DNS 認証を使用して、グローバル Google マネージド証明書をデプロイする

gcloud

gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
    --domain="DOMAIN_NAME"
gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME

グローバル Google マネージド証明書のデフォルトの DNS 認証タイプは FIXED_RECORD です。プロジェクトごとの DNS 認証を使用するには、次のコマンドを実行します。

gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
    --domain="DOMAIN_NAME" \
    --type="PER_PROJECT_RECORD"
gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME

以下のように置き換えます。

• AUTHORIZATION_NAME: DNS 認証の名前。
• DOMAIN_NAME: この DNS 承認を作成するドメインの名前。ドメイン名は完全修飾ドメイン名（myorg.example.com など）にする必要があります。

このコマンドでは、次のような出力が返されます。出力の CNAME レコードを使用して、DNS 構成に追加します。

createTime: '2022-01-14T13:35:00.258409106Z'
dnsResourceRecord:
data: 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog.
name: _acme-challenge.myorg.example.com.
type: CNAME
domain: myorg.example.com
name: projects/myProject/locations/global/dnsAuthorizations/myAuthorization
updateTime: '2022-01-14T13:35:01.571086137Z'

Terraform

DNS 認証を作成するには、google_certificate_manager_dns_authorization リソースを使用します。

resource "google_certificate_manager_dns_authorization" "default" {
  name        = "${local.name}-dnsauth-${random_id.tf_prefix.hex}"
  description = "The default dns auth"
  domain      = local.domain
  labels = {
    "terraform" : true
  }
}

Terraform 構成を適用または削除する方法については、基本的な Terraform コマンドをご覧ください。

gcloud

1. DNS レコード トランザクションを次のように開始します。

   gcloud dns record-sets transaction start --zone="DNS_ZONE_NAME"
   

   DNS_ZONE_NAME は、ターゲット DNS ゾーンの名前に置き換えます。

2. CNAME レコードをターゲット DNS ゾーンに追加します。

   gcloud dns record-sets transaction add CNAME_RECORD \
       --name="_acme-challenge.DOMAIN_NAME." \
       --ttl="30" \
       --type="CNAME" \
       --zone="DNS_ZONE_NAME"
   

   以下のように置き換えます。

   • CNAME_RECORD: 対応する DNS 認証を作成した Google Cloud CLI コマンドによって返される CNAME レコードの完全なデータ値。
   • DOMAIN_NAME: ターゲット ドメインの名前。ドメイン名は完全修飾ドメイン名（myorg.example.com など）にする必要があります。また、ターゲット ドメイン名の後にピリオドを含める必要があります。
   • DNS_ZONE_NAME: ターゲット DNS ゾーンの名前。

   次の例をご覧ください。

   gcloud dns record-sets transaction add 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog. \
       --name="_acme-challenge.myorg.example.com." \
       --ttl="30" \
       --type="CNAME" \
       --zone="myorg-example-com"
   

3. DNS レコード トランザクションを実行して変更を保存します。

   gcloud dns record-sets transaction execute --zone="DNS_ZONE_NAME"
   

   DNS_ZONE_NAME は、ターゲット DNS ゾーンの名前に置き換えます。

Terraform

CNAME レコードを DNS 構成に追加するには、google_dns_record_set リソースを使用します。

resource "google_dns_record_set" "cname" {
  name         = google_certificate_manager_dns_authorization.default.dns_resource_record[0].name
  managed_zone = google_dns_managed_zone.default.name
  type         = google_certificate_manager_dns_authorization.default.dns_resource_record[0].type
  ttl          = 300
  rrdatas      = [google_certificate_manager_dns_authorization.default.dns_resource_record[0].data]
}

コンソール

1. Google Cloud コンソールで、[Certificate Manager] ページに移動します。

   Certificate Manager に移動

2. 表示されたページで、[証明書] タブを選択します。

3. [証明書を追加] をクリックします。

4. 証明書の名前を入力します。

   この名前は、プロジェクト内で一意にする必要があります。

5. 省略可: 証明書の [説明] を入力します。説明は、後で特定の証明書を識別するのに役立ちます。

6. [ロケーション] で [グローバル] を選択します。

7. [範囲] で、次のオプションのいずれかを選択します。

   1. デフォルト: グローバル外部アプリケーション ロードバランサ、従来のアプリケーション ロードバランサ、グローバル外部プロキシ ネットワーク ロードバランサのデフォルトを選択します。
   2. All-regions: クロスリージョン内部アプリケーション ロードバランサのすべてのリージョンを選択します。

8. [証明書の種類] で [Google マネージド証明書を作成する] を選択します。

9. [認証局の種類] で [パブリック] を選択します。

10. 証明書のドメイン名を指定します。ターゲット ドメインのカンマ区切りリストを入力します。また、各ドメイン名は完全修飾ドメイン名（myorg.example.com など）にする必要があります。

11. [認証タイプ] で [DNS 認証] を選択します。ドメイン名に DNS 認証が関連付けられている場合は、自動的に取得されます。ドメイン名に DNS 認証が関連付けられていない場合は、次の操作を行います。

    1. [見つからない　DNS 認証の作成] をクリックして [DNS 認証の作成] ダイアログを表示します。
    2. [DNS Authorization Name] フィールドに DNS 認証名を指定します。
    3. [DNS 認証の作成] をクリックします。DNS 名がドメイン名に関連付けられていることを確認します。

12. 証明書に関連付けるラベルを指定します。必要に応じて複数のラベルを追加できます。ラベルを追加するには、[add_box ラベルの追加] ボタンをクリックして、ラベルの key と value を指定します。

