Tetap teratur dengan koleksi
Simpan dan kategorikan konten berdasarkan preferensi Anda.
Meningkatkan throughput pembuatan sertifikat menggunakan kumpulan CA
Halaman ini menjelaskan cara meningkatkan kecepatan pembuatan sertifikat menggunakan kumpulan certificate authority (CA). Untuk informasi tentang kumpulan CA, lihat Ringkasan
kumpulan CA.
Ringkasan
Throughput pembuatan sertifikat diukur dalam kueri per detik (QPS). Dalam
service mesh, throughput pembuatan sertifikat dapat diperkirakan menggunakan
formula berikut:
ACTIVE_WORKLOADS: jumlah total workload yang berjalan pada waktu tertentu
ROTATION_FREQUENCY: frekuensi rotasi sertifikat
per detik
NEW_WORKLOADS_PER_SECOND: kecepatan pembuatan workload baru
Anda dapat menemukan nilai untuk ACTIVE_WORKLOADS dan NEW_WORKLOADS_PER_SECOND,
di dasbor Google Kubernetes Engine di
konsolGoogle Cloud . Untuk menentukan ROTATION_FREQUENCY untuk mesh layanan, Anda
harus melihat dokumentasi produk mesh layanan. ROTATION_FREQUENCY
untuk Cloud Service Mesh ditetapkan secara default ke sekali setiap 12 jam, yaitu 1/(12×60×60) atau
1/43200 saat dikonversi menjadi frekuensi rotasi per detik.
Contoh
Pertimbangkan contoh cluster yang relatif stabil dengan workload yang berumur panjang
dan beberapa workload sementara.
Nama variabel
Nilai
Deskripsi
ACTIVE_WORKLOADS
10000
10.000 workload diperkirakan akan berjalan pada waktu tertentu.
NEW_WORKLOADS_PER_SECOND
1
1 beban kerja baru dibuat setiap detik.
ROTATION_FREQUENCY
1/43200
Sertifikat dirotasi setiap 12 jam.
Dengan mengganti nilai ini dalam formula untuk menghitung rasio pembuatan
sertifikat, nilai QPS akan menjadi 1,23.
Throughput = (10.000 / 43.200) + 1 = 1,23 QPS
Cluster lain dengan lebih banyak workload sementara dan workload dengan masa aktif lebih singkat
mungkin memiliki nilai yang lebih tinggi untuk NEW_WORKLOADS_PER_SECOND. Nilai tinggi
ROTATION_FREQUENCY membuat nilai fraksi (ACTIVE_WORKLOADS /
ROTATION_FREQUENCY) cukup kecil, sehingga NEW_WORKLOADS_PER_SECOND menjadi variabel
yang paling penting dalam formula.
Sebelum memulai
Siapkan kumpulan CA di lokasi yang diperlukan. Untuk mengetahui daftar lengkap lokasi, lihat
Lokasi.
Jika Anda ingin menerbitkan sertifikat dengan throughput yang tinggi secara konsisten, sebaiknya
buat kumpulan CA di tingkat DevOps, yang memungkinkan
performa yang lebih baik dan biaya yang lebih rendah. Ada throughput maksimum untuk setiap CA dalam CA Pool, dan ada throughput efektif maksimum yang dapat dicapai untuk project tertentu. Misalnya, jika throughput maksimum untuk
tingkat DevOps adalah 25 QPS untuk CA dan 100 QPS untuk project, Anda harus membuat 4
CA dalam kumpulan CA untuk mencapai total throughput efektif hingga 100 QPS.
Untuk mengetahui jumlah QPS tertentu dan informasi selengkapnya tentang kuota, lihat Kuota dan batas.
Prosedur
Buat CA yang cukup dalam kumpulan CA Anda untuk mencapai QPS yang diperlukan. Jumlah
CA yang diperlukan adalah 4 untuk kumpulan CA di tingkat DevOps, dan 15 untuk kumpulan
CA di tingkat Enterprise. Kumpulan petunjuk berikut ditujukan untuk kumpulan
CA di tingkat DevOps:
Untuk membuat CA root dengan nama root-1 di kumpulan CA Anda, gunakan
perintah gcloud berikut.
Total QPS efektif kumpulan CA pada tahap ini adalah 25 QPS. Untuk
meningkatkan total QPS efektif kumpulan CA menjadi 100 QPS, Anda harus
membuat 3 CA lagi di kumpulan CA.
Untuk membuat CA root dengan nama root-2, gunakan perintah gcloud
berikut.
