一家公司通过 Amazon CloudFront 使用 HTTP Live Streaming (HLS) 传输直播视频。HLS 将视频分段成数千个小文件。源站是隐藏的，因此所有用户都必须访问 CloudFront URL。Web 应用程序针对内部存储库对订阅者进行身份验证，并且已颁发 CloudFront 密钥对。保护内容的简单且有效的方法是什么？

正确答案是让应用程序使用密钥对设置 CloudFront 签名 Cookie，供用户访问内容。HLS 将视频分段成数千个小文件，如果为每个小文件生成签名 URL，会产生巨大的开销和管理复杂性。签名 Cookie 允许您为整个会话或一组文件设置一次授权，用户在后续请求中会自动发送此 Cookie，从而简化了对多个文件的访问控制。 生成签名 URL 适用于单个文件或少量文件，但对于 HLS 这种包含数千个小文件的场景效率低下。使用 Lambda@Edge 验证安全令牌会增加架构复杂性和延迟，并且可能需要额外的开发工作来管理令牌生命周期和验证逻辑。在应用程序内部加密 CloudFront URL 并在运行时解密，这并不能直接保护 CloudFront 上的内容，而是增加了不必要的复杂性，并且 AWS KMS 主要用于数据加密，不适用于实时内容访问授权。