SSL gebruiken met Dispatcher using-ssl-with-dispatcher

Gebruik SSL-verbindingen tussen de Dispatcher en de renderingcomputer:

SSL gebruiken wanneer Dispatcher verbinding maakt met AEM use-ssl-when-dispatcher-connects-to-aem

Configureer de Dispatcher voor communicatie met de AEM- of CQ-renderinstantie met behulp van SSL-verbindingen.

Voordat u Dispatcher configureert, configureert u AEM of CQ om SSL te gebruiken. Zie voor meer informatie:

SSL-gerelateerde aanvraagheaders ssl-related-request-headers

Wanneer Dispatcher een HTTPS-aanvraag ontvangt, neemt Dispatcher de volgende headers op in het volgende verzoek dat het naar AEM of CQ verzendt:

Een aanvraag via Apache-2.4 met mod_ssl bevat kopteksten die vergelijkbaar zijn met het volgende voorbeeld:

X-Forwarded-SSL: on
X-Forwarded-SSL-Cipher: DHE-RSA-AES256-SHA
X-Forwarded-SSL-Session-ID: 814825E8CD055B4C166C2EF6D75E1D0FE786FFB29DEB6DE1E239D5C771CB5B4D

Dispatcher configureren voor gebruik van SSL configuring-dispatcher-to-use-ssl

Om Dispatcher te vormen om met AEM of CQ over SSL te verbinden, vereist uw {🔗 dossier 0} dispatcher.any de volgende eigenschappen:

Opmerking: maak indien nodig een andere virtuele host voor de afhandeling van HTTP-aanvragen.

In het volgende voorbeeld van het bestand dispatcher.any worden de eigenschapswaarden weergegeven voor het verbinden met behulp van HTTPS met een CQ-instantie die op de host localhost en poort 8443 wordt uitgevoerd:

/farms
{
   /secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTPS requests
         "https://*"
      }
      /renders
      {
      /0001
         {
            # hostname or IP of the render
            /hostname "localhost"
            # port of the render
            /port "8443"
            # connect via HTTPS
            /secure "1"
         }
      }
     # the rest of the properties are omitted
   }

   /non-secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTP requests
         "http://*"
      }
      /renders
      {
         /0001
      {
         # hostname or IP of the render
         /hostname "localhost"
         # port of the render
         /port "4503"
      }
   }
    # the rest of the properties are omitted
}

Wederzijdse SSL configureren tussen Dispatcher en AEM configuring-mutual-ssl-between-dispatcher-and-aem

Als u Wederzijdse SSL wilt gebruiken, configureert u de verbindingen tussen Dispatcher en de rendercomputer (doorgaans een AEM- of CQ-publicatie-instantie):

Voor het configureren van wederzijdse SSL hebt u certificaten nodig die zijn ondertekend met een vertrouwde certificeringsinstantie (CA). Zelfondertekende certificaten zijn niet geschikt. U kunt of als CA dienst doen of de diensten van derde CA gebruiken om uw certificaten te ondertekenen. Voor het configureren van wederzijdse SSL hebt u de volgende items nodig:

Voer de volgende stappen uit om wederzijdse SSL te configureren:

Certificaten met CA-handtekening maken of verkrijgen creating-or-obtaining-ca-signed-certificates

Maak of verkrijg de CA-ondertekende certificaten die het publicatieexemplaar en Dispatcher verifiëren.

Uw CA maken creating-your-ca

Als u als CA dienst doet, gebruik OpenSSLom de Autoriteit van het Certificaat tot stand te brengen die de server en cliëntcertificaten ondertekent. (U moet de OpenSSL-bibliotheken hebben geïnstalleerd.) Als u een derde CA gebruikt, voer deze procedure niet uit.

Certificaten maken creating-the-certificates

Gebruik OpenSSL om de certificaataanvragen te maken die u naar de derde CA wilt verzenden of die u met uw CA wilt ondertekenen.

Wanneer u een certificaat maakt, gebruikt OpenSSL de eigenschap Common Name om de certificaathouder te identificeren. Voor het certificaat van de renderinstantie, gebruik de de gastheernaam van de instantiecomputer als Gemeenschappelijke Naam als u Dispatcher vormt om het certificaat goed te keuren. Voer deze procedure alleen uit als deze overeenkomt met de hostnaam van de instantie Publishing. Zie het DispatcherCheckPeerCNbezit.

SSL configureren op de rendercomputer configuring-ssl-on-the-render-computer

Configureer SSL op de renderinstantie met behulp van de bestanden rendercert.pem en renderkey.pem .

Het rendercertificaat omzetten in de JKS-indeling (Java™ KeyStore) converting-the-render-certificate-to-jks-format

Gebruik de volgende opdracht om het rendercertificaat, een PEM-bestand, om te zetten in een PKCS#12-bestand. Neem ook het certificaat op van de CA die het rendercertificaat heeft ondertekend:

Het Cert van CA toevoegen aan de Render Truststore adding-the-ca-cert-to-the-render-s-truststore

Als u als CA dienst doet, voer uw certificaat van CA in keystore in. Configureer vervolgens de JVM die de renderinstantie uitvoert, om het sleutelarchief te vertrouwen.

De renderinstantie configureren configuring-the-render-instance

Als u de HTTP-service van de renderinstantie wilt configureren voor het gebruik van SSL, gebruikt u het rendercertificaat met de instructies in de sectie Enable SSL on the Publish Instance :

SSL configureren voor de Dispatcher-module configuring-ssl-for-the-dispatcher-module

Als u Dispatcher wilt configureren voor het gebruik van wederzijdse SSL, bereidt u het Dispatcher-certificaat voor en configureert u de module Webserver.

Een uniform Dispatcher-certificaat maken creating-a-unified-dispatcher-certificate

Combineer het Dispatcher-certificaat en de niet-gecodeerde persoonlijke sleutel tot één PEM-bestand. Gebruik een teksteditor of de opdracht cat om een bestand te maken dat lijkt op het volgende voorbeeld:

Het te gebruiken certificaat voor Dispatcher opgeven specifying-the-certificate-to-use-for-dispatcher

Voeg de volgende eigenschappen aan de de moduleconfiguratie van Dispatcher(in httpd.conf) toe:

De volgende code is een voorbeeldconfiguratie:

<IfModule disp_apache2.c>
  DispatcherConfig conf/dispatcher.any
  DispatcherLog    logs/dispatcher.log
  DispatcherLogLevel 3
  DispatcherNoServerHeader 0
  DispatcherDeclineRoot 0
  DispatcherUseProcessedURL 0
  DispatcherPassError 0
  DispatcherCertificateFile disp_unified.pem
  DispatcherCACertificateFile cacert.pem
  DispatcherCheckPeerCN On
</IfModule>