Source-Zugangsdaten bestimmen, wer Medien zuführen darf. Die Hörer-Authentifizierung bestimmt, wer sie abrufen darf. Ein geheimes Encoder-Kennwort schützt eine ansonsten öffentliche Hörer-URL nicht. Auch das Ausblenden eines Mounts auf der Statusseite begrenzt keinen Zugriff.
Mit einem kontrollierten Mount beginnen
Die folgende klassische htpasswd-Form steht im mitgelieferten Handbuch und wird in 2.5.0 durch die Kompatibilitätsverarbeitung unterstützt. Es handelt sich um einen Ausschnitt innerhalb von <icecast>. Verwenden Sie für eine neue detaillierte Regel die rollenbasierte Konfiguration der Version; siehe Authentifizierungsrollen.
<mount type="normal">
<mount-name>/members.ogg</mount-name>
<authentication type="htpasswd">
<option name="filename" value="/ABSOLUTE/PRIVATE/PATH/listeners"/>
<option name="allow_duplicate_users" value="0"/>
</authentication>
</mount>Ersetzen Sie den Dateipfad und legen Sie die Datei außerhalb des ausgelieferten Webroots ab. Verwalten Sie Benutzer über den passenden Icecast-Verwaltungsweg. Setzen Sie nicht voraus, dass jedes Hashformat eines fremden htpasswd-Werkzeugs unterstützt wird. Das Prozesskonto benötigt passende Dateirechte. Bewahren Sie bei Änderungen eine wiederherstellbare, zugriffsgeschützte Sicherung auf.
Das klassische allow_duplicate_users=0 verhindert gleichzeitige Nutzung desselben Kontos für diesen Authentifizierer. Es ist keine einstellbare Erlaubnis für fünf oder zehn Sitzungen pro Benutzer. Das Rollenmodell von 2.5 besitzt andere Steuerungen. Eine umbenannte alte Option ist nicht automatisch gleichbedeutend.
Berechtigung und Auslieferung prüfen
Aktivieren Sie die Testquelle. Rufen Sie die direkte Hörer-URL ohne Anmeldung, mit falschem Kennwort und mit einem gültigen Testkonto auf. Prüfen Sie danach den vorgesehenen Player- und Browserablauf über TLS. HTTP Basic verschlüsselt Kennwörter nicht selbst.
Beziehen Sie Intro und Fallback in dieselbe Zugriffsprüfung ein. Ein privater Originalstream mit direkt erreichbarem öffentlichem Backup bildet nicht automatisch einen geschützten Dienst. Vermeiden Sie Wiedergabelisten oder Links mit eingebetteten Zugangsdaten. Clients können sie kopieren, protokollieren oder speichern.
Verbindet sich die Quelle, aber kein Hörer, prüfen Sie Hörer-Authentifizierung und Benutzerdatei getrennt vom Source-Zugang. Können alle zugreifen, kontrollieren Sie die Regel am tatsächlich abgerufenen Mount einschließlich Alias und Fallback. Für eine Backend-Prüfung folgt die URL-Authentifizierung.