Implementa un certificado administrado por Google en varias regiones con Certificate Authority Service

En este instructivo, se muestra cómo usar Certificate Manager para implementar un certificado global administrado por Google con Certificate Authority Service en un balanceador de cargas de aplicaciones interno entre regiones.

Si deseas realizar implementaciones en balanceadores de cargas externos globales o regionales, consulta lo siguiente:

Objetivos

En este instructivo, se muestra cómo completar las siguientes tareas:

  • Crea un certificado administrado por Google con el servicio de CA a través del Administrador de certificados.
  • Implementa el certificado en un balanceador de cargas compatible con un proxy HTTPS de destino.

Antes de comenzar

  1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  3. Make sure that billing is enabled for your Google Cloud project.

  4. Enable the Compute Engine, Certificate Manager, Certificate Authority APIs.

    Enable the APIs

  5. Install the Google Cloud CLI.

  6. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  7. To initialize the gcloud CLI, run the following command: 

    gcloud init

  8. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  9. Make sure that billing is enabled for your Google Cloud project.

  10. Enable the Compute Engine, Certificate Manager, Certificate Authority APIs.

    Enable the APIs

  11. Install the Google Cloud CLI.

  12. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  13. To initialize the gcloud CLI, run the following command: 

    gcloud init
  14. Habilita la API de CA Service.
  15. Crea un grupo de CA. Debes crear y habilitar al menos una CA en este grupo de CA.

    16. Antes de seguir los pasos de este instructivo, debes tener en cuenta lo siguiente:

    • Los certificados que creas con Certificate Authority Service no son de confianza pública. Para emitir certificados de confianza pública, crea certificados con autorización de DNS o autorización del balanceador de cargas.

    • Si una política de emisión de certificados está vigente en el grupo de CA de destino, es posible que falle el aprovisionamiento de certificados por cualquiera de los siguientes motivos:

      • La política de emisión de certificados bloqueó el certificado solicitado. En este caso, no se te facturará porque no se emitió el certificado.
      • La política aplicó cambios al certificado que no son compatibles con Certificate Manager. En este caso, se te facturará porque se emitió el certificado, aunque no sea totalmente compatible con Certificate Manager.

    • Los certificados TLS administrados por Google globales se pueden configurar para que se emitan desde un grupo de CA en cualquier región.

    Roles obligatorios

    Asegúrate de tener los siguientes roles para completar las tareas de este instructivo:

    • Propietario del Administrador de certificados (roles/certificatemanager.owner)

      Se requiere para crear y administrar recursos de Certificate Manager.

    • Administrador de balanceador de cargas de Compute (roles/compute.loadBalancerAdmin) o administrador de redes de Compute (roles/compute.networkAdmin)

      Se requiere para crear y administrar el proxy HTTPS de destino.

    • Administrador del servicio de CA (roles/privateca.admin)

      Se requiere para realizar acciones en el servicio de CA.

    Para obtener más información, consulta lo siguiente:

    Crea el balanceador de cargas

    En este instructivo, se supone que ya creaste y configuraste los backends, las verificaciones de estado, los servicios de backend y los mapas de URL del balanceador de cargas. Toma nota del nombre del mapa de URL, ya que lo necesitarás más adelante en este instructivo.

    Si no creaste un balanceador de cargas de aplicaciones interno entre regiones, consulta Configura un balanceador de cargas de aplicaciones interno entre regiones con backends de grupos de instancias de VM.

Configura la integración del Servicio de CA con Certificate Manager

Para integrar el servicio de la CA con Certificate Manager, sigue estos pasos:

  1. En el proyecto Google Cloud de destino, crea una cuenta de servicio de Certificate Manager:

    gcloud beta services identity create --service=certificatemanager.googleapis.com \
    --project=PROJECT_ID

    Reemplaza PROJECT_ID por el ID del proyecto de destinoGoogle Cloud .

    El comando devuelve el nombre de la identidad del servicio creada. Consulta el siguiente ejemplo:

    service-520498234@gcp-sa-certificatemanager.iam.gserviceaccount.com

  2. Otorga a la cuenta de servicio de Certificate Manager el rol de solicitante de certificados del servicio de CA (roles/privateca.certificateRequester) dentro del grupo de CA de destino:

    gcloud privateca pools add-iam-policy-binding CA_POOL \
    --location LOCATION \
    --member "serviceAccount:SERVICE_ACCOUNT" \
    --role roles/privateca.certificateRequester

    Reemplaza lo siguiente:

    • CA_POOL: Es el ID del grupo de AC de destino.
    • LOCATION: Es la ubicación Google Cloud objetivo.
    • SERVICE_ACCOUNT: Es el nombre completo de la cuenta de servicio que creaste en el paso 1.

