Dispatcher での SSL の使用 using-ssl-with-dispatcher

Dispatcher とレンダリングコンピューター間には次の SSL 接続を使用します。

Dispatcher が AEM に接続するときに SSL を使用する use-ssl-when-dispatcher-connects-to-aem

Dispatcher が SSL 接続を使用して AEM または CQ レンダーインスタンスと通信するように設定します。

Dispatcher を設定する前に、SSL を使用するように AEM または CQ を設定します。 詳しくは、次のセクションを参照してください。

SSL に関連するリクエストヘッダー ssl-related-request-headers

HTTPS 要求を受信すると、Dispatcher は AEM または CQ に送信する、以降の要求に次のヘッダーを含めます。

Apache-2.4 と mod_ssl を使用したリクエストには、次の例のようなヘッダーが含まれます。

X-Forwarded-SSL: on
X-Forwarded-SSL-Cipher: DHE-RSA-AES256-SHA
X-Forwarded-SSL-Session-ID: 814825E8CD055B4C166C2EF6D75E1D0FE786FFB29DEB6DE1E239D5C771CB5B4D

SSL を使用するように Dispatcher を設定する configuring-dispatcher-to-use-ssl

SSL 経由で AEM または CQ と接続するように Dispatcher を設定するには、dispatcher.any ファイルに以下のプロパティが必要です。

メモ：必要に応じて、HTTP 要求を処理するための別の仮想ホストを作成してください。

次のサンプルの dispatcher.any ファイルは、ホスト localhost、ポート 8443 で動作している CQ インスタンスに HTTPS を使用して接続するためのプロパティ値を示したものです。

/farms
{
   /secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTPS requests
         "https://*"
      }
      /renders
      {
      /0001
         {
            # hostname or IP of the render
            /hostname "localhost"
            # port of the render
            /port "8443"
            # connect via HTTPS
            /secure "1"
         }
      }
     # the rest of the properties are omitted
   }

   /non-secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTP requests
         "http://*"
      }
      /renders
      {
         /0001
      {
         # hostname or IP of the render
         /hostname "localhost"
         # port of the render
         /port "4503"
      }
   }
    # the rest of the properties are omitted
}

Dispatcher と AEM 間の相互 SSL の設定 configuring-mutual-ssl-between-dispatcher-and-aem

相互 SSL を使用するように、Dispatcher とレンダーコンピューター（一般的には AEM または CQ パブリッシュインスタンス）間の接続を設定します。

相互 SSL を設定するには、信頼済みの証明機関（CA）によって署名されている証明書が必要です。 自己署名証明書では不十分です。 証明書に署名するために、ユーザーが CA の役目を果たすことも、サードパーティ CA のサービスを利用することもできます。 相互 SSL を設定するには、以下のアイテムが必要です。

相互 SSL を設定するには、次の手順を実行します。

CA 署名済みの証明書の作成または取得 creating-or-obtaining-ca-signed-certificates

パブリッシュインスタンスと Dispatcher を認証する CA 署名済みの証明書を作成または取得します。

CA の作成 creating-your-ca

ユーザーが CA の役目を果たす場合は、OpenSSL を使用して、サーバーとクライアントの証明書に署名する証明機関を作成します。 （OpenSSL ライブラリがインストールされている必要があります）。 サードパーティの CA を使用している場合は、この手順を実行しないでください。

証明書の作成 creating-the-certificates

OpenSSL を使用して証明書要求を作成し、サードパーティ CA に送信するか、自身の CA によって署名します。

証明書を作成する際、OpenSSL は Common Name プロパティを使用して証明書所有者を識別します。 レンダーインスタンスの証明書については、証明書を受け入れるように Dispatcher を設定する場合、インスタンスコンピューターのホスト名を Common Name として使用します。 この手順は、証明書がパブリッシュインスタンスのホスト名と一致する場合にのみ実行してください。 DispatcherCheckPeerCN プロパティを参照してください。

レンダーコンピュータでの SSL の設定 configuring-ssl-on-the-render-computer

rendercert.pem ファイルと renderkey.pem ファイルを使用してレンダーインスタンス上の SSL を設定します。

レンダー証明書の JKS（Java™ KeyStore）形式への変換 converting-the-render-certificate-to-jks-format

次のコマンドを使用して、PEM ファイルであるレンダー証明書を PKCS#12 ファイルに変換します。 レンダー証明書に署名した CA の証明書も含めます。

CA 証明書をレンダーの Truststore に追加 adding-the-ca-cert-to-the-render-s-truststore

ユーザーが CA の機役目を果たす場合は、CA 証明書をキーストアに読み込みます。 次に、キーストアを信頼するように、レンダーインスタンスを実行する JVM を設定します。

レンダーインスタンスの設定 configuring-the-render-instance

SSL を使用するようにレンダーインスタンスの HTTP サービスを設定するには、「Enable SSL on the Publish Instance」セクションの指示に従ってレンダー証明書を使用します。

Dispatcher モジュール用の SSL の設定 configuring-ssl-for-the-dispatcher-module

相互 SSL を使用するように Dispatcher を設定するには、Dispatcher 証明書を準備して、Web サーバーモジュールを設定します。

Dispatcher の統合証明書の作成 creating-a-unified-dispatcher-certificate

Dispatcher 証明書と暗号化されていない秘密鍵を組み合わせて、単一の PEM ファイルにします。 テキストエディターまたは cat コマンドを使用して、以下のサンプルのようなファイルを作成します。

Dispatcher 用に使用する証明書の指定 specifying-the-certificate-to-use-for-dispatcher

以下のプロパティを（httpd.conf の）Dispatcher モジュールの設定に追加します。

以下のコードは設定のサンプルです。

<IfModule disp_apache2.c>
  DispatcherConfig conf/dispatcher.any
  DispatcherLog    logs/dispatcher.log
  DispatcherLogLevel 3
  DispatcherNoServerHeader 0
  DispatcherDeclineRoot 0
  DispatcherUseProcessedURL 0
  DispatcherPassError 0
  DispatcherCertificateFile disp_unified.pem
  DispatcherCACertificateFile cacert.pem
  DispatcherCheckPeerCN On
</IfModule>