Globales von Google verwaltetes Zertifikat mit Certificate Authority Service bereitstellen

CA Service-Integration mit Certificate Manager konfigurieren

So integrieren Sie den CA-Dienst in Certificate Manager:

1. Erstellen Sie im Zielprojekt Google Cloud ein Certificate Manager-Dienstkonto:

   gcloud beta services identity create --service=certificatemanager.googleapis.com \
       --project=PROJECT_ID
   

   Ersetzen Sie PROJECT_ID durch die ID desGoogle Cloud Zielprojekts.

   Der Befehl gibt den Namen der erstellten Dienstidentität zurück. Sehen Sie sich folgendes Beispiel an:

   service-520498234@gcp-sa-certificatemanager.iam.gserviceaccount.com
   

2. Weisen Sie dem Certificate Manager-Dienstkonto im Ziel-CA-Pool die Rolle CA Service-Zertifikatsanfragesteller (roles/privateca.certificateRequester) zu:

   gcloud privateca pools add-iam-policy-binding CA_POOL \
       --location LOCATION \
       --member "serviceAccount:SERVICE_ACCOUNT" \
       --role roles/privateca.certificateRequester
   

   Ersetzen Sie Folgendes:

   • CA_POOL: die ID des Ziel-CA-Pools.
   • LOCATION: der Ziel Google Cloud standort.
   • SERVICE_ACCOUNT: der vollständige Name des Dienstkontos, das Sie in Schritt 1 erstellt haben.

3. Erstellen Sie eine Konfigurationsressource für die Zertifikatsausstellung für Ihren CA-Pool:

   Console

   1. Rufen Sie in der Google Cloud Console auf der Seite Certificate Manager den Tab Ausstellungskonfigurationen auf.

      Zum Zertifikatmanager

   2. Klicken Sie auf Erstellen. Die Seite Konfiguration der Zertifikatsausstellung erstellen wird angezeigt.

   3. Geben Sie im Feld Name einen eindeutigen Namen für die Konfiguration zur Zertifikatausstellung ein.

   4. Optional: Geben Sie im Feld Beschreibung eine Beschreibung für die Ausstellungs-Konfiguration ein.

   5. Wählen Sie unter Standort die Option Global aus.

   6. Optional: Geben Sie im Feld Lebensdauer die Lebensdauer des ausgestellten Zertifikats in Tagen an. Der Wert muss zwischen 21 und 30 Tagen (einschließlich) liegen.

   7. Optional: Geben Sie unter Rotation window percentage (Prozentsatz des Rotationszeitraums) den Prozentsatz der Lebensdauer des Zertifikats an, ab dem die Verlängerung beginnt. Informationen zum gültigen Wertebereich finden Sie unter Prozentsatz für Lebensdauer und Rotationszeitraum.

   8. Optional: Wählen Sie in der Liste Schlüsselalgorithmus den Schlüsselalgorithmus aus, der beim Generieren des privaten Schlüssels verwendet werden soll.

   9. Wählen Sie in der Liste CA-Pool den Namen des CA-Pools aus, der dieser Konfigurationsressource für die Zertifikatausstellung zugewiesen werden soll.

   10. Geben Sie im Feld Labels Labels an, die dem Zertifikat zugeordnet werden sollen. Klicken Sie auf add_boxLabel hinzufügen, um ein Label hinzuzufügen, und geben Sie einen Schlüssel und einen Wert für das Label an.

   11. Klicken Sie auf Erstellen.

   gcloud

   gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
       --ca-pool=CA_POOL
   

   Ersetzen Sie Folgendes:

   • ISSUANCE_CONFIG_NAME: der Name der Ressource für die Konfiguration der Zertifikatausstellung.
   • CA_POOL: Der vollständige Ressourcenpfad und Name des CA-Pools, den Sie dieser Ressource für die Konfiguration der Zertifikatsausstellung zuweisen möchten.

   Weitere Informationen zu Konfigurationsressourcen für die Zertifikatsausstellung finden Sie unter Konfigurationsressourcen für die Zertifikatsausstellung verwalten.

