Esegui la migrazione dei certificati del bilanciatore del carico a Certificate Manager

Identifica i certificati di cui eseguire la migrazione

Per identificare i certificati che vuoi migrare:

1. Sul bilanciatore del carico, identifica il nome del proxy di destinazione.

2. Identifica i certificati di cui vuoi eseguire la migrazione.

   Per trovare i certificati collegati a un proxy di destinazione, esegui questo comando:

   gcloud compute target-https-proxies describe TARGET_PROXY_NAME
   

   Sostituisci TARGET_PROXY_NAME con il nome del proxy di destinazione.

   L'output è simile al seguente:

   creationTimestamp: '2021-10-06T04:05:07.520-07:00'
   fingerprint: c9Txdx6AfcM=
   id: '365692570234384780'
   kind: compute#targetHttpsProxy
   name: my-proxy
   selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/targetHttpsProxies/my-proxy
   sslCertificates:
   - https://www.googleapis.com/compute/v1/projects/my-project/global/sslCertificates/my-first-certificate
   - https://www.googleapis.com/compute/v1/projects/my-project/global/sslCertificates/my-second-certificate
   urlMap: https://www.googleapis.com/compute/v1/projects/my-project/global/urlMaps/my-map
   

   Prendi nota dei nomi dei certificati elencati nel campo sslCertificates. Per ulteriori informazioni, vedi Panoramica dei proxy di destinazione.

3. Visualizza i dettagli di ogni certificato:

   gcloud compute ssl-certificates --project=PROJECT_ID describe LB_CERTIFICATE_NAME
   

   Sostituisci quanto segue:

   • PROJECT_ID: l'ID del Google Cloud progetto.
   • LB_CERTIFICATE_NAME: il nome del certificato del bilanciatore del carico.

   L'output è simile al seguente:

      certificate: |
        -----BEGIN CERTIFICATE-----
        MIIFYjCCBEqgAwIBAgIQd70NbNs2+RrqIQ/E8FjTDTANBgkqhkiG9w0BAQsFADBX
        MQswCQYDVQQGEwJCRTEZMBcGA1UEChMQR2xvYmFsU2lnbiBudi1zYTEQMA4GA1UE
        CxMHUm9vdCBDQTEbMBkGA1UEAxMSR2xvYmFsU2lnbiBSb290IENBMB4XDTIwMDYx
        OTAwMDA0MloXDTI4MDEyODAwMDA0MlowRzELMAkGA1UEBhMCVVMxIjAgBgNVBAoT
        GUdvb2dsZSBUcnVzdCBTZXJ2aWNlcyBMTEMxFDASBgNVBAMTC0dUUyBSb290IFIx
        MIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEAthECix7joXebO9y/lD63
        ladAPKH9gvl9MgaCcfb2jH/76Nu8ai6Xl6OMS/kr9rH5zoQdsfnFl97vufKj6bwS
        iV6nqlKr+CMny6SxnGPb15l+8Ape62im9MZaRw1NEDPjTrETo8gYbEvs/AmQ351k
        KSUjB6G00j0uYODP0gmHu81I8E3CwnqIiru6z1kZ1q+PsAewnjHxgsHA3y6mbWwZ
        DrXYfiYaRQM9sHmklCitD38m5agI/pboPGiUU+6DOogrFZYJsuB6jC511pzrp1Zk
        j5ZPaK49l8KEj8C8QMALXL32h7M1bKwYUH+E4EzNktMg6TO8UpmvMrUpsyUqtEj5
        cuHKZPfmghCN6J3Cioj6OGaK/GP5Afl4/Xtcd/p2h/rs37EOeZVXtL0m79YB0esW
        CruOC7XFxYpVq9Os6pFLKcwZpDIlTirxZUTQAs6qzkm06p98g7BAe+dDq6dso499
        iYH6TKX/1Y7DzkvgtdizjkXPdsDtQCv9Uw+wp9U7DbGKogPeMa3Md+pvez7W35Ei
        Eua++tgy/BBjFFFy3l3WFpO9KWgz7zpm7AeKJt8T11dleCfeXkkUAKIAf5qoIbap
        sZWwpbkNFhHax2xIPEDgfg1azVY80ZcFuctL7TlLnMQ/0lUTbiSw1nH69MG6zO0b
        9f6BQdgAmD06yK56mDcYBZUCAwEAAaOCATgwggE0MA4GA1UdDwEB/wQEAwIBhjAP
        BgNVHRMBAf8EBTADAQH/MB0GA1UdDgQWBBTkrysmcRorSCeFL1JmLO/wiRNxPjAf
        BgNVHSMEGDAWgBRge2YaRQ2XyolQL30EzTSo//z9SzBgBggrBgEFBQcBAQRUMFIw
        JQYIKwYBBQUHMAGGGWh0dHA6Ly9vY3NwLnBraS5nb29nL2dzcjEwKQYIKwYBBQUH
        MAKGHWh0dHA6Ly9wa2kuZ29vZy9nc3IxL2dzcjEuY3J0MDIGA1UdHwQrMCkwJ6Al
        oCOGIWh0dHA6Ly9jcmwucGtpLmdvb2cvZ3NyMS9nc3IxLmNybDA7BgNVHSAENDAy
        MAgGBmeBDAECATAIBgZngQwBAgIwDQYLKwYBBAHWeQIFAwIwDQYLKwYBBAHWeQIF
        AwMwDQYJKoZIhvcNAQELBQADggEBADSkHrEoo9C0dhemMXoh6dFSPsjbdBZBiLg9
        NR3t5P+T4Vxfq7vqfM/b5A3Ri1fyJm9bvhdGaJQ3b2t6yMAYN/olUazsaL+yyEn9
        WprKASOshIArAoyZl+tJaox118fessmXn1hIVw41oeQa1v1vg4Fv74zPl6/AhSrw
        9U5pCZEt4Wi4wStz6dTZ/CLANx8LZh1J7QJVj2fhMtfTJr9w4z30Z209fOU0iOMy
        +qduBmpvvYuR7hZL6Dupszfnw0Skfths18dG9ZKb59UhvmaSGZRVbNQpsg3BZlvi
        d0lIKO2d1xozclOzgjXPYovJJIultzkMu34qQb9Sz/yilrbCgj8=
        -----END CERTIFICATE-----
      creationTimestamp: '2021-05-06T04:39:21.736-07:00'
      expireTime: '2022-06-07T01:10:34.000-07:00'
      id: '6422259403966690822'
      kind: compute#sslCertificate
      managed:
         domainStatus:
         a.my-domain1.example.com: ACTIVE
         b.my-domain2.example.com: ACTIVE
         domains:
         - a.my-domain1.example.com
         - b.my-domain2.example.com
         status: ACTIVE
      name: my-certificate
      selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/sslCertificates/my-certificate
      subjectAlternativeNames:
      - a. my-domain1.example.com
      - b. my-domain2.example.com
      type: MANAGED
   

