Utilização do SSL com o Dispatcher using-ssl-with-dispatcher

Usar conexões SSL entre o Dispatcher e o computador de renderização:

Uso do SSL quando o Dispatcher se conecta ao AEM use-ssl-when-dispatcher-connects-to-aem

Configure o Dispatcher para se comunicar com a instância de renderização do AEM ou CQ usando conexões SSL.

Antes de configurar o Dispatcher, configure o AEM ou o CQ para usar o SSL:

Cabeçalhos de solicitação relacionados ao SSL ssl-related-request-headers

Quando o Dispatcher recebe uma solicitação HTTPS, ele inclui os seguintes cabeçalhos na solicitação subsequente que envia para o AEM ou CQ:

Uma solicitação pelo Apache-2.4 com mod_ssl inclui cabeçalhos semelhantes ao seguinte exemplo:

X-Forwarded-SSL: on
X-Forwarded-SSL-Cipher: DHE-RSA-AES256-SHA
X-Forwarded-SSL-Session-ID: 814825E8CD055B4C166C2EF6D75E1D0FE786FFB29DEB6DE1E239D5C771CB5B4D

Configuração do Dispatcher para usar SSL configuring-dispatcher-to-use-ssl

Para configurar o Dispatcher para se conectar com o AEM ou CQ por SSL, seu arquivo dispatcher.any requer as seguintes propriedades:

Observação: crie outro host virtual para lidar com solicitações HTTP, se necessário.

O arquivo de exemplo dispatcher.any a seguir mostra os valores de propriedade para conectar (usando HTTPS) a uma instância do CQ que esteja sendo executada no host localhost e na porta 8443:

/farms
{
   /secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTPS requests
         "https://*"
      }
      /renders
      {
      /0001
         {
            # hostname or IP of the render
            /hostname "localhost"
            # port of the render
            /port "8443"
            # connect via HTTPS
            /secure "1"
         }
      }
     # the rest of the properties are omitted
   }

   /non-secure
   {
      /virtualhosts
      {
         # select this farm for all incoming HTTP requests
         "http://*"
      }
      /renders
      {
         /0001
      {
         # hostname or IP of the render
         /hostname "localhost"
         # port of the render
         /port "4503"
      }
   }
    # the rest of the properties are omitted
}

Configuração do SSL mútuo entre o Dispatcher e o AEM configuring-mutual-ssl-between-dispatcher-and-aem

Para usar o SSL mútuo, configure as conexões entre o Dispatcher e o computador de renderização (normalmente uma instância de publicação do AEM ou CQ):

Para configurar o SSL mútuo, você precisa de certificados assinados por uma CA confiável. Certificados autoassinados não são adequados. Você pode agir como CA ou usar os serviços de uma CA de terceiros para assinar seus certificados. Para configurar o SSL mútuo, são necessários os seguintes itens:

Para configurar o SSL mútuo, execute as seguintes etapas:

Criação ou obtenção de certificados assinados pela CA creating-or-obtaining-ca-signed-certificates

Crie ou obtenha os certificados assinados pela CA que autenticam a instância de publicação e o Dispatcher.

Criação da sua CA creating-your-ca

Se você estiver agindo como a autoridade de certificação, use o OpenSSL para criar a Autoridade de Certificação que assina os certificados do servidor e do cliente. (Você deve ter as bibliotecas OpenSSL instaladas.) Se você estiver usando uma CA de terceiros, não execute este procedimento.

Criar certificados creating-the-certificates

Use OpenSSL para criar as solicitações de certificados para enviar à CA de terceiros ou para assinar com sua CA.

Ao criar um certificado, o OpenSSL usa a propriedade Nome Comum para identificar o titular do certificado. Para o certificado da instância de renderização, use o nome de host do computador da instância como o nome comum se estiver configurando o Dispatcher para aceitar o certificado e somente se ele corresponder ao nome do host da instância de publicação. (Consulte a propriedade DispatcherCheckPeerCN.)

Configuração do SSL no computador de renderização configuring-ssl-on-the-render-computer

Configure o SSL na instância de renderização usando os arquivos rendercert.pem e renderkey.pem.

Conversão do certificado de renderização para o formato JKS (Java™ KeyStore) converting-the-render-certificate-to-jks-format

Use o comando a seguir para converter o certificado de renderização, que é um arquivo PEM, em um arquivo PKCS#12. Inclua também o certificado de CA que assinou o certificado de renderização:

Inclusão do certificado de Autoridade de Certificação à truststore do renderizador adding-the-ca-cert-to-the-render-s-truststore

Se estiver agindo como CA, importe seu certificado de CA em um keystore. Em seguida, configure a JVM que executa a instância de renderização para confiar no keystore.

Configuração da instância de renderização configuring-the-render-instance

Para configurar o serviço HTTP da instância de renderização para usar SSL, use o certificado de renderização com as instruções da seção Habilitar SSL na instância de publicação:

Configuração do SSL para o módulo Dispatcher configuring-ssl-for-the-dispatcher-module

Para configurar o Dispatcher para usar o SSL mútuo, prepare o certificado do Dispatcher e configure o módulo do servidor Web.

Criação de um certificado de Dispatcher unificado creating-a-unified-dispatcher-certificate

Combine o certificado do Dispatcher e a chave privada não criptografada em um único arquivo PEM. Use um editor de texto ou o comando cat para criar um arquivo semelhante ao seguinte exemplo:

Especificação do certificado a ser usado para o Dispatcher specifying-the-certificate-to-use-for-dispatcher

Adicione as seguintes propriedades à Configuração do módulo Dispatcher (em httpd.conf):

O código a seguir é um exemplo de configuração:

<IfModule disp_apache2.c>
  DispatcherConfig conf/dispatcher.any
  DispatcherLog    logs/dispatcher.log
  DispatcherLogLevel 3
  DispatcherNoServerHeader 0
  DispatcherDeclineRoot 0
  DispatcherUseProcessedURL 0
  DispatcherPassError 0
  DispatcherCertificateFile disp_unified.pem
  DispatcherCACertificateFile cacert.pem
  DispatcherCheckPeerCN On
</IfModule>