Von Google verwaltetes Zertifikat erstellen, das von Ihrer CA Service-Instanz ausgestellt wurde

So erstellen Sie ein von Google verwaltetes Zertifikat, das von Ihrer CA Service-Instanz ausgestellt wird:

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAMES" \
    --issuance-config=ISSUANCE_CONFIG_NAME

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME"
{
 "managed": {
  "domains": ["DOMAIN_NAME"],
  "issuanceConfig": "ISSUANCE_CONFIG_NAME",
 }
}

Status des Zertifikats prüfen

Prüfen Sie vor der Bereitstellung eines Zertifikats auf einem Load Balancer, ob es aktiv ist. Es kann einige Minuten dauern, bis sich der Zertifikatstatus in ACTIVE ändert.

gcloud certificate-manager certificates describe CERTIFICATE_NAME

createTime: '2021-10-20T12:19:53.370778666Z'
expireTime: '2022-05-07T05:03:49Z'
managed:
  domains:
  - myorg.example.com
  issuanceConfig: projects/myproject/locations/global/issuanceConfigs/myissuanceConfig
  state: ACTIVE
name: projects/myproject/locations/global/certificates/mycertificate
pemCertificate: |
  -----BEGIN CERTIFICATE-----
  [...]
  -----END CERTIFICATE-----
sanDnsnames:
  - myorg.example.com
updateTime: '2021-10-20T12:19:55.083385630Z'

Weitere Schritte zur Fehlerbehebung finden Sie unter Fehlerbehebung für Certificate Manager.

Zertifikat für einen Load-Balancer bereitstellen

Verwenden Sie eine Zertifikatszuordnung, um das globale von Google verwaltete Zertifikat bereitzustellen.

Zertifikatzuordnung erstellen

Erstellen Sie eine Zertifikatszuordnung, die auf den Zertifikatszuordnungseintrag verweist, der mit Ihrem Zertifikat verknüpft ist:

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

resource "google_certificate_manager_certificate_map" "certificate_map" {
  name        = "${local.name}-certmap-${random_id.tf_prefix.hex}"
  description = "${local.domain} certificate map"
  labels = {
    "terraform" : true
  }
}

Zertifikatszuordnungseintrag erstellen

Erstellen Sie einen Eintrag für die Zertifikatszuordnung und verknüpfen Sie ihn mit Ihrem Zertifikat und Ihrer Zertifikatszuordnung:

gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME" \
    --certificates="CERTIFICATE_NAME" \
    --hostname="HOSTNAME"

resource "google_certificate_manager_certificate_map_entry" "first_entry" {
  name        = "${local.name}-first-entry-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = local.domain
}

resource "google_certificate_manager_certificate_map_entry" "second_entry" {
  name        = "${local.name}-second-entity-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = "*.${local.domain}"
}

Prüfen, ob der Eintrag in der Zertifikatszuordnung aktiv ist

Prüfen Sie, ob der Eintrag der Zertifikatszuordnung aktiv ist, bevor Sie die entsprechende Zertifikatszuordnung an den Zielproxy anhängen.

Verwenden Sie den Befehl gcloud certificate-manager maps entries describe, um den Eintrag der Zertifikatszuordnung zu prüfen:

gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"

Ersetzen Sie Folgendes:

• CERTIFICATE_MAP_ENTRY_NAME: der Name des Zertifikatszuordnungseintrags.
• CERTIFICATE_NAME: der Name des Zertifikats, das Sie mit dem Eintrag der Zertifikatszuordnung verknüpfen möchten.

Die Ausgabe sieht etwa so aus:

certificates:
createTime: '2021-09-06T10:01:56.229472109Z'
hostname: example.com
name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/myCertMapEntry
state: ACTIVE
updateTime: '2021-09-06T10:01:58.277031787Z'

Zertifikatszuordnung an den Zielproxy anhängen

Sie können die Zertifikatszuordnung an einen neuen oder vorhandenen Zielproxy anhängen.

gcloud compute target-https-proxies create PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --url-map="URL_MAP" \
    --global

gcloud compute target-https-proxies update PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --global

gcloud compute target-https-proxies list

Wenn Sie beim Konfigurieren eines Zielproxys TLS- (SSL-)Zertifikate direkt und auch über eine Zertifikatszuordnung anhängen, verwendet der Proxy die Zertifikate, auf die in der Zertifikatszuordnung verwiesen wird, und ignoriert die direkt angehängten TLS- (SSL-)Zertifikate.

Fehlerbehebung bei Zertifikaten, die von CA Service ausgestellt wurden

Schritte zur Fehlerbehebung finden Sie unter Probleme im Zusammenhang mit Zertifikaten, die von einer CA Service-Instanz ausgestellt wurden.

