搭配 Dispatcher 使用 SSL using-ssl-with-dispatcher

在 Dispatcher 與轉譯器電腦之間使用 SSL 連線：

在 Dispatcher 連線到 AEM 時使用 SSL use-ssl-when-dispatcher-connects-to-aem

設定 Dispatcher 以便使用 SSL 連線與 AEM 或 CQ 轉譯器執行個體通訊。

在設定 Dispatcher 之前，請設定 AEM 或 CQ 使用 SSL。如需進一步詳細資訊，請參閱：

與 SSL 相關的請求標頭 ssl-related-request-headers

當 Dispatcher 收到 HTTPS 請求時，Dispatcher 會在其傳送給 AEM 或 CQ 的後續請求中包含以下標頭：

透過帶有 mod_ssl 的 Apache-2.4 發送的請求包含與以下範例類似的標頭：

X-Forwarded-SSL: on
X-Forwarded-SSL-Cipher: DHE-RSA-AES256-SHA
X-Forwarded-SSL-Session-ID: 814825E8CD055B4C166C2EF6D75E1D0FE786FFB29DEB6DE1E239D5C771CB5B4D

設定 Dispatcher 使用 SSL configuring-dispatcher-to-use-ssl

若要設定 Dispatcher 來透過 SSL 與 AEM 或 CQ 連線，您的 dispatcher.any 檔案需要以下屬性：

注意：如果需要，請建立另一部虛擬主機來處理 HTTP 請求。

以下範例 dispatcher.any 檔案顯示用來使用 HTTPS 連線到在主機 localhost 和連接埠 8443 上執行的 CQ 執行個體的屬性值：

/farms
{
   /secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTPS requests
         "https://*"
      }
      /renders
      {
      /0001
         {
            # hostname or IP of the render
            /hostname "localhost"
            # port of the render
            /port "8443"
            # connect via HTTPS
            /secure "1"
         }
      }
     # the rest of the properties are omitted
   }

   /non-secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTP requests
         "http://*"
      }
      /renders
      {
         /0001
      {
         # hostname or IP of the render
         /hostname "localhost"
         # port of the render
         /port "4503"
      }
   }
    # the rest of the properties are omitted
}

設定 Dispatcher 與 AEM 之間的雙向 SSL configuring-mutual-ssl-between-dispatcher-and-aem

若要使用雙向 SSL，請設定 Dispatcher 與轉譯器電腦之間的連線 (通常是 AEM 或 CQ 發佈執行個體)：

若要設定雙向 SSL，您需要由受信任的憑證授權單位 (CA) 簽署的憑證。自我簽署憑證是不夠的。您可以充當 CA 或使用第三方 CA 的服務來簽署您的憑證。若要設定雙向 SSL，您需要以下項目：

若要設定雙向 SSL，請執行以下步驟：

建立或取得 CA 簽署的憑證 creating-or-obtaining-ca-signed-certificates

建立或取得 CA 簽署的憑證，該憑證用來驗證發佈執行個體和 Dispatcher。

建立您的 CA creating-your-ca

如果您充當 CA，請使用 OpenSSL 建立可簽署伺服器和用戶端憑證的憑證授權單位。(您必須已安裝 OpenSSL 程式庫。) 如果您使用第三方 CA，請勿執行此程序。

建立憑證 creating-the-certificates

使用 OpenSSL 建立要傳送給第三方 CA 或透過您的 CA 簽署的憑證請求。

當您建立憑證時，OpenSSL 會使用一般名稱屬性來識別憑證持有者。對於轉譯器執行個體的憑證，如果您將 Dispatcher 設定為接受憑證，請使用執行個體電腦的主機名稱當作一般名稱。只有在符合發佈執行個體的主機名稱時才執行此程序。請參閱 DispatcherCheckPeerCN 屬性。

在轉譯器電腦上設定 SSL configuring-ssl-on-the-render-computer

在轉譯器執行個體上使用 rendercert.pem 和 renderkey.pem 檔案設定 SSL。

將轉譯器憑證轉換為 JKS (Java™ KeyStore) 格式 converting-the-render-certificate-to-jks-format

使用以下命令，將轉譯器憑證 (亦即 PEM 檔案) 轉換為 PKCS#12 檔案。也請包含簽署了轉譯器憑證的 CA 的憑證：

將 CA 憑證新增到轉譯器的信任存放區 adding-the-ca-cert-to-the-render-s-truststore

如果您充當 CA，請將您的 CA 憑證匯入金鑰儲存區。然後，將執行轉譯器執行個體的 JVM 設定為信任該金鑰儲存區。

設定轉譯器執行個體 configuring-the-render-instance

若要設定轉譯器執行個體的 HTTP 服務為使用 SSL，請依照 Enable SSL on the Publish Instance 區段中的說明示來使用轉譯器憑證：

為 Dispatcher 模組設定 SSL configuring-ssl-for-the-dispatcher-module

若要設定 Dispatcher 使用雙向 SSL，請準備 Dispatcher 憑證，然後設定網頁伺服器模組。

建立統一的 Dispatcher 憑證 creating-a-unified-dispatcher-certificate

將 Dispatcher 憑證和未加密的私密金鑰合併到單一 PEM 檔案中。使用文字編輯器或 cat 命令建立類似於以下範例的檔案：

指定要用於 Dispatcher 的憑證 specifying-the-certificate-to-use-for-dispatcher

將以下屬性新增到 Dispatcher 模組設定 (在 httpd.conf 中)：

以下程式碼為設定範例：

<IfModule disp_apache2.c>
  DispatcherConfig conf/dispatcher.any
  DispatcherLog    logs/dispatcher.log
  DispatcherLogLevel 3
  DispatcherNoServerHeader 0
  DispatcherDeclineRoot 0
  DispatcherUseProcessedURL 0
  DispatcherPassError 0
  DispatcherCertificateFile disp_unified.pem
  DispatcherCACertificateFile cacert.pem
  DispatcherCheckPeerCN On
</IfModule>