将 SSL 与 Dispatcher 结合使用 using-ssl-with-dispatcher

在 Dispatcher 和渲染计算机之间使用 SSL 连接：

在 Dispatcher 连接到 AEM 时使用 SSL use-ssl-when-dispatcher-connects-to-aem

将 Dispatcher 配置为使用 SSL 连接与 AEM 或 CQ 渲染实例进行通信。

在配置 Dispatcher 之前，请先配置 AEM 或 CQ 以使用 SSL。有关更多信息，请参阅：

与 SSL 相关的请求标头 ssl-related-request-headers

当 Dispatcher 收到 HTTPS 请求时，Dispatcher 将以下标头包括在发送到 AEM 或 CQ 的后续请求中：

通过带 mod_ssl 的 Apache-2.4 发送的请求包含与以下示例类似的标头：

X-Forwarded-SSL: on
X-Forwarded-SSL-Cipher: DHE-RSA-AES256-SHA
X-Forwarded-SSL-Session-ID: 814825E8CD055B4C166C2EF6D75E1D0FE786FFB29DEB6DE1E239D5C771CB5B4D

将 Dispatcher 配置为使用 SSL configuring-dispatcher-to-use-ssl

要将 Dispatcher 配置为使用 SSL 与 AEM 或 CQ 连接，您的 dispatcher.any 文件需要以下属性：

注意：如有必要，请创建另一个虚拟主机以处理 HTTP 请求。

以下示例 dispatcher.any 文件展示用于通过 HTTPS 连接到在主机 localhost 和端口 8443 上运行的 CQ 实例的属性值：

/farms
{
   /secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTPS requests
         "https://*"
      }
      /renders
      {
      /0001
         {
            # hostname or IP of the render
            /hostname "localhost"
            # port of the render
            /port "8443"
            # connect via HTTPS
            /secure "1"
         }
      }
     # the rest of the properties are omitted
   }

   /non-secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTP requests
         "http://*"
      }
      /renders
      {
         /0001
      {
         # hostname or IP of the render
         /hostname "localhost"
         # port of the render
         /port "4503"
      }
   }
    # the rest of the properties are omitted
}

配置 Dispatcher 与 AEM 之间的双向 SSL configuring-mutual-ssl-between-dispatcher-and-aem

要使用双向 SSL，请配置 Dispatcher 与渲染计算机（一般为 AEM 或 CQ 发布实例）之间的连接：

要配置双向 SSL，您需要由受信任的证书颁发机构 (CA) 签名的证书。自签名证书无法满足需求。您可以充当 CA 或使用第三方 CA 的服务来签署证书。要配置双向 SSL，您需要以下项：

要配置双向 SSL，请执行以下步骤：

创建或获取 CA 签名证书 creating-or-obtaining-ca-signed-certificates

创建或获取用于对发布实例和 Dispatcher 进行身份验证的 CA 签名证书。

创建您的 CA creating-your-ca

如果您充当 CA，请使用 OpenSSL 创建对服务器和客户端证书进行签名的证书颁发机构。（您必须已安装 OpenSSL 库。）如果您使用的是第三方 CA，请不要执行此过程。

创建证书 creating-the-certificates

使用 OpenSSL 可创建要发送给第三方 CA 或通过您的 CA 签名的证书请求。

创建证书时，OpenSSL 使用公用名属性来标识证书所有者。对于渲染实例的证书，如果您配置 Dispatcher 以接受证书，则请使用实例计算机的主机名作为通用名称。仅当该名称与发布实例的主机名匹配时才执行此程序。参阅 DispatcherCheckPeerCN 属性。

在渲染计算机上配置 SSL configuring-ssl-on-the-render-computer

使用 rendercert.pem 和 renderkey.pem 文件在渲染实例上配置 SSL。

将渲染证书转换为 JKS (Java™ KeyStore) 格式 converting-the-render-certificate-to-jks-format

使用以下命令将渲染证书（一个 PEM 文件）转换为 PKCS#12 文件。还包括签署呈现证书的 CA 的证书：

将 CA 证书添加到渲染器的信任存储 adding-the-ca-cert-to-the-render-s-truststore

如果您充当 CA，请将您的 CA 证书导入密钥库中。然后，将运行渲染实例的 JVM 配置为信任密钥库。

配置渲染实例 configuring-the-render-instance

若要将渲染实例的 HTTP 服务配置为使用 SSL，请按照 Enable SSL on the Publish Instance 部分中的说明使用渲染证书：

为 Dispatcher 模块配置 SSL configuring-ssl-for-the-dispatcher-module

要将 Dispatcher 配置为使用双向 SSL，请准备 Dispatcher 证书，然后配置 Web 服务器模块。

创建统一的 Dispatcher 证书 creating-a-unified-dispatcher-certificate

将 Dispatcher 证书和未加密的私钥合并为单个 PEM 文件。使用文本编辑器或 cat 命令创建一个与以下示例类似的文件：

指定要用于 Dispatcher 的证书 specifying-the-certificate-to-use-for-dispatcher

将以下属性添加到 Dispatcher 模块配置（在 httpd.conf 中）：

以下代码是示例配置：

<IfModule disp_apache2.c>
  DispatcherConfig conf/dispatcher.any
  DispatcherLog    logs/dispatcher.log
  DispatcherLogLevel 3
  DispatcherNoServerHeader 0
  DispatcherDeclineRoot 0
  DispatcherUseProcessedURL 0
  DispatcherPassError 0
  DispatcherCertificateFile disp_unified.pem
  DispatcherCACertificateFile cacert.pem
  DispatcherCheckPeerCN On
</IfModule>