Bereinigen

Löschen Sie die in dieser Anleitung verwendeten Ressourcen, um zu vermeiden, dass Ihrem Google Cloud Konto dafür Gebühren berechnet werden.

1. Löschen Sie den Load-Balancer und seine Ressourcen.

   Load-Balancing-Einrichtung bereinigen.

2. Löschen Sie die Zertifikatszuordnung oder trennen Sie sie vom Proxy.

   Führen Sie den folgenden Befehl aus, um die Zertifikatszuordnung zu löschen:

   gcloud compute target-https-proxies delete PROXY_NAME
   

   Wenn Sie den HTTPS-Zielproxy behalten möchten, trennen Sie die Zertifikatszuordnung vom Proxy. Beachten Sie Folgendes, bevor Sie die Zertifikatszuordnung trennen:

   • Wenn dem Proxy TLS-Zertifikate (SSL) direkt zugeordnet sind, werden diese wieder verwendet, wenn die Zertifikatszuordnung getrennt wird.
   • Wenn dem Proxy keine TLS-Zertifikate (SSL) direkt zugeordnet sind, kann die Zertifikatszuordnung nicht vom Proxy getrennt werden. Sie müssen dem Proxy zuerst mindestens ein TLS- (SSL-)Zertifikat direkt zuordnen, bevor Sie die Zertifikatszuordnung trennen können.

   Führen Sie den folgenden Befehl aus, um die Zertifikatszuordnung zu trennen:

   gcloud compute target-https-proxies update PROXY_NAME \
       --clear-certificate-map
   

   Ersetzen Sie PROXY_NAME durch den Namen des Zielproxys.

3. Löschen Sie den Eintrag der Zertifikatszuordnung aus der Zertifikatszuordnung:

   gcloud certificate-manager maps entries delete CERTIFICATE_MAP_ENTRY_NAME \
       --map="CERTIFICATE_MAP_NAME"
   

   Ersetzen Sie Folgendes:

   • CERTIFICATE_MAP_ENTRY_NAME: der Name des Zertifikatszuordnungseintrags.
   • CERTIFICATE_MAP_NAME: der Name der Zertifikatszuordnung.

4. Löschen Sie die Zertifikatzuordnung:

   gcloud certificate-manager maps delete CERTIFICATE_MAP_NAME
   

   Ersetzen Sie CERTIFICATE_MAP_NAME durch den Namen der Zertifikatszuordnung.

5. Löschen Sie das von Google verwaltete Zertifikat:

   Console

   1. Rufen Sie in der Google Cloud Console die Seite Certificate Manager auf.

      Zum Zertifikatmanager

   2. Klicken Sie auf dem Tab Zertifikate das Kästchen des Zertifikats an.

   3. Klicken Sie auf Löschen.

   4. Klicken Sie im angezeigten Dialogfeld zur Bestätigung auf Löschen.

   gcloud

   gcloud certificate-manager certificates delete CERTIFICATE_NAME
   

   Ersetzen Sie CERTIFICATE_NAME durch den Namen des Zielzertifikats.

6. Löschen Sie die Konfigurationsressource für die Zertifikatsausstellung:

   Console

   1. Rufen Sie in der Google Cloud Console auf der Seite Certificate Manager den Tab Ausstellungskonfigurationen auf.

      Zum Zertifikatmanager

   2. Klicken Sie das Kästchen neben der Ressource für die Ausstellungskonfiguration an, die Sie löschen möchten.

   3. Klicken Sie auf Löschen.

   4. Klicken Sie im angezeigten Dialogfeld zur Bestätigung auf Löschen.

   gcloud

    gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME
    

   Ersetzen Sie ISSUANCE_CONFIG_NAME durch den Namen der Zielressource für die Konfiguration der Zertifikatausstellung.

7. Löschen Sie den CA-Pool.

   Wenn Sie den CA-Pool löschen oder die letzte aktivierte CA in einem CA-Pool deaktivieren möchten, auf den von einer Ressource für die Konfiguration der Zertifikatsausstellung verwiesen wird, löschen Sie alle Ressourcen für die Konfiguration der Zertifikatsausstellung, die auf den CA-Pool verweisen. Weitere Informationen finden Sie unter CA-Pool löschen.