使用 CIS 憑證進行區域層次鑑別來源取回

此選項允許在區域層級使用 CIS 提供的憑證認證請求，從原始伺服器安全存取內容。

CIS 使用下列 CA 來簽署已鑑別原點取回服務的憑證:

• 鑑別來源取回憑證

下載憑證並將檔案儲存在原始 Web 伺服器上，例如在 /path/to/origin-pull-ca.pem 中。

若要啟用鑑別來源，請在區域上廣域取回:

1. 在原始 Web 伺服器上安裝憑證，以驗證所有連線。
2. 使用 端對端彈性 配置 CIS。
3. 設定原始 Web 伺服器接受用戶端憑證。
4. 使用 CIS CLI 啟用 認證的原點拉取。

使用自訂憑證的區域層級驗證來源拉取

此選項透過在區域層級使用客戶上載的憑證進行驗證，從原始伺服器啟用安全的內容存取。

1. 如果您使用由 OpenSSL, 產生的 ECC 金鑰，請先從證書檔案中移除 -----BEGIN EC PARAMETERS-----...-----END EC PARAMETERS-----。

2. 在上傳到 CIS 之前，請確認證書和金鑰的格式如下：

   $ cat app_example_com.pem
   -----BEGIN CERTIFICATE-----
   MIIFJDCCBAygAwIBAgIQD0ifmj/Yi5Nz2gdUySbfzANBgkqhkiG9w0BAQsFADBN
   MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E
   ...
   SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O
   OeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7
   -----END CERTIFICATE-----
   

3. 以字串 \n 取代行尾:

   MYCERT="$(cat app_example_com.pem|perl -pe 's/\r?\n/\\n/'|sed -e 's/..$//')" $ MYKEY="$(cat app_example_com.key|perl -pe 's/\r?\n/\\n/'| sed -e's/..$//')"
   
   echo $MYCERT -----BEGIN CERTIFICATE-----\nMIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/ 2gdUySbfzANBgkqhkiG9w0BAQsFADBN\nMQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E...SzSHfXp5lnu/ 3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O\nOeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7\n-----END CERTIFICATE-----\n
   

4. 建置有效負載:

   $ request_body=$(< <(cat <<EOF { "certificate": "$MYCERT", "private_key": "$MYKEY" } } EOF ))

5. 從 CIS CLI 上傳用戶端憑證和私人密碼匙。

6. 從 CIS CLI 啟用 已驗證的來源拉取。

使用客戶憑證進行每主機名稱認證的原點拉取

此選項允許來自原始伺服器的安全內容存取，方法是以每個主機名稱為基礎，使用客戶憑證認證要求。

當您啟用每個主機名稱的驗證來源拉取功能時，所有指向指定主機名稱的代理流量都會在來源 Web 伺服器上進行驗證。 您可以從自己的公開金鑰基礎架構使用用戶端憑證來鑑別來自 CIS的連線。

若要在 CIS中上傳用戶端憑證，請執行下列動作:

1. 如果您使用由 OpenSSL, 產生的 ECC 金鑰，請先從證書檔案中移除 -----BEGIN EC PARAMETERS-----...-----END EC PARAMETERS-----。

2. 上傳證書至 CIS 前，請確定證書為下列格式。

   $ cat app_example_com.pem
   -----BEGIN CERTIFICATE-----
   MIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/2gdUySbfzANBgkqhkiG9w0BAQsFADBN
   MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E
   ...
   SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O
   OeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7
   -----END CERTIFICATE-----
   

3. 以字串 \n 取代行尾:

   MYCERT="$(cat app_example_com.pem|perl -pe 's/\r?\n/\\n/'|sed -e 's/..$//')" $ MYKEY="$(cat app_example_com.key|perl -pe 's/\r?\n/\\n/'|sed -e's/..$//')"
   
   echo $MYCERT -----BEGIN CERTIFICATE-----\nMIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/2gdUySbfzANBgkqhkiG9w0BAQsFADBN\nMQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E...SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O\nOeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7\n-----END CERTIFICATE-----\n
   

4. 建置有效負載:

   $ request_body=$(< <(cat <<EOF { "certificate": "$MYCERT", "private_key": "$MYKEY" } } EOF ))

5. 從 CIS CLI 上傳用戶端憑證和私人密碼匙。

6. 透過 CIS CLI 啟用 指定主機名稱上的驗證來源拉取。 將用戶端憑證連結至特定主機名稱。

在沒有關閉時間的情況下取代用戶端憑證

主機名稱:

1. 上傳新憑證。
2. 連結新的憑證 ID 及主機名稱和已啟用的值。

若為廣域:

1. 上傳新憑證。
2. 檢查新憑證是否處於 Active 狀態。
3. 證書啟用後，刪除舊的證書。

同步套用不同的用戶端憑證 (在區域及主機名稱層次)

1. 按照 Zone-level authenticated origin pull（區域層級驗證的原點拉動 ）部分的步驟上載憑證。
2. 按照 使用客戶憑證的每主機名稱認證來源拉取 部分中的步驟上載多個憑證。

在 Apache 和 NGINX 上安裝

使用下列指示來配置 NGINX 或 Apache 原點 Web 伺服器的 TLS 鑑別原點取回。