Déployer un certificat géré par Google au niveau mondial avec Certificate Authority Service

Configurer l'intégration de CA Service à Certificate Manager

Pour intégrer CA Service à Certificate Manager, procédez comme suit :

1. Dans le projet cible Google Cloud , créez un compte de service Certificate Manager :

   gcloud beta services identity create --service=certificatemanager.googleapis.com \
       --project=PROJECT_ID
   

   Remplacez PROJECT_ID par l'ID du projetGoogle Cloud cible.

   La commande renvoie le nom de l'identité de service créée. Consultez l'exemple ci-dessous :

   service-520498234@gcp-sa-certificatemanager.iam.gserviceaccount.com
   

2. Accordez le rôle Demandeur de certificat CA Service (roles/privateca.certificateRequester) au compte de service Certificate Manager dans le pool d'autorités de certification cible :

   gcloud privateca pools add-iam-policy-binding CA_POOL \
       --location LOCATION \
       --member "serviceAccount:SERVICE_ACCOUNT" \
       --role roles/privateca.certificateRequester
   

   Remplacez les éléments suivants :

   • CA_POOL : ID du pool d'autorités de certification cible.
   • LOCATION : emplacement Google Cloud cible.
   • SERVICE_ACCOUNT : nom complet du compte de service que vous avez créé à l'étape 1.

3. Créez une ressource de configuration d'émission de certificats pour votre pool d'autorités de certification :

   Console

   1. Dans la console Google Cloud , accédez à l'onglet Configurations d'émission sur la page Certificate Manager.

      Accéder au Gestionnaire de certificats

   2. Cliquez sur Créer. La page Créer une configuration d'émission de certificats s'affiche.

   3. Dans le champ Nom, saisissez un nom unique pour la configuration d'émission de certificats.

   4. Facultatif : Dans le champ Description, saisissez une description de la configuration d'émission.

   5. Dans Emplacement, sélectionnez Mondial.

   6. Facultatif : Dans le champ Durée de vie, spécifiez la durée de vie du certificat émis en jours. La valeur doit être comprise entre 21 et 30 jours (inclus).

   7. Facultatif : Dans Pourcentage de la période de rotation, spécifiez le pourcentage de la durée de vie du certificat au cours duquel le processus de renouvellement commence. Pour connaître la plage de valeurs valides, consultez Pourcentage de la durée de vie et de la période de rotation.

   8. Facultatif : Dans la liste Algorithme de clé, sélectionnez l'algorithme de clé à utiliser lors de la génération de la clé privée.

   9. Dans la liste Pool d'autorités de certification, sélectionnez le nom du pool d'autorités de certification à attribuer à cette ressource de configuration d'émission de certificats.

   10. Dans le champ Libellés, spécifiez les libellés à associer au certificat. Pour ajouter un libellé, cliquez sur add_boxAjouter un libellé, puis spécifiez une clé et une valeur pour votre libellé.

   11. Cliquez sur Créer.

   gcloud

   gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
       --ca-pool=CA_POOL
   

   Remplacez les éléments suivants :

   • ISSUANCE_CONFIG_NAME : nom de la ressource de configuration d'émission de certificat.
   • CA_POOL : chemin d'accès et nom complets du pool d'autorité de certification que vous souhaitez attribuer à cette ressource de configuration d'émission de certificat.

   Pour en savoir plus sur les ressources de configuration d'émission de certificats, consultez Gérer les ressources de configuration d'émission de certificats.

Créer un certificat géré par Google et émis par votre instance de service CA

Pour créer un certificat géré par Google et émis par votre instance CA Service, procédez comme suit :

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAMES" \
    --issuance-config=ISSUANCE_CONFIG_NAME

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME"
{
 "managed": {
  "domains": ["DOMAIN_NAME"],
  "issuanceConfig": "ISSUANCE_CONFIG_NAME",
 }
}

Vérifier l'état du certificat

Avant de déployer un certificat sur un équilibreur de charge, vérifiez qu'il est actif. Le passage de l'état du certificat à ACTIVE peut prendre plusieurs minutes.

gcloud certificate-manager certificates describe CERTIFICATE_NAME

createTime: '2021-10-20T12:19:53.370778666Z'
expireTime: '2022-05-07T05:03:49Z'
managed:
  domains:
  - myorg.example.com
  issuanceConfig: projects/myproject/locations/global/issuanceConfigs/myissuanceConfig
  state: ACTIVE
name: projects/myproject/locations/global/certificates/mycertificate
pemCertificate: |
  -----BEGIN CERTIFICATE-----
  [...]
  -----END CERTIFICATE-----
sanDnsnames:
  - myorg.example.com
updateTime: '2021-10-20T12:19:55.083385630Z'

Pour connaître la procédure de dépannage, consultez la section Dépannage du Gestionnaire de certificats.

Déployer le certificat sur un équilibreur de charge

Pour déployer le certificat géré par Google au niveau mondial, utilisez un mappage de certificat.

Créer un mappage de certificat

Créez un mappage de certificat qui référence l'entrée de mappage de certificat associée à votre certificat :

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

resource "google_certificate_manager_certificate_map" "certificate_map" {
  name        = "${local.name}-certmap-${random_id.tf_prefix.hex}"
  description = "${local.domain} certificate map"
  labels = {
    "terraform" : true
  }
}

Créer une entrée de mappage de certificat

Créez une entrée de mappage de certificat et associez-la à votre certificat et à votre mappage de certificat :

gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME" \
    --certificates="CERTIFICATE_NAME" \
    --hostname="HOSTNAME"

resource "google_certificate_manager_certificate_map_entry" "first_entry" {
  name        = "${local.name}-first-entry-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = local.domain
}

resource "google_certificate_manager_certificate_map_entry" "second_entry" {
  name        = "${local.name}-second-entity-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = "*.${local.domain}"
}

Vérifier que l'entrée du mappage de certificat est active

Vérifiez que l'entrée de mappage de certificat est active avant d'associer le mappage de certificat correspondant au proxy cible.

