HGS configureren voor HTTPS-communicatie

Wanneer u de HGS-server initialiseert, worden de IIS-websites standaard geconfigureerd voor alleen HTTP-communicatie. Al het gevoelige materiaal dat naar en van HGS wordt verzonden, wordt altijd versleuteld met versleuteling op berichtniveau, maar als u een hoger beveiligingsniveau wilt, kunt u HTTPS ook inschakelen door HGS te configureren met een SSL-certificaat.

Haal eerst een SSL-certificaat voor HGS op bij uw certificeringsinstantie. Elke hostcomputer moet het SSL-certificaat vertrouwen, dus het wordt aanbevolen om het SSL-certificaat uit te geven van de openbare sleutelinfrastructuur van uw bedrijf of een certificeringsinstantie van derden. Elk SSL-certificaat dat wordt ondersteund door IIS wordt ondersteund door HGS, maar de onderwerpnaam op het certificaat moet overeenkomen met de volledig gekwalificeerde HGS-servicenaam (cluster gedistribueerde netwerknaam). Als het HGS-domein bijvoorbeeld bastion.local is en de naam van uw HGS-service 'hgs' is, moet uw SSL-certificaat worden uitgegeven voor hgs.bastion.local. U kunt indien nodig extra DNS-namen toevoegen aan het alternatieve naamveld voor het onderwerp van het certificaat.

Nadat u het SSL-certificaat hebt, opent u een PowerShell-sessie met verhoogde bevoegdheid en geeft u het certificaatpad op wanneer u Set-HgsServer uitvoert:

$sslPassword = Read-Host -AsSecureString -Prompt "SSL Certificate Password"
Set-HgsServer -Http -Https -HttpsCertificatePath 'C:\temp\HgsSSLCertificate.pfx' -HttpsCertificatePassword $sslPassword

Als u het certificaat al hebt geïnstalleerd in het lokale certificaatarchief, kunt u er ook naar verwijzen via vingerafdruk:

Set-HgsServer -Http -Https -HttpsCertificateThumbprint 'A1B2C3D4E5F6...'

Belangrijk

Als u HGS configureert met een SSL-certificaat, wordt het HTTP-eindpunt niet uitgeschakeld. Als u het HTTPS-eindpunt alleen wilt gebruiken, configureert u Windows Firewall om binnenkomende verbindingen met poort 80 te blokkeren. Wijzig de IIS-bindingen voor HGS-websites niet om het HTTP-eindpunt te verwijderen; dit wordt niet ondersteund.