码，CDN为什么会直接放行？

• 远程鉴权服务器发生故障或宕机时，CDN会直接放行所有请求吗？

相关API

BatchSetCdnDomainConfig