DNS 認証を使用してクロスリージョン Google マネージド証明書をデプロイする

コンソール

DNS 認証を作成することも、証明書の作成時に既存の DNS 認証をアタッチすることもできます。詳細については、DNS 認証を参照する Google マネージド証明書を作成するをご覧ください。

gcloud

DNS 認証を作成するには、certificate-manager dns-authorizations create コマンドを使用します。

gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
    --domain="DOMAIN_NAME"

次のように置き換えます。

• AUTHORIZATION_NAME: DNS 認証の名前。
• DOMAIN_NAME: この DNS 承認を作成するターゲット ドメインの名前。ドメイン名は完全修飾ドメイン名（myorg.example.com など）にする必要があります。

グローバル Google マネージド証明書は、デフォルトの DNS 認証タイプとして FIXED_RECORD を使用します。PER_PROJECT_RECORD DNS 認証を使用するには、次のコマンドを実行します。

gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
    --domain="DOMAIN_NAME" \
    --type="PER_PROJECT_RECORD"

DNS 認証を作成したら、certificate-manager dns-authorizations describe コマンドで確認します。

gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME \

出力は次のようになります。出力で dnsResourceRecord 行を見つけ、CNAME レコード（data、name、type）を取得して DNS 構成に追加します。

createTime: '2022-01-14T13:35:00.258409106Z'
dnsResourceRecord:
  data: 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog.
  name: _acme-challenge.myorg.example.com.
  type: CNAME
domain: myorg.example.com
name: projects/myProject/locations/global/dnsAuthorizations/myAuthorization
updateTime: '2022-01-14T13:35:01.571086137Z'

API

DNS 認証を作成するには、dnsAuthorizations.create メソッドに POST リクエストを送信します。

POST /v1/projects/PROJECT_ID/locations/global/dnsAuthorizations?dns_authorization_id=AUTHORIZATION_NAME"
{
  "domain": "DOMAIN_NAME",
  "type": "PER_PROJECT_RECORD" //optional
}

次のように置き換えます。

• PROJECT_ID: Google Cloud プロジェクトの ID。
• AUTHORIZATION_NAME: DNS 認証の名前。
• DOMAIN_NAME: この DNS 承認を作成するターゲット ドメインの名前。ドメイン名は完全修飾ドメイン名（myorg.example.com など）にする必要があります。

コンソール

1. Google Cloud コンソールで、[Certificate Manager] ページに移動します。

   Certificate Manager に移動

2. [証明書] タブで、[証明書を追加] をクリックします。

3. [証明書名] フィールドに、証明書の一意の名前を入力します。

4. 省略可: [説明] フィールドに証明書の説明を入力します。説明で証明書を識別できます。

5. [ロケーション] で [グローバル] を選択します。

6. [スコープ] で [すべてのリージョン] を選択します。

7. [証明書の種類] で [Google マネージドの証明書を作成する] を選択します。

8. [Certificate Authority type] で [Public] を選択します。

9. [ドメイン名] フィールドに、証明書のドメイン名をカンマ区切りで指定します。各ドメイン名は完全修飾ドメイン名（myorg.example.com など）にする必要があります。ドメイン名は、ワイルドカード ドメイン名（*.example.com など）にすることもできます。

10. [認証タイプ] で [DNS 認証] を選択します。

    このページには、ドメイン名の DNS 認証が一覧表示されます。ドメイン名に DNS 認証が関連付けられていない場合は、次の手順で作成します。

    1. [見つからない DNS 認証の作成] をクリックします。
    2. [DNS 認証名] フィールドに、DNS 認証の名前を指定します。デフォルトの DNS 認証タイプは FIXED_RECORD です。プロジェクトごとの DNS 認証を使用するには、[プロジェクトごとの認証] チェックボックスをオンにします。
    3. [DNS 認証の作成] をクリックします。

