Utiliser le protocole SSL avec le Dispatcher using-ssl-with-dispatcher

Utilisez les connexions SSL entre le Dispatcher et l’ordinateur de rendu :

Utiliser le protocole SSL lorsque Dispatcher se connecte à AEM use-ssl-when-dispatcher-connects-to-aem

Configurez le Dispatcher pour communiquer avec l’instance de rendu AEM ou CQ à l’aide de connexions SSL.

Avant de configurer Dispatcher, configurez AEM ou CQ pour utiliser SSL. Pour plus d’informations, consultez ce qui suit :

En-têtes de requêtes associés au protocole SSL ssl-related-request-headers

Lorsque Dispatcher reçoit une requête HTTPS, il inclut les en-têtes suivants dans la requête suivante qu’il envoie à AEM ou CQ :

Une requête via Apache 2.4 avec mod_ssl inclut des en-têtes similaires à l’exemple suivant :

X-Forwarded-SSL: on
X-Forwarded-SSL-Cipher: DHE-RSA-AES256-SHA
X-Forwarded-SSL-Session-ID: 814825E8CD055B4C166C2EF6D75E1D0FE786FFB29DEB6DE1E239D5C771CB5B4D

Configurer Dispatcher pour l’utilisation du protocole SSL configuring-dispatcher-to-use-ssl

Pour configurer Dispatcher de sorte qu’il se connecte à AEM ou CQ avec SSL, votre fichier dispatcher.any requiert les propriétés suivantes :

Remarque : créez un autre hôte virtuel pour le traitement des requêtes HTTP, le cas échéant.

L’exemple de fichier dispatcher.any suivant affiche les valeurs des propriétés pour la connexion via HTTPS à une instance CQ qui s’exécute sur l’hôte localhost et le port 8443 :

/farms
{
   /secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTPS requests
         "https://*"
      }
      /renders
      {
      /0001
         {
            # hostname or IP of the render
            /hostname "localhost"
            # port of the render
            /port "8443"
            # connect via HTTPS
            /secure "1"
         }
      }
     # the rest of the properties are omitted
   }

   /non-secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTP requests
         "http://*"
      }
      /renders
      {
         /0001
      {
         # hostname or IP of the render
         /hostname "localhost"
         # port of the render
         /port "4503"
      }
   }
    # the rest of the properties are omitted
}

Configurer le protocole SSL mutuel entre Dispatcher et AEM configuring-mutual-ssl-between-dispatcher-and-aem

Pour utiliser le protocole SSL mutuel, configurez les connexions entre Dispatcher et l’ordinateur de rendu (généralement une instance de publication AEM ou CQ) :

Pour configurer le protocole SSL mutuel, vous avez besoin de certificats signés par une autorité de certification approuvée (CA). Les certificats auto-signés ne sont pas appropriés. Vous pouvez faire office d’autorité de certification ou utiliser les services d’une autorité de certification tierce pour signer vos certificats. Pour configurer le protocole SSL mutuel, vous devez disposer des éléments suivants :

Pour configurer le protocole SSL mutuel, procédez comme suit :

Création ou obtention de certificats signés par une autorité de certification creating-or-obtaining-ca-signed-certificates

Créez ou obtenez des certificats signés par une autorité de certification qui authentifient l’instance de publication et Dispatcher.

Créer votre autorité de certification creating-your-ca

Si vous agissez comme autorité de certification, utilisez OpenSSL pour créer l’autorité de certification qui signe les certificats du serveur et du client. (Les bibliothèques OpenSSL doivent être installées.) Si vous utilisez une autorité de certification tierce, n’effectuez pas cette procédure.

Créer des certificats creating-the-certificates

Utilisez OpenSSL pour créer des demandes de certificat à envoyer à l’autorité de certification tierce ou à signer avec votre autorité de certification.

Lorsque vous créez un certificat, OpenSSL utilise la propriété Nom commun pour identifier l’entité titulaire du certificat. Pour le certificat de l’instance de rendu, utilisez le nom d’hôte de l’ordinateur de l’instance comme nom commun si vous configurez Dispatcher pour accepter le certificat. Suivez cette procédure uniquement s’il correspond au nom de l’hôte de l’instance de publication. Voir la propriété DispatcherCheckPeerCN.

Configurer le protocole SSL sur l’ordinateur de rendu configuring-ssl-on-the-render-computer

Configurez le protocole SSL sur l’instance de rendu à l’aide des fichiers rendercert.pem et renderkey.pem.

Convertir le certificat du rendu au format JKS (Java™ KeyStore) converting-the-render-certificate-to-jks-format

Utilisez la commande suivante pour convertir le certificat de rendu, qui est un fichier PEM, en fichier PKCS#12. Incluez également le certificat de l’autorité de certification qui a signé le certificat de rendu :

Ajout du certificat de l’autorité de certification au TrustStore du rendu adding-the-ca-cert-to-the-render-s-truststore

Si vous agissez comme autorité de certification, importez votre certificat d’autorité de certification dans un magasin de clés. Configurez ensuite la JVM qui exécute l’instance de rendu pour qu’elle fasse confiance au magasin de clés.

Configuration de l’instance de rendu configuring-the-render-instance

Pour configurer le service HTTP de l’instance de rendu afin qu’il utilise SSL, utilisez le certificat de rendu en suivant les instructions contenues dans la section Enable SSL on the Publish Instance  :

Configurer le protocole SSL pour le module Dispatcher configuring-ssl-for-the-dispatcher-module

Pour configurer Dispatcher de sorte qu’il utilise le protocole SSL mutuel, préparez le certificat de Dispatcher, puis configurez le module de serveur web.

Création d’un certificat de Dispatcher unifié creating-a-unified-dispatcher-certificate

Combinez le certificat de Dispatcher et la clé privée non chiffrée en un seul fichier PEM. Utilisez un éditeur de texte ou la commande cat pour créer un fichier semblable à l’exemple suivant :

Spécifier le certificat à utiliser pour Dispatcher specifying-the-certificate-to-use-for-dispatcher

Ajoutez les propriétés suivantes à la configuration du module de Dispatcher (dans httpd.conf):

Le code suivant est un exemple de configuration :

<IfModule disp_apache2.c>
  DispatcherConfig conf/dispatcher.any
  DispatcherLog    logs/dispatcher.log
  DispatcherLogLevel 3
  DispatcherNoServerHeader 0
  DispatcherDeclineRoot 0
  DispatcherUseProcessedURL 0
  DispatcherPassError 0
  DispatcherCertificateFile disp_unified.pem
  DispatcherCACertificateFile cacert.pem
  DispatcherCheckPeerCN On
</IfModule>