Extraction d'origine authentifiée au niveau de la zone avec des certificats CIS

Cette option permet de sécuriser l'accès au contenu à partir du serveur d'origine en authentifiant les demandes à l'aide de certificats fournis par CIS au niveau de la zone.

CIS utilise l'autorité de certification suivante pour signer des certificats pour le service Authenticated Origin Pull :

• Certificat Authenticated Origin Pull

Téléchargez le certificat et stockez le fichier sur votre serveur Web d'origine, par exemple, dans /path/to/origin-pull-ca.pem.

Pour activer l'origine authentifiée, tirez globalement sur une zone :

1. Installez le certificat sur le serveur web d'origine pour authentifier toutes les connexions.
2. Configurez CIS avec une flexibilité de bout en bout.
3. Configurer le serveur web d'origine pour qu'il accepte les certificats des clients.
4. Activez l'extraction d'origine authentifiée en utilisant le CLI de CIS.

Extraction d'origine authentifiée au niveau de la zone à l'aide de certificats personnalisés

Cette option permet de sécuriser l'accès au contenu à partir du serveur d'origine en utilisant des certificats chargés par le client pour l'authentification au niveau de la zone.

1. Si vous utilisez une clé ECC générée par OpenSSL,, supprimez d'abord -----BEGIN EC PARAMETERS-----...-----END EC PARAMETERS----- du fichier de certificat.

2. Assurez-vous que le certificat et la clé sont au format suivant avant de les télécharger sur CIS:

   $ cat app_example_com.pem
   -----BEGIN CERTIFICATE-----
   MIIFJDCCBAygAwIBAgIQD0ifmj/Yi5Nz2gdUySbfzANBgkqhkiG9w0BAQsFADBN
   MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E
   ...
   SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O
   OeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7
   -----END CERTIFICATE-----
   

3. Remplacez les fins de ligne par la chaîne \n :

   MYCERT="$(cat app_example_com.pem|perl -pe 's/\r?\n/\\n/'|sed -e 's/..$//')" $ MYKEY="$(cat app_example_com.key|perl -pe 's/\r?\n/\\n/'| sed -e's/..$//')"
   
   echo $MYCERT -----BEGIN CERTIFICATE-----\nMIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/ 2gdUySbfzANBgkqhkiG9w0BAQsFADBN\nMQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E...SzSHfXp5lnu/ 3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O\nOeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7\n-----END CERTIFICATE-----\n
   

4. Générez le contenu :

   $ request_body=$(< <(cat <<EOF { "certificate": "$MYCERT", "private_key": "$MYKEY" } } EOF ))

5. Téléchargez le certificat client et la clé privée à partir de la CLI de CIS.

6. Activer l'extraction d'origine authentifiée à partir de la CLI de CIS.

Extraction de l'origine authentifiée par nom d'hôte à l'aide de certificats de clients

Cette option permet de sécuriser l'accès au contenu à partir du serveur d'origine en authentifiant les requêtes à l'aide de certificats clients pour chaque nom d'hôte.

Lorsque vous activez l'authentification de l'extraction d'origine par nom d'hôte, tout le trafic proxy vers le nom d'hôte spécifié est authentifié au niveau du serveur web d'origine. Vous pouvez utiliser les certificats client de votre propre infrastructure PKI pour authentifier des connexions à partir de CIS.

Pour télécharger un certificat client dans CIS :

1. Si vous utilisez une clé ECC générée par OpenSSL,, supprimez d'abord -----BEGIN EC PARAMETERS-----...-----END EC PARAMETERS----- du fichier de certificat.

2. Assurez-vous que le certificat a le format suivant avant de le télécharger sur CIS.

   $ cat app_example_com.pem
   -----BEGIN CERTIFICATE-----
   MIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/2gdUySbfzANBgkqhkiG9w0BAQsFADBN
   MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E
   ...
   SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O
   OeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7
   -----END CERTIFICATE-----
   

3. Remplacez les fins de ligne par la chaîne \n :

   MYCERT="$(cat app_example_com.pem|perl -pe 's/\r?\n/\\n/'|sed -e 's/..$//')" $ MYKEY="$(cat app_example_com.key|perl -pe 's/\r?\n/\\n/'|sed -e's/..$//')"
   
   echo $MYCERT -----BEGIN CERTIFICATE-----\nMIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/2gdUySbfzANBgkqhkiG9w0BAQsFADBN\nMQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E...SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O\nOeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7\n-----END CERTIFICATE-----\n
   

4. Générez le contenu :

   $ request_body=$(< <(cat <<EOF { "certificate": "$MYCERT", "private_key": "$MYKEY" } } EOF ))

5. Téléchargez le certificat client et la clé privée à partir de la CLI de CIS.

6. Activer l'extraction d'origine authentifiée sur le nom d'hôte spécifié via le CLI de CIS. Lier le certificat du client au nom d'hôte spécifique.

Remplacement d'un certificat client sans interruption

Pour le nom d'hôte :

1. Téléchargez le nouveau certificat.
2. Lier les nouveaux ID et nom d'hôte du certificat et les valeurs activées.

Pour la méthode globale :

1. Téléchargez le nouveau certificat.
2. Vérifiez que le nouveau certificat est actif.
3. Une fois le certificat actif, supprimez l'ancien certificat.

Application d'un certificat client différent (au niveau zone et au niveau nom d'hôte) simultanément

1. Téléchargez un certificat en suivant les étapes de la section " Zone-level authenticated origin pull"(extraction de l'origine authentifiée au niveau de la zone).
2. Téléchargez plusieurs certificats en suivant les étapes indiquées dans la section Extraction de l'origine authentifiée par nom d'hôte à l'aide de certificats de clients.

Installation sur Apache et NGINX

Utilisez les instructions ci-après pour configurer la fonction Authenticated Origin Pull TLS pour les serveurs Web d'origine NGINX ou Apache.