11. [ラベル] フィールドで、証明書に関連付けるラベルを指定します。ラベルを追加するには、[add_boxラベルを追加] をクリックして、ラベルのキーと値を指定します。

12. [作成] をクリックします。

    新しい証明書が証明書のリストに表示されます。

gcloud

DNS 認証を使用してクロスリージョン Google マネージド証明書を作成するには、dns-authorizations フラグと --scope フラグを指定して certificate-manager certificates create コマンドを使用します。

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAME, *.DOMAIN_NAME" \
    --dns-authorizations="AUTHORIZATION_NAMES" \
    --scope=all-regions

次のように置き換えます。

• CERTIFICATE_NAME: 証明書の名前。
• DOMAIN_NAME: ターゲット ドメインの名前。ドメイン名は完全修飾ドメイン名（myorg.example.com など）またはワイルドカード ドメイン（*.myorg.example.com など）にする必要があります。アスタリスク ドット接頭辞（*.）は、ワイルドカード証明書を示します。
• AUTHORIZATION_NAMES: DNS 承認の名前のカンマ区切りのリスト。

API

次のように、certificates.create メソッドに POST リクエストを送信して証明書を作成します。

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME
{
 "managed": {
  "domains": ["DOMAIN_NAME"],
  "dnsAuthorizations": [
   "projects/PROJECT_ID/locations/global/dnsAuthorizations/AUTHORIZATION_NAME",
  ],
  "scope": "ALL_REGIONS"
 }
}

次のように置き換えます。

• PROJECT_ID: Google Cloud プロジェクトの ID。
• CERTIFICATE_NAME: 証明書の名前。
• DOMAIN_NAME: ターゲット ドメインの名前。ドメイン名は完全修飾ドメイン名（myorg.example.com など）またはワイルドカード ドメイン（*.myorg.example.com など）にする必要があります。アスタリスクとドットの接頭辞（*.）は、ワイルドカード証明書を示します。
• AUTHORIZATION_NAMES: DNS 承認の名前のカンマ区切りのリスト。

コンソール

レコードセットを作成する手順は次のとおりです。

1. Google Cloud コンソールで、[DNS ゾーン] ページに移動します。

   Cloud DNS の [ゾーン] に移動

2. レコードを追加する DNS ゾーンの名前をクリックします。

3. [ゾーンの詳細] ページで、[標準を追加] をクリックします。

4. [レコードセットの作成] ページの [DNS 名] フィールドに、DNS ゾーンのサブドメインを入力します。

   サブドメイン名を入力する際は、[DNS 名] フィールドに表示されるグレー表示のテキストを含むサブドメイン名が、gcloud certificate-manager dns-authorizations describe コマンドの出力に表示される dnsResourceRecord.name フィールドの完全な値と一致していることを確認します。

   次の例をご覧ください。

   • dnsResourceRecord.name フィールドの値が _acme-challenge.myorg.example.com. で、[DNS 名] フィールドのグレー表示のテキストが .example.com. の場合は、_acme-challenge.myorg を入力します。

   • dnsResourceRecord.name フィールドの値が _acme-challenge.myorg.example.com. で、[DNS 名] フィールドのグレー表示のテキストが .myorg.example.com. の場合は、_acme-challenge を入力します。

   • dnsResourceRecord.name フィールドの値が _acme-challenge_ujmmovf2vn55tgye.myorg.example.com. で、[DNS 名] フィールドのグレー表示のテキストが .myorg.example.com. の場合は、_acme-challenge_ujmmovf2vn55tgye を入力します。

5. [リソース レコードのタイプ] フィールドで [CNAME] を選択します。

6. [TTL] フィールドに、リソース レコードの有効期間を正の整数値で入力します。これはキャッシュに保存できる時間です。

7. [TTL ユニット] リストから、時間の単位（例: 30 minutes）を選択します。

8. [Canonical name] フィールドに、gcloud certificate-manager dns-authorizations describe コマンドの出力に表示されている dnsResourceRecord.data フィールドの完全な値を入力します。

