Verwenden von SSL mit dem Dispatcher using-ssl-with-dispatcher

Verwenden Sie SSL-Verbindungen zwischen Dispatcher und Render-Computer:

Verwenden von SSL, wenn der Dispatcher eine Verbindung zu AEM herstellt use-ssl-when-dispatcher-connects-to-aem

Konfigurieren Sie den Dispatcher für die Kommunikation mit der AEM- oder CQ-Render-Instanz mithilfe von SSL-Verbindungen.

Bevor Sie den Dispatcher konfigurieren, konfigurieren Sie zunächst AEM oder CQ für die Verwendung von SSL. Weitere Informationen finden Sie unter:

SSL-bezogene Anfrage-Header ssl-related-request-headers

Wenn der Dispatcher eine HTTPS-Anfrage erhält, nimmt der Dispatcher die folgenden Header in die nachfolgende Anfrage auf, die an AEM oder CQ gesendet wird:

Eine Anfrage durch Apache 2.4 mit mod_ssl enthält ähnliche Kopfzeilen wie im folgenden Beispiel:

X-Forwarded-SSL: on
X-Forwarded-SSL-Cipher: DHE-RSA-AES256-SHA
X-Forwarded-SSL-Session-ID: 814825E8CD055B4C166C2EF6D75E1D0FE786FFB29DEB6DE1E239D5C771CB5B4D

Konfigurieren des Dispatchers für die Verwendung von SSL configuring-dispatcher-to-use-ssl

Um den Dispatcher so zu konfigurieren, dass über SSL eine Verbindung mit AEM oder CQ hergestellt wird, muss die Datei dispatcher.any die folgenden Eigenschaften aufweisen:

Hinweis: Erstellen Sie einen weiteren virtuellen Host, um bei Bedarf HTTP-Anfragen zu verarbeiten.

Im folgenden Beispiel weist die Datei dispatcher.any die Eigenschaftswerte für das Herstellen einer Verbindung mithilfe von HTTPS zu einer CQ-Instanz auf, die auf dem Host localhost und Port 8443 ausgeführt wird:

/farms
{
   /secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTPS requests
         "https://*"
      }
      /renders
      {
      /0001
         {
            # hostname or IP of the render
            /hostname "localhost"
            # port of the render
            /port "8443"
            # connect via HTTPS
            /secure "1"
         }
      }
     # the rest of the properties are omitted
   }

   /non-secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTP requests
         "http://*"
      }
      /renders
      {
         /0001
      {
         # hostname or IP of the render
         /hostname "localhost"
         # port of the render
         /port "4503"
      }
   }
    # the rest of the properties are omitted
}

Konfigurieren der bidirektionalen SSL-Kommunikation zwischen dem Dispatcher und AEM configuring-mutual-ssl-between-dispatcher-and-aem

Konfigurieren Sie die Verbindungen zwischen dem Dispatcher und dem Render-Computer (normalerweise eine AEM- oder CQ-Veröffentlichungsinstanz) zur Verwendung der bidirektionalen SSL-Kommunikation:

Um die bidirektionale SSL-Kommunikation zu konfigurieren, benötigen Sie Zertifikate, die von einer vertrauenswürdigen Zertifizierungsstelle signiert sind. Selbstsignierte Zertifikate sind nicht ausreichend. Entweder können Sie als Zertifizierungsstelle fungieren oder Sie können eine externe Zertifizierungsstelle in Anspruch nehmen, um Ihre Zertifikate zu signieren. Um die bidirektionale SSL-Kommunikation zu konfigurieren, benötigen Sie Folgendes:

Gehen Sie wie folgt vor, um die bidirektionale SSL-Kommunikation zu konfigurieren:

Erstellen oder Beziehen von von Zertifizierungsstellen signierten Zertifikaten creating-or-obtaining-ca-signed-certificates

Erstellen oder beziehen Sie von einer Zertifizierungsstelle signierte Zertifikate, die die Veröffentlichungsinstanz und den Dispatcher authentifizieren.

