Configuration de la mise en réseau avancée pour AEM as a Cloud Service configuring-advanced-networking

Cet article vise à vous présenter les différentes fonctionnalités de mise en réseau avancée d’AEM as a Cloud Service, y compris la mise en œuvre en libre-service et l’approvisionnement d’API de VPN, de ports non standard et d’adresses IP de sortie dédiées.

Vue d’ensemble overview

AEM as a Cloud Service propose les options de mise en réseau avancée suivantes :

Cet article décrit d’abord en détail chacune de ces options et les raisons pour lesquelles vous pouvez les utiliser, avant de décrire comment elles sont configurées à l’aide de l’interface utilisateur de Cloud Manager et de l’API, et se termine par quelques cas d’utilisation avancés.

Exigences et restrictions requirements

Lors de la configuration de fonctionnalités de mise en réseau avancée, les restrictions suivantes s’appliquent.

Configurer et activer la mise en réseau avancée configuring-enabling

L’utilisation de fonctionnalités de mise en réseau avancée nécessite deux étapes :

Les deux étapes peuvent être effectuées à l’aide de l’interface utilisateur de Cloud Manager ou de l’API Cloud Manager.

Sortie de port flexible flexible-port-egress

Cette fonctionnalité de mise en réseau avancée vous permet de configurer AEM as a Cloud Service pour récupérer le trafic par des ports autres que HTTP (port 80) et HTTPS (port 443), qui sont ouverts par défaut.

Configuration de l’interface utilisateur configuring-flexible-port-egress-provision-ui

Un nouvel enregistrement s’affiche sous l’en-tête Infrastructure réseau dans le panneau latéral, y compris des détails sur le type d’infrastructure, le statut, la région et les environnements sur lesquels elle a été activée.

Configuration de l’API configuring-flexible-port-egress-provision-api

Une fois par programme, le point d’entrée /program/<programId>/networkInfrastructures POST est invoqué, simplement en transmettant la valeur du flexiblePortEgress pour le paramètre kind et la région. Le point d’entrée répond avec l’network_id et d’autres informations, y compris le statut.

Une fois l’appel lancé, l’approvisionnement de l’infrastructure réseau prend généralement environ 15 minutes. Un appel au point d’entrée GET de l’infrastructure réseau de Cloud Manager doit afficher le statut prêt.

Routage du trafic flexible-port-egress-traffic-routing

Pour le trafic http ou https se rendant dans des ports autres que 80 ou 443, un proxy doit être configuré à l’aide des variables d’environnement hôte et port suivantes :

Par exemple, voici un exemple de code pour envoyer une requête à www.example.com:8443 :

String url = "www.example.com:8443"
String proxyHost = System.getenv().getOrDefault("AEM_PROXY_HOST", "proxy.tunnel");
int proxyPort = Integer.parseInt(System.getenv().getOrDefault("AEM_HTTPS_PROXY_PORT", "3128"));
HttpClient client = HttpClient.newBuilder()
      .proxy(ProxySelector.of(new InetSocketAddress(proxyHost, proxyPort)))
      .build();

HttpRequest request = HttpRequest.newBuilder().uri(URI.create(url)).build();
HttpResponse<String> response = client.send(request, BodyHandlers.ofString());

Si vous utilisez des bibliothèques réseau Java non standard, configurez des proxys à l’aide des propriétés ci-dessus, pour tout le trafic.

Le trafic non http/s pointant vers des destinations via des ports déclarés dans le paramètre portForwards doit référencer une propriété appelée AEM_PROXY_HOST, ainsi que le port mappé. Par exemple :

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

Le tableau ci-dessous décrit le routage du trafic :

Configuration Apache/Dispatcher apache-dispatcher

La directive mod_proxy Apache au niveau du Dispatcher d’AEM Cloud Service peut être configurée à l’aide des propriétés décrites ci-dessus.

ProxyRemote "http://example.com:8080" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "http://example.com:8080"
ProxyPassReverse "/somepath" "http://example.com:8080"

SSLProxyEngine on //needed for https backends

ProxyRemote "https://example.com:8443" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "https://example.com:8443"
ProxyPassReverse "/somepath" "https://example.com:8443"

Adresse IP Egress dédiée dedicated-egress-ip-address

Cette adresse IP dédiée peut améliorer la sécurité lors de l’intégration aux fournisseurs SaaS (comme un fournisseur de solutions de gestion de la relation client) ou d’autres intégrations en dehors d’AEM as a Cloud Service qui offrent une liste d’adresses IP autorisées. En ajoutant l’adresse IP dédiée à la liste autorisée, elle garantit que seul le trafic provenant de votre AEM Cloud Service est autorisé à s’écouler vers le service externe. Cela s’ajoute au trafic provenant de toute autre adresse IP autorisée.

