Utilizzo di SSL con Dispatcher using-ssl-with-dispatcher

Utilizza connessioni SSL tra Dispatcher e il computer di rendering:

Utilizza SSL quando Dispatcher si connette a AEM use-ssl-when-dispatcher-connects-to-aem

Configura Dispatcher per comunicare con l’istanza di rendering AEM o CQ utilizzando connessioni SSL.

Prima di configurare Dispatcher, configura AEM o CQ per l’utilizzo di SSL. Per ulteriori informazioni, consulta:

Intestazioni di richiesta correlate a SSL ssl-related-request-headers

Quando il Dispatcher riceve una richiesta HTTPS, include le seguenti intestazioni nella richiesta successiva, che invia ad AEM o CQ:

Una richiesta tramite Apache-2.4 con mod_ssl include intestazioni simili a quelle del seguente esempio:

X-Forwarded-SSL: on
X-Forwarded-SSL-Cipher: DHE-RSA-AES256-SHA
X-Forwarded-SSL-Session-ID: 814825E8CD055B4C166C2EF6D75E1D0FE786FFB29DEB6DE1E239D5C771CB5B4D

Configurazione di Dispatcher per utilizzare SSL configuring-dispatcher-to-use-ssl

Per configurare Dispatcher per la connessione con AEM o CQ tramite SSL, il file dispatcher.any richiede le seguenti proprietà:

Nota: crea un altro host virtuale per la gestione delle richieste HTTP, se necessario.

Il seguente esempio di file dispatcher.any mostra i valori delle proprietà per la connessione tramite HTTPS a un’istanza CQ in esecuzione sull’host localhost e sulla porta 8443:

/farms
{
   /secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTPS requests
         "https://*"
      }
      /renders
      {
      /0001
         {
            # hostname or IP of the render
            /hostname "localhost"
            # port of the render
            /port "8443"
            # connect via HTTPS
            /secure "1"
         }
      }
     # the rest of the properties are omitted
   }

   /non-secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTP requests
         "http://*"
      }
      /renders
      {
         /0001
      {
         # hostname or IP of the render
         /hostname "localhost"
         # port of the render
         /port "4503"
      }
   }
    # the rest of the properties are omitted
}

Configurazione di SSL reciproco tra Dispatcher e AEM configuring-mutual-ssl-between-dispatcher-and-aem

Per utilizzare l’autenticazione SSL reciproca, configura le connessioni tra il Dispatcher e il computer di rendering (in genere un’istanza di pubblicazione AEM o CQ):

Per configurare SSL reciproco, è necessario disporre di certificati firmati da un’autorità di certificazione (CA) attendibile. I certificati autofirmati non sono sufficienti. Puoi fungere da CA o utilizzare i servizi di una CA di terze parti per firmare i certificati. Per configurare SSL reciproco, sono necessari i seguenti elementi:

Per configurare l’autenticazione SSL reciproca, esegui i seguenti passaggi:

Creazione o conseguimento di certificati firmati da una CA creating-or-obtaining-ca-signed-certificates

Crea o ottieni i certificati firmati da una CA che autentichino l’istanza di pubblicazione e di Dispatcher.

Creazione della tua CA creating-your-ca

Se fungi da CA, utilizza OpenSSL per creare l’Autorità di certificazione (CA) che firma i certificati per server e client. (È necessario che siano installate le librerie OpenSSL). Se utilizzi una CA di terze parti, non seguire questa procedura.

Creazione dei certificati creating-the-certificates

Utilizza OpenSSL per creare le richieste di certificato da inviare alla CA di terze parti o per firmare con la tua CA.

Quando crei un certificato, OpenSSL utilizza la proprietà Common Name per identificare il titolare del certificato. Per il certificato dell’istanza di rendering, utilizza il nome host del computer dell’istanza come nome comune se configuri Dispatcher per accettare il certificato. Esegui questa operazione solo se corrisponde al nome host dell’istanza di pubblicazione. Consulta la proprietà DispatcherCheckPeerCN.

Configurazione di SSL sul computer di rendering configuring-ssl-on-the-render-computer

Configura SSL sull’istanza di rendering utilizzando i file rendercert.pem e renderkey.pem.

Conversione del certificato di rendering in formato JKS (Java™ KeyStore) converting-the-render-certificate-to-jks-format

Utilizza il seguente comando per convertire il certificato di rendering, che è un file PEM, in un file PKCS#12. Includi anche il certificato della CA che ha firmato il certificato di rendering:

Aggiunta del certificato CA al truststore del rendering adding-the-ca-cert-to-the-render-s-truststore

Se sei tu a fungere da CA, importa il certificato CA in un keystore. Quindi, configura la JVM che esegue l'istanza di rendering in modo che consideri attendibile il keystore.

Configurazione dell’istanza di rendering configuring-the-render-instance

Per configurare il servizio HTTP dell’istanza di rendering per l’utilizzo di SSL, utilizza il certificato di rendering con le istruzioni contenute nella sezione Enable SSL on the Publish Instance:

Configurazione di SSL per il modulo Dispatcher configuring-ssl-for-the-dispatcher-module

Per configurare Dispatcher per l’utilizzo di SSL reciproco, prepara il certificato di Dispatcher, quindi configura il modulo server web.

Creazione di un certificato di Dispatcher unificato creating-a-unified-dispatcher-certificate

Combina il certificato di Dispatcher e la chiave privata non crittografata in un unico file PEM. Utilizza un editor di testo o il comando cat per creare un file simile a quello del seguente esempio:

Specifica del certificato da utilizzare per Dispatcher specifying-the-certificate-to-use-for-dispatcher

Aggiungi le seguenti proprietà alla configurazione del modulo Dispatcher (nel file httpd.conf):

Il codice che segue è un esempio di configurazione:

<IfModule disp_apache2.c>
  DispatcherConfig conf/dispatcher.any
  DispatcherLog    logs/dispatcher.log
  DispatcherLogLevel 3
  DispatcherNoServerHeader 0
  DispatcherDeclineRoot 0
  DispatcherUseProcessedURL 0
  DispatcherPassError 0
  DispatcherCertificateFile disp_unified.pem
  DispatcherCACertificateFile cacert.pem
  DispatcherCheckPeerCN On
</IfModule>