Pada tahap ini, total QPS efektif kumpulan CA Anda adalah 100 QPS.
Saat CA berada dalam status STAGED, buat dan uji sertifikat. Setelah
selesai, aktifkan CA. Untuk informasi cara mengaktifkan CA, lihat Mengaktifkan
CA. Untuk informasi tentang cara menguji CA, lihat Menguji
CA.
Verifikasi status kumpulan CA Anda dengan mendapatkan laporan audit tentang load balancing di seluruh CA. Idealnya, harus ada keseragaman dalam jumlah
sertifikat yang dikeluarkan oleh setiap CA.
Anda dapat menggunakan Cloud Monitoring untuk memantau metrik load balancing
kumpulan CA, seperti jumlah sertifikat yang dikeluarkan per CA dalam jangka waktu tertentu. Untuk mengetahui informasi selengkapnya, lihat Memantau resource menggunakan Cloud Monitoring.
[[["Mudah dipahami","easyToUnderstand","thumb-up"],["Memecahkan masalah saya","solvedMyProblem","thumb-up"],["Lainnya","otherUp","thumb-up"]],[["Sulit dipahami","hardToUnderstand","thumb-down"],["Informasi atau kode contoh salah","incorrectInformationOrSampleCode","thumb-down"],["Informasi/contoh yang saya butuhkan tidak ada","missingTheInformationSamplesINeed","thumb-down"],["Masalah terjemahan","translationIssue","thumb-down"],["Lainnya","otherDown","thumb-down"]],["Terakhir diperbarui pada 2025-08-12 UTC."],[[["\u003cp\u003eCA pools can increase certificate creation throughput, measured in queries per second (QPS).\u003c/p\u003e\n"],["\u003cp\u003eCertificate creation throughput in a service mesh depends on active workloads, rotation frequency, and new workloads per second, following the provided formula.\u003c/p\u003e\n"],["\u003cp\u003eThe DevOps tier for CA pools allows for improved performance and lower costs, with a maximum throughput per CA and per project, requiring multiple CAs to achieve higher total QPS.\u003c/p\u003e\n"],["\u003cp\u003eTo achieve the desired QPS, it's necessary to create a specific number of CAs within the CA pool (e.g., four CAs in the DevOps tier for 100 QPS).\u003c/p\u003e\n"],["\u003cp\u003eAfter creating CAs, it's important to test them while in a staged state and verify the health of the CA pool through load-balancing metrics and audit reports to ensure uniform certificate issuance.\u003c/p\u003e\n"]]],[],null,["# Increase certificate creation throughput using CA pools\n=======================================================\n\nThis page describes how you can increase the certificate creation rate using a\ncertificate authority (CA) pool. For information about CA pools, see [Overview\nof CA pools](/certificate-authority-service/docs/ca-pool).\n\nOverview\n--------\n\nThe certificate creation throughput is measured in queries per second (QPS). In\na service mesh, the certificate creation throughput can be approximated using\nthe following formula:\n\n*THROUGHPUT* = (*ACTIVE_WORKLOADS* × *ROTATION_FREQUENCY* ) +\n*NEW_WORKLOADS_PER_SECOND*\n\nReplace the following:\n\n- *ACTIVE_WORKLOADS*: the total number of workloads that are running at any given time\n- *ROTATION_FREQUENCY*: the frequency at which the certificates are rotated per second\n- *NEW_WORKLOADS_PER_SECOND*: the rate at which new workloads are created\n\nYou can find the values for *ACTIVE_WORKLOADS* and *NEW_WORKLOADS_PER_SECOND* ,\nin the [Google Kubernetes Engine\ndashboards](/kubernetes-engine/docs/concepts/dashboards) in the\nGoogle Cloud console. To determine the *ROTATION_FREQUENCY* for a service mesh, you\nmust refer to the service mesh product's documentation. The *ROTATION_FREQUENCY*\nfor Cloud Service Mesh defaults to once every 12 hours, which is 1/(12×60×60) or\n1/43200 when converted into rotation frequency per second.\n\nExample\n-------\n\nConsider the example of a relatively stable cluster with long-lived workloads\nand few ephemeral workloads.\n\nSubstituting these values in the formula for calculating certificate-creation\nrate gives a QPS value of 1.23.\n\nThroughput = (10,000 / 43,200) + 1 = 1.23 QPS\n\nA different cluster with more ephemeral workloads and shorter-lived workloads\nmight have a higher value for *NEW_WORKLOADS_PER_SECOND* . A high value of\n*ROTATION_FREQUENCY* makes the value of the fraction *(ACTIVE_WORKLOADS /\nROTATION_FREQUENCY)* quite small, making *NEW_WORKLOADS_PER_SECOND* the most\nimportant variable in the formula.