La même adresse IP dédiée est appliquée à tous les programmes dans votre organisation Adobe ainsi qu’à tous les environnements de chacun de vos programmes. Elle s’applique aux services de création et de publication.

Si la fonction d’adresse IP dédiée n’est pas activée, le trafic provenant d’AEM as a Cloud Service passe par un jeu d’adresses IP partagées avec d’autres clientes et clients.

La configuration de l’adresse IP de sortie dédiée est identique à celle d’une sortie de port flexible. La principale différence est que le trafic sortira toujours d’une adresse IP dédiée et unique après l’application de cette configuration. Pour trouver cette adresse IP, utilisez un résolveur DNS pour identifier l’adresse IP associée à p{PROGRAM_ID}.external.adobeaemcloud.com. L’adresse IP n’est pas censée changer, mais si elle le doit malgré tout, vous recevez une notification avancée.

Configuration de l’interface utilisateur configuring-dedicated-egress-provision-ui

Un nouvel enregistrement s’affiche sous l’en-tête Infrastructure réseau dans le panneau latéral, y compris des détails sur le type d’infrastructure, le statut, la région et les environnements sur lesquels elle a été activée.

Configuration de l’API configuring-dedicated-egress-provision-api

Une fois par programme, le point d’entrée /program/<programId>/networkInfrastructures POST est invoqué, simplement en transmettant la valeur du dedicatedEgressIp pour le paramètre kind et la région. Le point d’entrée répond avec l’network_id et d’autres informations, y compris le statut.

Une fois l’appel lancé, l’approvisionnement de l’infrastructure réseau prend généralement environ 15 minutes. Un appel au point d’entrée GET de l’infrastructure réseau de Cloud Manager doit afficher le statut prêt.

Routage du trafic dedicated-egress-ip-traffic-routing

Le trafic HTTP ou HTTPS passe par un proxy préconfiguré, à condition qu’il utilise des propriétés système Java standard pour les configurations de proxy.

Le trafic non http/s pointant vers des destinations via des ports déclarés dans le paramètre portForwards doit référencer une propriété appelée AEM_PROXY_HOST, ainsi que le port mappé. Par exemple :

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

Utilisation de la fonctionnalité feature-usage

Cette fonctionnalité est compatible avec les bibliothèques ou le code Java qui génèrent du trafic sortant, à condition qu’ils utilisent les propriétés système Java standard pour les configurations de proxy. Dans la pratique, cela devrait inclure la plupart des bibliothèques courantes.

Voici un exemple de code :

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();
  URLConnection connection = finalUrl.openConnection();
  connection.addRequestProperty("Accept", "application/json");
  connection.addRequestProperty("X-API-KEY", apiKey);

  try (InputStream responseStream = connection.getInputStream(); Reader responseReader = new BufferedReader(new InputStreamReader(responseStream, Charsets.UTF_8))) {
    return new JSONObject(new JSONTokener(responseReader));
  }
}

Certaines bibliothèques nécessitent une configuration explicite pour utiliser les propriétés système Java standard pour les configurations de proxy.

Exemple utilisant Apache HttpClient qui nécessite des appels explicites à
HttpClientBuilder.useSystemProperties() ou l’utilisation de
HttpClients.createSystem() :

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();

  HttpClient httpClient = HttpClientBuilder.create().useSystemProperties().build();
  HttpGet request = new HttpGet(finalUrl.toURI());
  request.setHeader("Accept", "application/json");
  request.setHeader("X-API-KEY", apiKey);
  HttpResponse response = httpClient.execute(request);
  String result = EntityUtils.toString(response.getEntity());
}

Considérations relatives au débogage debugging-considerations

Pour contrôler que le trafic est effectivement sortant sur l’adresse IP dédiée attendue, vérifiez les journaux dans le service de destination, si disponible. Dans le cas contraire, il peut s’avérer utile d’appeler un service de débogage tel que https://ifconfig.me/IP, qui renverra l’adresse IP d’appel.