Pour vérifier l'entrée de mappage de certificat, utilisez la commande gcloud certificate-manager maps entries describe :

gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"

Remplacez les éléments suivants :

• CERTIFICATE_MAP_ENTRY_NAME : nom de l'entrée du mappage de certificats.
• CERTIFICATE_NAME : nom du certificat que vous souhaitez associer à l'entrée de mappage de certificat.

Le résultat ressemble à ce qui suit :

certificates:
createTime: '2021-09-06T10:01:56.229472109Z'
hostname: example.com
name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/myCertMapEntry
state: ACTIVE
updateTime: '2021-09-06T10:01:58.277031787Z'

Associer le mappage de certificats au proxy cible

Vous pouvez associer la carte de certificats à un nouveau proxy cible ou à un proxy cible existant.

gcloud compute target-https-proxies create PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --url-map="URL_MAP" \
    --global

gcloud compute target-https-proxies update PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --global

gcloud compute target-https-proxies list

Lorsque vous configurez un proxy cible, si vous associez des certificats TLS (SSL) directement et également via un mappage de certificats, le proxy utilise les certificats référencés par le mappage de certificats et ignore les certificats TLS (SSL) associés directement.

Résoudre les problèmes liés aux certificats émis par CA Service

Pour connaître les étapes de dépannage, consultez Problèmes liés aux certificats émis par une instance de service CA.

Effectuer un nettoyage

Pour éviter que les ressources utilisées dans ce tutoriel ne soient facturées sur votre compte Google Cloud , supprimez-les.

1. Supprimez l'équilibreur de charge et ses ressources.

   Consultez la section Nettoyer une configuration d'équilibrage de charge

2. Supprimez ou dissociez la carte de certificat du proxy.

   Pour supprimer la carte de certificats, exécutez la commande suivante :

   gcloud compute target-https-proxies delete PROXY_NAME
   

   Si vous souhaitez conserver le proxy HTTPS cible, dissociez le mappage de certificats du proxy. Avant de dissocier la carte de certificat, tenez compte des points suivants :

   • Si des certificats TLS (SSL) sont associés directement au proxy, le fait de dissocier la carte de certificats entraîne la reprise de l'utilisation de ces certificats TLS (SSL) directement associés par le proxy.
   • Si aucun certificat TLS (SSL) n'est directement associé au proxy, la carte de certificats ne peut pas être dissociée du proxy. Vous devez d'abord associer au moins un certificat TLS (SSL) directement au proxy avant de pouvoir dissocier la carte de certificats.

   Pour dissocier la carte de certificats, exécutez la commande suivante :

   gcloud compute target-https-proxies update PROXY_NAME \
       --clear-certificate-map
   

   Remplacez PROXY_NAME par le nom du proxy cible.

3. Supprimez l'entrée de mappage de certificat du mappage de certificats :

   gcloud certificate-manager maps entries delete CERTIFICATE_MAP_ENTRY_NAME \
       --map="CERTIFICATE_MAP_NAME"
   

   Remplacez les éléments suivants :

   • CERTIFICATE_MAP_ENTRY_NAME : nom de l'entrée du mappage de certificats.
   • CERTIFICATE_MAP_NAME : nom du mappage de certificats.

4. Supprimez le mappage de certificat :

   gcloud certificate-manager maps delete CERTIFICATE_MAP_NAME
   

   Remplacez CERTIFICATE_MAP_NAME par le nom du mappage de certificat.

5. Supprimez le certificat géré par Google :

   Console

   1. Dans la console Google Cloud , accédez à la page Certificate Manager.

      Accéder au Gestionnaire de certificats

   2. Dans l'onglet Certificats, cochez la case du certificat.

   3. Cliquez sur Supprimer.

   4. Dans la boîte de dialogue qui s'affiche, cliquez sur Supprimer pour confirmer.

   gcloud

   gcloud certificate-manager certificates delete CERTIFICATE_NAME
   

   Remplacez CERTIFICATE_NAME par le nom du certificat cible.

6. Supprimez la ressource de configuration d'émission de certificats :

   Console

   1. Dans la console Google Cloud , accédez à l'onglet Configurations d'émission sur la page Certificate Manager.

      Accéder au Gestionnaire de certificats

   2. Cochez la case de la ressource de configuration d'émission que vous souhaitez supprimer.

   3. Cliquez sur Supprimer.

   4. Dans la boîte de dialogue qui s'affiche, cliquez sur Supprimer pour confirmer.

   gcloud

    gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME
    

   Remplacez ISSUANCE_CONFIG_NAME par le nom de la ressource de configuration de l'émission de certificats cible.

7. Supprimez le pool d'autorités de certification.

   Pour supprimer le pool d'autorités de certification ou désactiver la dernière autorité de certification activée dans un pool d'autorités de certification référencé par une ressource de configuration d'émission de certificats, supprimez toutes les ressources de configuration d'émission de certificats qui font référence au pool d'autorités de certification. Pour en savoir plus, consultez Supprimer un pool d'AC.