  3. Crea un recurso de configuración de emisión de certificados para tu grupo de CA:

    Console

    1. En la consola de Google Cloud , ve a la pestaña Configuraciones de emisión en la página Certificate Manager.

      Ir al Administrador de certificados

    2. Haz clic en Crear. Aparecerá la página Create a Certificate Issuance Config.

    3. En el campo Nombre, ingresa un nombre único para la configuración de emisión de certificados.

    4. Opcional: En el campo Descripción, ingresa una descripción para la configuración de emisión.

    5. En Ubicación, selecciona Global.

    6. Opcional: En el campo Duración, especifica la duración del certificado emitido en días. El valor debe estar entre 21 y 30 días (inclusive).

    7. Opcional: En Porcentaje de la ventana de rotación, especifica el porcentaje de la vida útil del certificado en el que comienza su proceso de renovación. Para encontrar el rango de valores válidos, consulta Porcentaje de la ventana de rotación y de duración.

    8. Opcional: En la lista Algoritmo de clave, selecciona el algoritmo de clave que se usará cuando se genere la clave privada.

    9. En la lista Grupo de CA, selecciona el nombre del grupo de CA que se asignará a este recurso de configuración de emisión de certificados.

    10. En el campo Etiquetas, especifica las etiquetas que se asociarán al certificado. Para agregar una etiqueta, haz clic en Agregar etiqueta y especifica una clave y un valor para tu etiqueta.

    11. Haz clic en Crear.

    gcloud 

    gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
    --ca-pool=CA_POOL

    Reemplaza lo siguiente:

    • ISSUANCE_CONFIG_NAME: Es el nombre del recurso de configuración de emisión de certificados.
    • CA_POOL: Es la ruta de acceso y el nombre completos del recurso del grupo de entidades certificadoras que deseas asignar a este recurso de configuración de emisión de certificados.

    Para obtener más información sobre los recursos de configuración de emisión de certificados, consulta Administra los recursos de configuración de emisión de certificados.

Crea un certificado administrado por Google emitido por tu instancia de CA Service

Para crear un certificado administrado por Google emitido por tu instancia de Certificate Authority Service, haz lo siguiente:

Console

  1. En la consola de Google Cloud , ve a la página Certificate Manager.

    Ir al Administrador de certificados

  2. En la pestaña Certificados, haz clic en Agregar certificado.

  3. En el campo Nombre del certificado, ingresa un nombre único para el certificado.

  4. Opcional: En el campo Descripción, ingresa una descripción para el certificado. La descripción te permite identificar el certificado.

  5. En Ubicación, selecciona Global.

  6. En Alcance, selecciona Todas las regiones.

  7. En Tipo de certificado, selecciona Crear certificado administrado por Google.

  8. En Tipo de autoridad certificadora, selecciona Privada.

  9. En el campo Domain Names, especifica una lista delimitada por comas de los nombres de dominio del certificado. Cada nombre de dominio debe ser un nombre de dominio completamente calificado, como myorg.example.com.

  10. En Select a certificate issuance config, selecciona el nombre del recurso de configuración de emisión de certificados que hace referencia al grupo de CA de destino.

  11. En el campo Etiquetas, especifica las etiquetas que se asociarán al certificado. Para agregar una etiqueta, haz clic en Agregar etiqueta y especifica una clave y un valor para tu etiqueta.

  12. Haz clic en Crear.

    El certificado nuevo aparecerá en la lista de certificados.

gcloud

Para crear un certificado administrado por Google en varias regiones con Certificate Authority Service, usa el comando certificate-manager certificates create con las marcas issuance-config y --scope:

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAMES" \
    --issuance-config=ISSUANCE_CONFIG_NAME \
    --scope=all-regions

Reemplaza lo siguiente:

  • CERTIFICATE_NAME: El nombre del certificado.
  • DOMAIN_NAME: Es el nombre del dominio de destino. El nombre de dominio debe ser un nombre de dominio completamente calificado, como myorg.example.com.
  • ISSUANCE_CONFIG_NAME: Es el nombre del recurso de configuración de emisión de certificados que hace referencia al grupo de CA de destino.

API

Para crear el certificado, realiza una solicitud POST al método certificates.create de la siguiente manera:

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME"
{
 "managed": {
  "domains": ["DOMAIN_NAME"],
  "issuanceConfig": "ISSUANCE_CONFIG_NAME",
  "scope": "ALL_REGIONS"
 }
}

Reemplaza lo siguiente:

  • PROJECT_ID: Es el ID del proyecto Google Cloud .
  • CERTIFICATE_NAME: El nombre del certificado.
  • DOMAIN_NAME: Es el nombre del dominio de destino. El nombre de dominio debe ser un nombre de dominio completamente calificado, como myorg.example.com.
  • ISSUANCE_CONFIG_NAME: Es el nombre del recurso de configuración de emisión de certificados que hace referencia al grupo de CA de destino.