Erstellen einer Zertifizierungsstelle creating-your-ca

Wenn Sie als Zertifizierungsstelle fungieren, verwenden Sie OpenSSL zum Erstellen der Zertifizierungsstelle, die die Server- und Client-Zertifikate signiert. (Sie müssen die OpenSSL-Bibliotheken installiert haben.) Wenn Sie eine externe Zertifizierungsstelle verwenden, führen Sie dieses Verfahren nicht durch.

Erstellen der Zertifikate creating-the-certificates

Verwenden Sie OpenSSL, um die Zertifikatanforderungen zu erstellen, die an die externe Zertifizierungsstelle gesendet oder von Ihrer Zertifizierungsstelle signiert werden sollen.

Wenn Sie ein Zertifikat erstellen, verwendet OpenSSL die Eigenschaft für den allgemeinen Namen des Zertifikats, um die Inhaberin oder den Inhaber des Zertifikats zu identifizieren. Verwenden Sie für das Zertifikat der Render-Instanz den Host-Namen des Instanz-Computers als den allgemeinen Namen, wenn Sie den Dispatcher so konfigurieren, dass das Zertifikat akzeptiert wird. Verfahren Sie auf diese Weise nur, wenn es eine Übereinstimmung mit dem Host-Namen der Veröffentlichungsinstanz gibt. Siehe die Eigenschaft DispatcherCheckPeerCN.

Konfigurieren von SSL auf dem Render-Computer configuring-ssl-on-the-render-computer

Konfigurieren Sie SSL in der Render-Instanz mithilfe der Dateien rendercert.pem und renderkey.pem.

Konvertieren des Render-Zertifikats in das Java™ KeyStore(JKS)-Format converting-the-render-certificate-to-jks-format

Verwenden Sie den folgenden Befehl, um das Render-Zertifikat, bei dem es sich um eine PEM-Datei handelt, in eine Datei im PKCS#12-Format zu konvertieren. Schließen Sie außerdem das Zertifikat der Zertifizierungsstelle ein, die das Render-Zertifikat signiert hat:

Hinzufügen des Zertifizierungsstellenzertifikats zum Render-TrustStore adding-the-ca-cert-to-the-render-s-truststore

Wenn Sie als Zertifizierungsstelle fungieren, importieren Sie das Zertifizierungsstellenzertifikat in einen Keystore. Konfigurieren Sie anschließend die JVM, auf der die Render-Instanz ausgeführt wird, so, dass sie dem Keystore vertraut.

Konfigurieren der Renderinstanz configuring-the-render-instance

Um den HTTP-Dienst der Render-Instanz für SSL zu konfigurieren, verwenden Sie das Render-Zertifikat mit den Anweisungen im Abschnitt Enable SSL on the Publish Instance:

Konfigurieren von SSL für das Dispatcher-Modul configuring-ssl-for-the-dispatcher-module

Um den Dispatcher für die Verwendung der bidirektionalen SSL-Kommunikation zu konfigurieren, bereiten Sie das Dispatcher-Zertifikat vor und konfigurieren Sie dann das Webservermodul.

Erstellen eines einheitlichen Dispatcher-Zertifikats creating-a-unified-dispatcher-certificate

Führen Sie das Dispatcher-Zertifikat und den unverschlüsselten privaten Schlüssel in einer einzelnen PEM-Datei zusammen. Verwenden Sie einen Text-Editor oder den Befehl cat, um eine Datei wie im folgenden Beispiel zu erstellen:

Festlegen des für den Dispatcher zu verwendenden Zertifikats specifying-the-certificate-to-use-for-dispatcher

Fügen Sie die folgenden Eigenschaften zur Konfiguration des Dispatcher-Moduls (in der Datei httpd.conf) hinzu:

Der folgende Code weist eine Beispielkonfiguration auf:

<IfModule disp_apache2.c>
  DispatcherConfig conf/dispatcher.any
  DispatcherLog    logs/dispatcher.log
  DispatcherLogLevel 3
  DispatcherNoServerHeader 0
  DispatcherDeclineRoot 0
  DispatcherUseProcessedURL 0
  DispatcherPassError 0
  DispatcherCertificateFile disp_unified.pem
  DispatcherCACertificateFile cacert.pem
  DispatcherCheckPeerCN On
</IfModule>