9. 追加情報を入力するには、[項目を追加] をクリックします。

10. [作成] をクリックします。

gcloud

DNS 認証を作成するとき、gcloud CLI コマンドは対応する CNAME レコードを返します。ターゲット ドメインの DNS ゾーンの DNS 構成に CNAME レコードを追加する手順は次のとおりです。

1. DNS レコード トランザクションを次のように開始します。

   gcloud dns record-sets transaction start --zone="DNS_ZONE_NAME"
   

   DNS_ZONE_NAME は、ターゲット DNS ゾーンの名前に置き換えます。

2. CNAME レコードをターゲット DNS ゾーンに追加します。

   gcloud dns record-sets transaction add CNAME_RECORD \
       --name="VALIDATION_SUBDOMAIN_NAME.DOMAIN_NAME." \
       --ttl="30" \
       --type="CNAME" \
       --zone="DNS_ZONE_NAME"
   

   次のように置き換えます。

   • CNAME_RECORD: 対応する DNS 認証を作成した Google Cloud CLI コマンドによって返される CNAME レコードの完全なデータ値。
   • VALIDATION_SUBDOMAIN_NAME: DNS ゾーンの接頭辞サブドメイン（_acme-challenge など）。DNS 認証を作成するの説明に従って、gcloud certificate-manager dns-authorizations describe コマンドログから名前をコピーできます。
   • DOMAIN_NAME: ターゲット ドメインの名前。ドメイン名は完全修飾ドメイン名（myorg.example.com など）にする必要があります。また、ターゲット ドメイン名の後にピリオドを含める必要があります。
   • DNS_ZONE_NAME: ターゲット DNS ゾーンの名前。

   次の例をご覧ください。

   gcloud dns record-sets transaction add 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog. \
       --name="_acme-challenge.myorg.example.com." \
       --ttl="30" \
       --type="CNAME" \
       --zone="myorg-example-com"
   

3. DNS レコード トランザクションを実行して変更を保存します。

   gcloud dns record-sets transaction execute --zone="DNS_ZONE_NAME"
   

   DNS_ZONE_NAME は、ターゲット DNS ゾーンの名前に置き換えます。

Terraform

DNS 構成に CNAME レコードを追加するには、google_dns_record_set リソースを使用します。

resource "google_dns_record_set" "cname" {
  name         = google_certificate_manager_dns_authorization.default.dns_resource_record[0].name
  managed_zone = google_dns_managed_zone.default.name
  type         = google_certificate_manager_dns_authorization.default.dns_resource_record[0].type
  ttl          = 300
  rrdatas      = [google_certificate_manager_dns_authorization.default.dns_resource_record[0].data]
}

コンソール

1. Google Cloud コンソールで、[Certificate Manager] ページに移動します。

   Certificate Manager に移動

2. [証明書] タブで、証明書の [ステータス] 列を確認します。

gcloud

証明書のステータスを確認するには、次のコマンドを実行します。

gcloud certificate-manager certificates describe CERTIFICATE_NAME

CERTIFICATE_NAME は、ターゲット Google マネージド証明書の名前に置き換えます。

出力は次のようになります。

createTime: '2021-10-20T12:19:53.370778666Z'
expireTime: '2022-05-07T05:03:49Z'
managed:
  authorizationAttemptInfo:
  - domain: myorg.example.com
    state: AUTHORIZED
  dnsAuthorizations:
    - projects/myProject/locations/global/dnsAuthorizations/myCert
  domains:
  - myorg.example.com
  state: ACTIVE
name: projects/myProject/locations/global/certificates/myCert
pemCertificate: |
  -----BEGIN CERTIFICATE-----
  [...]
  -----END CERTIFICATE-----
sanDnsnames:
  -   myorg.example.com
updateTime: '2021-10-20T12:19:55.083385630Z'