如何为Artifactory 7.x UI配置HTTPS安全访问？

无需反向代理的原生配置方法 #

Artifactory 7.x的UI由内置Router微服务提供，你可以直接通过配置Router的TLS证书来启用HTTPS，无需依赖外部反向代理，具体步骤如下：

1. 准备SSL证书

   • 准备PEM格式的SSL证书文件（如artifactory.example.com.crt）和对应的私钥文件（如artifactory.example.com.key）。
   • 将这两个文件放置到Artifactory的Router SSL目录：$JFROG_HOME/artifactory/var/etc/nginx/ssl/，目录不存在则手动创建。

2. 修改Router的Nginx配置模板

   • 编辑配置模板文件：$JFROG_HOME/artifactory/var/etc/nginx/conf.d/default.conf.template
   • 替换原有的8082端口HTTP监听块为以下HTTPS配置：

     server {
         listen 443 ssl;
         server_name artifactory.example.com;
     
         ssl_certificate ssl/artifactory.example.com.crt;
         ssl_certificate_key ssl/artifactory.example.com.key;
     
         # 可选：添加安全的SSL协议和加密套件
         ssl_protocols TLSv1.2 TLSv1.3;
         ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
         ssl_prefer_server_ciphers off;
     
         location / {
             proxy_pass http://localhost:8082;
             proxy_set_header Host $host;
             proxy_set_header X-Real-IP $remote_addr;
             proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
             proxy_set_header X-Forwarded-Proto $scheme;
         }
     }
     

   • 注释或删除原有的listen 8082的HTTP server块，避免端口冲突。

3. 重启Artifactory服务

   • 根据你的服务管理方式执行重启：
     • Systemd环境：sudo systemctl restart artifactory
     • 手动启动：$JFROG_HOME/artifactory/bin/artifactoryctl restart

4. 验证HTTPS访问

   • 访问https://artifactory.example.com/ui/，确认UI正常加载，且浏览器显示安全的HTTPS连接。

是否必须使用反向代理？ #

不是必须的。通过上述内置Router的TLS配置即可实现UI的HTTPS访问。不过在生产环境中，反向代理（如Nginx、HAProxy）能提供额外优势：

• 更灵活的负载均衡与流量管理
• 集中化的SSL证书生命周期管理
• 静态资源缓存优化访问性能
• 集成WAF等高级安全防护能力

如果仅需基础HTTPS访问，原生配置完全足够；若有更高的性能、安全或扩展性需求，再考虑部署反向代理。

内容的提问来源于stack exchange，提问作者user1596538