Authentifizierte Ursprungs-Pull-Operation auf Zonenebene mit CIS-Zertifikaten

Diese Option ermöglicht den sicheren Zugriff auf Inhalte vom Ursprungsserver aus, indem Anfragen mit den von CIS bereitgestellten Zertifikaten auf Zonenebene authentifiziert werden.

CIS verwendet die folgende CA zum Unterzeichnen von Zertifikaten für den Authenticated-Origin-Pull-Service:

• Authenticated-Origin-Pull-Zertifikat

Laden Sie das Zertifikat herunter und speichern Sie die Datei auf Ihrem Ursprungs-Web-Server, z. B. in /path/to/origin-pull-ca.pem.

Um den authentifizierten Ursprung zu aktivieren, ziehen Sie global auf eine Zone:

1. Installieren Sie das Zertifikat auf dem ursprünglichen Webserver, um alle Verbindungen zu authentifizieren.
2. Konfigurieren Sie CIS mit End-to-End flexibel.
3. Konfigurieren Sie den ursprünglichen Webserver so, dass er Client-Zertifikate akzeptiert.
4. Aktivieren Sie den authentifizierten Ursprungszugriff mit Hilfe der CIS CLI.

Authentifizierter Ursprungszugriff auf Zonenebene mit benutzerdefinierten Zertifikaten

Diese Option ermöglicht den sicheren Zugriff auf Inhalte vom Ursprungsserver aus, indem vom Kunden hochgeladene Zertifikate zur Authentifizierung auf Zonenebene verwendet werden.

1. Wenn Sie einen ECC-Schlüssel verwenden, der von OpenSSL, erzeugt wurde, entfernen Sie zunächst -----BEGIN EC PARAMETERS-----...-----END EC PARAMETERS----- aus der Zertifikatsdatei.

2. Stellen Sie sicher, dass das Zertifikat und der Schlüssel das folgende Format haben, bevor Sie es auf CIS hochladen:

   $ cat app_example_com.pem
   -----BEGIN CERTIFICATE-----
   MIIFJDCCBAygAwIBAgIQD0ifmj/Yi5Nz2gdUySbfzANBgkqhkiG9w0BAQsFADBN
   MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E
   ...
   SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O
   OeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7
   -----END CERTIFICATE-----
   

3. Ersetzen Sie die Zeilenendungen durch die Zeichenfolge \n:

   MYCERT="$(cat app_example_com.pem|perl -pe 's/\r?\n/\\n/'|sed -e 's/..$//')" $ MYKEY="$(cat app_example_com.key|perl -pe 's/\r?\n/\\n/'| sed -e's/..$//')"
   
   echo $MYCERT -----BEGIN CERTIFICATE-----\nMIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/ 2gdUySbfzANBgkqhkiG9w0BAQsFADBN\nMQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E...SzSHfXp5lnu/ 3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O\nOeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7\n-----END CERTIFICATE-----\n
   

4. Erstellen Sie die Nutzdaten:

   $ request_body=$(< <(cat <<EOF { "certificate": "$MYCERT", "private_key": "$MYKEY" } } EOF ))

5. Laden Sie das Client-Zertifikat und den privaten Schlüssel über die CIS CLI hoch.

6. Aktivieren Sie den authentifizierten Ursprungszugriff über die CIS CLI.

Authentifizierter Herkunftszug pro Hostname unter Verwendung von Kundenzertifikaten

Diese Option ermöglicht den sicheren Zugriff auf Inhalte vom Ursprungsserver aus, indem Anfragen mit Kundenzertifikaten auf einer Pro-Hostname-Basis authentifiziert werden.

Wenn Sie authentifizierten Ursprungszugriff pro Hostname aktivieren, wird der gesamte Proxy-Verkehr zum angegebenen Hostnamen am Ursprungs-Webserver authentifiziert. Sie können Clientzertifikate aus Ihrer eigenen Public Key Infrastructure (PKI) verwenden, um Verbindungen von CISzu authentifizieren.

So laden Sie ein Clientzertifikat in CIShoch:

1. Wenn Sie einen ECC-Schlüssel verwenden, der von OpenSSL, erzeugt wurde, entfernen Sie zunächst -----BEGIN EC PARAMETERS-----...-----END EC PARAMETERS----- aus der Zertifikatsdatei.

2. Stellen Sie sicher, dass das Zertifikat das folgende Format hat, bevor Sie es auf CIS hochladen.

   $ cat app_example_com.pem
   -----BEGIN CERTIFICATE-----
   MIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/2gdUySbfzANBgkqhkiG9w0BAQsFADBN
   MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E
   ...
   SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O
   OeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7
   -----END CERTIFICATE-----
   

3. Ersetzen Sie die Zeilenendungen durch die Zeichenfolge \n:

   MYCERT="$(cat app_example_com.pem|perl -pe 's/\r?\n/\\n/'|sed -e 's/..$//')" $ MYKEY="$(cat app_example_com.key|perl -pe 's/\r?\n/\\n/'|sed -e's/..$//')"
   
   echo $MYCERT -----BEGIN CERTIFICATE-----\nMIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/2gdUySbfzANBgkqhkiG9w0BAQsFADBN\nMQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E...SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O\nOeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7\n-----END CERTIFICATE-----\n
   

4. Erstellen Sie die Nutzdaten:

   $ request_body=$(< <(cat <<EOF { "certificate": "$MYCERT", "private_key": "$MYKEY" } } EOF ))

5. Laden Sie das Client-Zertifikat und den privaten Schlüssel über die CIS CLI hoch.

6. Aktivieren Sie den authentifizierten Ursprungszugriff auf den angegebenen Hostnamen über die CIS CLI. Verknüpfen Sie das Client-Zertifikat mit einem bestimmten Hostnamen.

Clientzertifikat ohne Ausfallzeiten ersetzen

Für Hostname:

1. Laden Sie das neue Zertifikat hoch.
2. Verknüpfen Sie die neue Zertifikats-ID und den Hostnamen mit den aktivierten Werten.

Für global:

1. Laden Sie das neue Zertifikat hoch.
2. Vergewissern Sie sich, dass das neue Zertifikat im Status "Aktiv" ist.
3. Nachdem das Zertifikat aktiv ist, löschen Sie das alte Zertifikat.

Wenden Sie gleichzeitig ein anderes Clientzertifikat (auf der Ebene der Zone und des Hostnamens) an.

1. Laden Sie ein Zertifikat hoch, indem Sie die Schritte im Abschnitt Ziehen des authentifizierten Ursprungs auf Zonenebene ausführen.
2. Laden Sie mehrere Zertifikate hoch, indem Sie die Schritte im Abschnitt Authentifiziertes Ziehen des Ursprungs pro Hostname mit Hilfe von Kundenzertifikaten ausführen.

Installation auf Apache und NGINX

Verwenden Sie die folgenden Anweisungen zum Konfigurieren von TLS-Authenticated-Origin-Pulls für die Web-Server von NGINX oder Apache.