13. [作成] をクリックします。新しい証明書が証明書のリストに表示されていることを確認します。

gcloud

グローバル外部アプリケーション ロードバランサ、従来のアプリケーション ロードバランサ、グローバル外部プロキシ ネットワーク ロードバランサの場合

次のコマンドを実行します。

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains=DOMAIN_NAME \
    --dns-authorizations=AUTHORIZATION_NAME

以下のように置き換えます。

• CERTIFICATE_NAME: 証明書の一意の名前。
• DOMAIN_NAME: 証明書のターゲット ドメイン。 ドメイン名は完全修飾ドメイン名（myorg.example.com など）にする必要があります。
• AUTHORIZATION_NAME: この証明書用に作成した DNS 承認の名前。

ワイルドカード ドメイン名を使用して Google マネージド証明書を作成するには、次のコマンドを使用します。ワイルドカード ドメイン名証明書は、特定のドメインのすべての第 1 レベル サブドメインに対応します。

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="*.DOMAIN_NAME,DOMAIN_NAME" \
    --dns-authorizations=AUTHORIZATION_NAME

以下のように置き換えます。

• CERTIFICATE_NAME: 証明書の一意の名前。
• DOMAIN_NAME: 証明書のターゲット ドメイン。アスタリスク ドット接頭辞（*.）は、ワイルドカード証明書を示します。ドメイン名は完全修飾ドメイン名（myorg.example.com など）にする必要があります。
• AUTHORIZATION_NAME: この証明書用に作成した DNS 承認の名前。

クロスリージョン内部アプリケーション ロードバランサの場合

次のコマンドを実行します。

  gcloud certificate-manager certificates create CERTIFICATE_NAME \
      --domains=DOMAIN_NAME \
      --dns-authorizations=AUTHORIZATION_NAME \
      --scope=all-regions

以下のように置き換えます。

• CERTIFICATE_NAME: 証明書の一意の名前。
• DOMAIN_NAME: 証明書のターゲット ドメイン。 ドメイン名は完全修飾ドメイン名（myorg.example.com など）にする必要があります。
• AUTHORIZATION_NAME: この証明書用に作成した DNS 承認の名前。

ワイルドカード ドメイン名を使用して Google マネージド証明書を作成するには、次のコマンドを使用します。ワイルドカード ドメイン名証明書は、特定のドメインのすべての第 1 レベル サブドメインに対応します。

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="*.DOMAIN_NAME,DOMAIN_NAME" \
    --dns-authorizations=AUTHORIZATION_NAME \
    --scope=all-regions

以下のように置き換えます。

• CERTIFICATE_NAME: 証明書の一意の名前。
• DOMAIN_NAME: 証明書のターゲット ドメイン。アスタリスク ドット接頭辞（*.）は、ワイルドカード証明書を示します。ドメイン名は完全修飾ドメイン名（myorg.example.com など）にする必要があります。
• AUTHORIZATION_NAME: この証明書用に作成した DNS 承認の名前。

Terraform

google_certificate_manager_certificate リソースを使用します。

resource "google_certificate_manager_certificate" "root_cert" {
  name        = "${local.name}-rootcert-${random_id.tf_prefix.hex}"
  description = "The wildcard cert"
  managed {
    domains = [local.domain, "*.${local.domain}"]
    dns_authorizations = [
      google_certificate_manager_dns_authorization.default.id
    ]
  }
  labels = {
    "terraform" : true
  }
}

gcloud

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

CERTIFICATE_MAP_NAME は、ターゲット証明書マップの名前に置き換えます。

Terraform

証明書マップを作成するには、google_certificate_manager_certificate_map リソースを使用します。

resource "google_certificate_manager_certificate_map" "certificate_map" {
  name        = "${local.name}-certmap-${random_id.tf_prefix.hex}"
  description = "${local.domain} certificate map"
  labels = {
    "terraform" : true
  }
}

gcloud

gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME" \
    --certificates="CERTIFICATE_NAME" \
    --hostname="HOSTNAME"

以下のように置き換えます。

• CERTIFICATE_MAP_ENTRY_NAME: 証明書マップエントリの一意の名前
• CERTIFICATE_MAP_NAME: この証明書マップエントリが添付されている証明書マップの名前
• CERTIFICATE_NAME: この証明書マップエントリに関連付ける証明書の名前
• HOSTNAME: この証明書マップエントリに関連付けるホスト名

ワイルドカード ドメインを使用して証明書を作成する場合は、ワイルドカードを使用してホスト名も指定します（*.example.com など）。

Terraform

証明書マップ エントリを作成するには、google_certificate_manager_certificate_map_entry リソースを使用します。

resource "google_certificate_manager_certificate_map_entry" "first_entry" {
  name        = "${local.name}-first-entry-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = local.domain
}

gcloud

1. Google Cloud コンソールで、[ターゲット プロキシ] ページに移動します。

   [ターゲット プロキシ] に移動

2. ターゲット プロキシの名前に注意します。

3. 証明書マップをターゲット プロキシに添付する

   gcloud compute target-https-proxies update PROXY_NAME \
       --certificate-map="CERTIFICATE_MAP_NAME" \
       --global
   

   以下のように置き換えます。

   • PROXY_NAME: ターゲット プロキシの名前
   • CERTIFICATE_MAP_NAME: 証明書マップエントリを参照する証明書マップの名前と、関連する証明書

Terraform

証明書マップをターゲット プロキシに添付するには、google_compute_target_https_proxy リソースを使用します。