Utilización de SSL con Dispatcher using-ssl-with-dispatcher

Utilice conexiones SSL entre Dispatcher y el equipo de procesamiento:

Usar SSL cuando Dispatcher se conecta a AEM use-ssl-when-dispatcher-connects-to-aem

Configure Dispatcher para que se comunique con la instancia de procesamiento de AEM o CQ mediante conexiones SSL.

Antes de configurar Dispatcher, configure AEM o CQ para utilizar SSL. Para obtener más información, consulte lo siguiente:

Encabezados de solicitud relacionados con SSL ssl-related-request-headers

Cuando Dispatcher recibe una solicitud HTTPS, Dispatcher incluye los siguientes encabezados en la solicitud posterior que envía a AEM o CQ:

Una solicitud a través de Apache-2.4 con mod_ssl incluye encabezados similares al del siguiente ejemplo:

X-Forwarded-SSL: on
X-Forwarded-SSL-Cipher: DHE-RSA-AES256-SHA
X-Forwarded-SSL-Session-ID: 814825E8CD055B4C166C2EF6D75E1D0FE786FFB29DEB6DE1E239D5C771CB5B4D

Configurar Dispatcher para usar SSL configuring-dispatcher-to-use-ssl

Para configurar Dispatcher para que se conecte con AEM o CQ a través de SSL, su archivo dispatcher.any necesita las siguientes propiedades:

Nota: Cree otro host virtual para administrar solicitudes HTTP si fuera necesario.

En el siguiente ejemplo, el archivo dispatcher.any muestra los valores de propiedad para la conexión mediante HTTPS a una instancia de CQ que se ejecuta en el host localhost y en el puerto 8443:

/farms
{
   /secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTPS requests
         "https://*"
      }
      /renders
      {
      /0001
         {
            # hostname or IP of the render
            /hostname "localhost"
            # port of the render
            /port "8443"
            # connect via HTTPS
            /secure "1"
         }
      }
     # the rest of the properties are omitted
   }

   /non-secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTP requests
         "http://*"
      }
      /renders
      {
         /0001
      {
         # hostname or IP of the render
         /hostname "localhost"
         # port of the render
         /port "4503"
      }
   }
    # the rest of the properties are omitted
}

Configurar un SSL mutuo entre Dispatcher y AEM configuring-mutual-ssl-between-dispatcher-and-aem

Para utilizar SSL mutuo, configure las conexiones entre Dispatcher y el equipo de procesamiento (normalmente una instancia de publicación de AEM o CQ):

Para configurar un certificado SSL mutuo, necesita certificados firmados por una entidad emisora de certificados (CA) de confianza. Los certificados autofirmados no son adecuados. Puede actuar como CA o utilizar los servicios de una CA de terceros para firmar sus certificados. Para configurar SSL mutuo, necesita los siguientes elementos:

Para configurar SSL mutuo, realice los siguientes pasos:

Crear o conseguir certificados firmados por la CA creating-or-obtaining-ca-signed-certificates

Cree o consiga los certificados firmados por la CA que autentican la instancia de publicación y Dispatcher.

Crear su CA creating-your-ca

Si actúa como CA, utilice OpenSSL para crear la autoridad de certificación que firme los certificados de servidor y cliente. (Debe tener instaladas las bibliotecas OpenSSL). Si utiliza una CA de terceros, no realice este procedimiento.

Crear certificados creating-the-certificates

Utilice OpenSSL para crear las solicitudes de certificado que se enviarán a la CA de terceros o para firmar con la CA.

Al crear un certificado, OpenSSL utiliza la propiedad Nombre común para identificar al titular del certificado. Para el certificado de la instancia de representación, utilice el nombre de host del equipo de la instancia como nombre común si configura Dispatcher para aceptar el certificado. Realice este procedimiento solo si coincide con el nombre de host de la instancia de publicación. Consulte la propiedad DispatcherCheckPeerCN.

Configurar SSL en el equipo de procesamiento configuring-ssl-on-the-render-computer

Configure SSL en la instancia de procesamiento utilizando los archivos rendercert.pem y renderkey.pem.

Conversión del certificado de procesamiento al formato JKS (Java™ KeyStore) converting-the-render-certificate-to-jks-format

Utilice el siguiente comando para convertir el certificado de procesamiento, que es un archivo PEM, a un archivo PKCS#12. Incluya también el certificado de la CA que firmó el certificado de procesamiento:

Añadir el certificado de CA al truststore del procesador. adding-the-ca-cert-to-the-render-s-truststore

Si actúa como CA, importe el certificado de CA a un repositorio de claves. A continuación, configure la JVM que ejecuta la instancia de procesamiento para confiar en el repositorio de claves.

Configurar la instancia de procesamiento configuring-the-render-instance

Para configurar el servicio HTTP de la instancia de procesamiento para que utilice SSL, utilice el certificado de procesamiento con las instrucciones en la sección Enable SSL on the Publish Instance:

Configurar SSL para el módulo de Dispatcher configuring-ssl-for-the-dispatcher-module

Para configurar Dispatcher para que utilice SSL mutuo, prepare el certificado de Dispatcher y, a continuación, configure el módulo del servidor web.

Crear un certificado de Dispatcher unificado creating-a-unified-dispatcher-certificate

Combine el certificado de Dispatcher y la clave privada no cifrada en un solo archivo PEM. Utilice un editor de texto o el comando cat para crear un archivo similar al siguiente ejemplo:

Especificar el certificado que se va a usar para Dispatcher specifying-the-certificate-to-use-for-dispatcher

Agregue las siguientes propiedades a la configuración del módulo Dispatcher (en httpd.conf):

El siguiente código es un ejemplo de configuración:

<IfModule disp_apache2.c>
  DispatcherConfig conf/dispatcher.any
  DispatcherLog    logs/dispatcher.log
  DispatcherLogLevel 3
  DispatcherNoServerHeader 0
  DispatcherDeclineRoot 0
  DispatcherUseProcessedURL 0
  DispatcherPassError 0
  DispatcherCertificateFile disp_unified.pem
  DispatcherCACertificateFile cacert.pem
  DispatcherCheckPeerCN On
</IfModule>