\n\nBefore you begin\n----------------\n\n[Set up a CA pool](/certificate-authority-service/docs/creating-ca-pool) in your\nrequired location. For the complete list of locations, see\n[Locations](/certificate-authority-service/docs/locations).\n\nIf you're expecting to issue certificates at a consistently high throughput, we\nrecommend that you create the CA pool in the DevOps tier, which allows for\nimproved performance and incurs lower costs. There is a maximum throughput for\neach individual CA within a CA Pool, and there is a maximum achievable effective\nthroughput for any given project. For example, if the maximum throughput for the\nDevOps tier is 25 QPS for a CA and 100 QPS for a project, then you must create 4\nCAs within the CA pool to reach a total effective throughput of up to 100 QPS.\nFor specific QPS numbers and more information about quotas, see [Quotas and\nlimits](../quotas).\n| **Note:** Support for listing, describing, and revoking certificates is not available for CA pools in the DevOps tier. For more information about tiers, see [Select the operation tiers](/certificate-authority-service/docs/tiers).\n\nProcedure\n---------\n\n1. Create enough CAs within your CA pool to achieve the required QPS. The\n required number of CAs is 4 for CA pools in the DevOps tiers, and 15 for CA\n pools in the Enterprise tier. The following set of instructions is for a CA\n pool in the DevOps tier:\n\n 1. To create a root CA with the name `root-1` in your CA pool, use the\n following `gcloud` command.\n\n gcloud privateca roots create root-1 \\\n --location \u003cvar translate=\"no\"\u003eLOCATION\u003c/var\u003e \\\n --pool \u003cvar translate=\"no\"\u003ePOOL_NAME\u003c/var\u003e \\\n --subject=\"CN=root-1,O=google\"\n\n The total effective QPS of the CA pool at this stage is 25 QPS. To\n increase the total effective QPS of the CA pool to 100 QPS, you must\n create 3 more CAs in your CA pool.\n 2. To create a root CA with the name `root-2`, use the following `gcloud`\n command.\n\n gcloud privateca roots create root-2 \\\n --location \u003cvar translate=\"no\"\u003eLOCATION\u003c/var\u003e \\\n --pool \u003cvar translate=\"no\"\u003ePOOL_NAME\u003c/var\u003e \\\n --subject=\"CN=root-2,O=google\"\n\n 3. To create a root CA with the name `root-3`, use the following `gcloud`\n command.\n\n gcloud privateca roots create root-3 \\\n --location \u003cvar translate=\"no\"\u003eLOCATION\u003c/var\u003e \\\n --pool \u003cvar translate=\"no\"\u003ePOOL_NAME\u003c/var\u003e \\\n --subject=\"CN=root-3,O=google\"\n\n 4. To create a root CA with the name `root-4`, use the following `gcloud`\n command.\n\n gcloud privateca roots create root-4 \\\n --location \u003cvar translate=\"no\"\u003eLOCATION\u003c/var\u003e \\\n --pool \u003cvar translate=\"no\"\u003ePOOL_NAME\u003c/var\u003e \\\n --subject=\"CN=root-4,O=google\"\n\n At this stage, the total effective QPS of your CA pool is 100 QPS.\n2. While CAs are in the `STAGED` state, create and test certificates. Once that\n is done, enable the CAs. For information on enabling CAs, see [Enable a\n CA](/certificate-authority-service/docs/managing-ca-state#enable). For information on testing CAs, see [Test a\n CA](/certificate-authority-service/docs/creating-certificate-authorities#test).\n\n3. Verify the health of your CA pool by getting audit reports on load-balancing\n across CAs. Ideally, there should be uniformity in the number of\n certificates issued by each CA.\n\n You can use Cloud Monitoring to monitor your CA pool's load-balancing\n metrics, such as the number of certificates issued per CA in a given time\n period. For more information, see [Monitor resources using\n Cloud Monitoring](/certificate-authority-service/docs/monitoring).\n\nWhat's next\n-----------\n\n- Learn more about [quotas and limits](../quotas).\n- Watch a YouTube video on [increasing throughput for CAs with CA\n pools](https://www.youtube.com/watch?v=bBtBIUJJzmY&list=PLIivdWyY5sqI05hOAi0YgZt_eg7G9tpcN&index=9)."]]