Réseau privé virtuel (VPN) vpn

Un VPN permet de se connecter à une infrastructure On-Premise ou à un centre de données à partir des instances de création, de publication ou d’aperçu. Cela peut être utile, par exemple, pour sécuriser l’accès à une base de données. Cela permet également de se connecter aux fournisseurs SaaS tels qu’un fournisseur de gestion de la relation client qui prend en charge les VPN ou de se connecter à l’instance de création, d’aperçu ou de publication d’AEM as a Cloud Service à partir d’un réseau d’entreprise.

La plupart des appareils VPN dotés de la technologie IPSec sont pris en charge. Consultez les informations de la colonne Instructions de configuration basées sur l’itinéraire dans cette liste d’appareils. Configurez l’appareil comme décrit dans le tableau.

Configuration de l’interface utilisateur configuring-vpn-ui

Un nouvel enregistrement s’affiche sous l’en-tête Infrastructure réseau dans le panneau latéral, avec des détails sur le type d’infrastructure, le statut, la région et les environnements sur lesquels il a été activé.

Configuration de l’API configuring-vpn-api

Une fois par programme, le POST /program/<programId>/networkInfrastructures Le point de terminaison est appelé, transmettant un payload d’informations de configuration, notamment : la valeur de vpn pour le kind paramètre, région, espace d’adresse (liste des CIDR - notez que cela ne peut pas être modifié plus tard), les résolveurs DNS (pour résoudre les noms dans votre réseau) et les informations de connexion VPN telles que la configuration de la passerelle, la clé VPN partagée et la politique de sécurité IP. Le point d’entrée répond avec l’network_id et d’autres informations, y compris le statut.

Une fois l’appel lancé, l’approvisionnement de l’infrastructure réseau prend généralement entre 45 et 60 minutes. La méthode GET de l’API peut être appelée pour renvoyer le statut actuel, qui finira par passer de creating à ready. Consultez la documentation de l’API pour connaître tous les statuts.

Routage du trafic vpn-traffic-routing

Le tableau ci-dessous décrit le routage du trafic.

Domaines utiles à la configuration vpn-useful-domains-for-configuration

Le diagramme ci-dessous offre une représentation visuelle d’un ensemble de domaines et d’adresses IP associées utiles à la configuration et au développement. Le tableau sous le diagramme décrit ces domaines et adresses IP.

Restreindre le VPN aux connexions entrantes restrict-vpn-to-ingress-connections

Si vous souhaitez n’autoriser que l’accès VPN à AEM, les listes autorisées d’environnement peuvent être configurées dans Cloud Manager, de sorte que seule l’adresse IP définie par p{PROGRAM_ID}.external.adobeaemcloud.com est autorisée à s’adresser à l’environnement. Vous pouvez le faire de la même manière que pour toute autre liste autorisée basée sur les adresses IP dans Cloud Manager.

Si les règles doivent être basées sur un chemin d’accès, utilisez des directives http standard au niveau du Dispatcher pour refuser ou autoriser certaines adresses IP. Elles doivent s’assurer que les chemins souhaités ne peuvent pas être mis en cache sur le réseau de diffusion de contenu, de sorte que la demande puisse toujours être mise en origine.

Exemple de configuration httpd httpd-example

Order deny,allow
Deny from all
Allow from 192.168.0.1
Header always set Cache-Control private

Activer les configurations de mise en réseau avancée dans les environnements enabling

Une fois que vous avez configuré une option de mise en réseau avancée pour un programme afin de l’utiliser, qu’il s'agisse de la sortie de port flexible, l’adresse IP de sortie dédiée, ou du VPN,, vous devez l’activer au niveau de l’environnement.

Lorsque vous activez une configuration de mise en réseau avancée pour un environnement, vous avez la possibilité d’activer le transfert de port facultatif et les hôtes non proxy. Les paramètres sont configurables par environnement afin d’offrir une certaine flexibilité.

Activer à l’aide de l’interface utilisateur enabling-ui

La configuration de mise en réseau avancée est appliquée à l’environnement sélectionné. De retour sur l’onglet Environnements vous pouvez voir les détails de la configuration appliquée à l’environnement sélectionné et leur statut.

Activer à l’aide de l’API enabling-api

Pour activer une configuration de mise en réseau avancée pour un environnement, le point d’entrée PUT /program/<program_id>/environment/<environment_id>/advancedNetworking doit être appelé par environnement.

L’API doit répondre en quelques secondes seulement et indiquer un statut updating et, au bout d’environ 10 minutes, un appel au point d’entrée de l’environnement de Cloud Manager affiche le statut ready, indiquant que la mise à jour de l’environnement a été appliquée.