Verifica el estado del certificado

Antes de implementar un certificado en un balanceador de cargas, verifica que esté activo. El estado del certificado puede tardar varios minutos en cambiar a ACTIVE.

Console

  1. En la consola de Google Cloud , ve a la página Certificate Manager.

    Ir al Administrador de certificados

  2. En la pestaña Certificados, verifica la columna Estado del certificado.

gcloud

Para verificar el estado del certificado, ejecuta el siguiente comando:

gcloud certificate-manager certificates describe CERTIFICATE_NAME

Reemplaza CERTIFICATE_NAME por el nombre del certificado administrado por Google de destino.

El resultado es similar a este:

createTime: '2021-10-20T12:19:53.370778666Z'
expireTime: '2022-05-07T05:03:49Z'
managed:
  domains:
  - myorg.example.com
  issuanceConfig: projects/myproject/locations/global/issuanceConfigs/myissuanceConfig
  state: ACTIVE
name: projects/myproject/locations/global/certificates/mycertificate
pemCertificate: |
  -----BEGIN CERTIFICATE-----
  [...]
  -----END CERTIFICATE-----
sanDnsnames:
  - myorg.example.com
updateTime: '2021-10-20T12:19:55.083385630Z'

Si quieres ver más pasos para solucionar problemas, consulta Soluciona problemas del Administrador de certificados.

Implementa el certificado en un balanceador de cargas

Para implementar el certificado global administrado por Google, adjúntalo directamente al proxy de destino.

Adjunta el certificado directamente al proxy de destino

Puedes adjuntar el certificado a un proxy de destino nuevo o existente.

Para adjuntar el certificado a un proxy de destino nuevo, usa el comando gcloud compute target-https-proxies create:

gcloud compute target-https-proxies create PROXY_NAME \
    --url-map=URL_MAP \
    --certificate-manager-certificates=CERTIFICATE_NAME \
    --global

Reemplaza lo siguiente:

  • PROXY_NAME: El nombre del proxy de destino.
  • URL_MAP: el nombre del mapa de URL. Creaste el mapa de URL cuando creaste el balanceador de cargas.
  • CERTIFICATE_NAME: El nombre del certificado.

Para adjuntar el certificado a un proxy HTTPS de destino existente, usa el comando gcloud compute target-https-proxies update. Si no conoces el nombre del proxy de destino existente, ve a la página Proxies de destino y anota el nombre del proxy de destino.

gcloud compute target-https-proxies update PROXY_NAME \
    --global \
    --certificate-manager-certificates=CERTIFICATE_NAME

Después de crear o actualizar el proxy de destino, ejecuta el siguiente comando para verificarlo:

gcloud compute target-https-proxies list

Solución de problemas relacionados con los certificados emitidos por el servicio de CA

Si quieres conocer los pasos para solucionar problemas, consulta Problemas relacionados con los certificados emitidos por una instancia de CA Service.

Limpia

Para evitar que se apliquen cargos a tu cuenta de Google Cloud por los recursos que usaste en este instructivo, bórralos.

  1. Borra el balanceador de cargas y sus recursos.

    Consulta Limpia una configuración de balanceo de cargas.

  2. Borra el certificado administrado por Google:

    Console

    1. En la consola de Google Cloud , ve a la página Certificate Manager.

      Ir al Administrador de certificados

    2. En la pestaña Certificates, selecciona la casilla de verificación del certificado.

    3. Haz clic en Borrar.

    4. En el cuadro de diálogo que aparece, haz clic en Borrar para confirmar.

    gcloud 

    gcloud certificate-manager certificates delete CERTIFICATE_NAME

    Reemplaza CERTIFICATE_NAME por el nombre del certificado de destino.

  3. Borra el recurso de configuración de emisión de certificados:

    Console

    1. En la consola de Google Cloud , ve a la pestaña Configuraciones de emisión en la página Certificate Manager.

      Ir al Administrador de certificados

    2. Selecciona la casilla de verificación del recurso de configuración de emisión que deseas borrar.

    3. Haz clic en Borrar.

    4. En el cuadro de diálogo que aparece, haz clic en Borrar para confirmar.

    gcloud 

    gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME

    Reemplaza ISSUANCE_CONFIG_NAME por el nombre del recurso de configuración de emisión de certificados de destino.

  4. Borra el grupo de CA.

    Para borrar el grupo de CA o inhabilitar la última CA habilitada en un grupo de CA al que hace referencia un recurso de configuración de emisión de certificados, borra todas las configuraciones de emisión de certificados que hagan referencia al grupo de CA. Para obtener más información, consulta Borra un grupo de entidades de certificación.

¿Qué sigue?