Les règles de transfert de port par environnement peuvent être mises à jour en invoquant à nouveau le point d’entrée PUT /program/{programId}/environment/{environmentId}/advancedNetworking, en veillant à inclure l’ensemble complet des paramètres de configuration, plutôt qu’un sous-ensemble.

Les types de mise en réseau avancée de VPN et les adresses IP de sortie dédiées prennent en charge un paramètre nonProxyHosts. Vous pouvez ainsi déclarer un ensemble d’hôtes qui doivent passer par une plage d’adresses IP partagées plutôt que par l’adresse IP dédiée. Les URL nonProxyHost peuvent être calquées sur example.com ou *.example.com, le caractère générique n’étant pris en charge qu’au début du domaine.

Notez que même en l’absence de règles de routage du trafic de l’environnement (hôtes ou contournements), PUT /program/<program_id>/environment/<environment_id>/advancedNetworking doit toujours être appelé mais avec une payload vide.

Modifier et supprimer des configurations de mise en réseau avancée dans des environnements editing-deleting-environments

Après l’activation d’une configuration de mise en réseau avancée pour les environnements, vous pouvez mettre à jour les détails de ces configurations ou les supprimer.

Modifier ou supprimer à l’aide de l’interface utilisateur editing-ui

Les modifications seront répercutées sur l’onglet Environnements.

Modifier ou supprimer à l’aide de l’API editing-api

Pour désactiver la mise en réseau avancée pour un environnement en particulier, appelez DELETE [/program/{programId}/environment/{environmentId}/advancedNetworking]().

Modifier et supprimer l’infrastructure réseau d’un programme editing-deleting-program

Une fois l’infrastructure réseau créée pour un programme, seules les propriétés limitées peuvent être modifiées. Si vous n’en avez plus besoin, vous pouvez supprimer l’infrastructure de mise en réseau avancée pour l’ensemble de votre programme.

Modifier et supprimer à l’aide de l’interface utilisateur delete-ui

Les modifications seront répercutées sur l’onglet Environnements.

Modifier et supprimer avec l’API delete-api

Pour supprimer l’infrastructure réseau d’un programme, appelez DELETE /program/{program ID}/networkinfrastructure/{networkinfrastructureID}.

Modifier le type d’infrastructure de mise en réseau avancée d’un programme changing-program

Il n’est possible de configurer qu’un seul type d’infrastructure de mise en réseau avancée pour un programme à la fois, soit une sortie de port flexible, une adresse IP de sortie dédiée ou un VPN.

Si vous décidez que vous avez besoin d’un autre type d’infrastructure de mise en réseau avancée que celui que vous avez déjà configuré, vous devez supprimer le type existant et en créer un nouveau. Procédez comme suit :

Configuration de réseau avancée pour des régions de publication supplémentaires advanced-networking-configuration-for-additional-publish-regions

Lorsqu’une région supplémentaire est ajoutée à un environnement qui dispose déjà d’une mise en réseau avancée configurée, le trafic de la région de publication supplémentaire qui correspond aux règles de mise en réseau avancée traverse par défaut la région principale. Toutefois, si la région principale n’est plus disponible, le trafic de mise en réseau avancée est abandonné si la mise en réseau avancée n’a pas été activée dans la région supplémentaire. Si vous souhaitez optimiser la latence et augmenter la disponibilité en cas de panne de l’une des régions, il est nécessaire d’activer une mise en réseau avancée pour la ou les régions de publication supplémentaires. Les sections ci-après décrivent deux scénarios différents.

Adresse IP de sortie dédiée additional-publish-regions-dedicated-egress

Mise en réseau avancée déjà activée dans la région principale already-enabled

Si une configuration de mise en réseau avancée est déjà activée dans la région principale, procédez comme suit :

Mise en réseau avancée non configurée dans une région not-yet-configured

La procédure est essentiellement similaire aux instructions précédentes. Cependant, si l’environnement de production n’a pas encore été activé pour la mise en réseau avancée, vous avez la possibilité de tester la configuration en l’activant d’abord dans un environnement d’évaluation :

VPN vpn-regions

La procédure est presque identique aux instructions d’adresses IP sortantes dédiées. La seule différence est qu’en plus de la propriété de région configurée différemment de la région principale, le champ connections.gateway peut éventuellement être configuré pour l’acheminement vers un autre point d’entrée VPN exploité par votre organisation, peut-être géographiquement plus proche de la nouvelle région.