Crea certificati gestiti da Google

Crea lo stesso numero di certificati gestiti da Google dei certificati del bilanciatore del carico. Per un bilanciatore del carico globale o classico, crea certificati globali; per un bilanciatore del carico regionale, crea certificati regionali; e per un bilanciatore del carico tra regioni, crea certificati tra regioni. Prima di creare i certificati, crea un'autorizzazione DNS e aggiungi il record CNAME alla zona DNS autorevole per il tuo dominio.

Puoi scegliere di creare certificati gestiti da Google con autorizzazione DNS (opzione consigliata) o certificati autogestiti.

Questa sezione elenca i passaggi e i comandi per creare certificati globali gestiti da Google. Per creare un certificato gestito da Google regionale o multiregionale, consulta Crea un certificato gestito da Google.

Crea un'autorizzazione DNS

Un'autorizzazione DNS copre solo un singolo nome di dominio. Devi creare un'autorizzazione DNS separata per ogni nome di dominio che vuoi utilizzare con il certificato di destinazione.

Se stai creando un'autorizzazione DNS per un certificato con caratteri jolly, ad esempio *.myorg.example.com, configura l'autorizzazione DNS per il dominio principale, ad esempio myorg.example.com.

gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
    --domain="DOMAIN_NAME"

gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
    --domain="DOMAIN_NAME" \
    --type="PER_PROJECT_RECORD"

gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME \

createTime: '2022-01-14T13:35:00.258409106Z'
dnsResourceRecord:
  data: 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog.
  name: _acme-challenge.myorg.example.com.
  type: CNAME
domain: myorg.example.com
name: projects/myProject/locations/global/dnsAuthorizations/myAuthorization
updateTime: '2022-01-14T13:35:01.571086137Z'

resource "google_certificate_manager_dns_authorization" "default" {
  name        = "${local.name}-dnsauth-${random_id.tf_prefix.hex}"
  description = "The default dns auth"
  domain      = local.domain
  labels = {
    "terraform" : true
  }
}

POST /v1/projects/PROJECT_ID/locations/global/dnsAuthorizations?dns_authorization_id=AUTHORIZATION_NAME"
{
  "domain": "DOMAIN_NAME",
  "type": "PER_PROJECT_RECORD" //optional
}

Crea un certificato gestito da Google che faccia riferimento all'autorizzazione DNS

Per creare un certificato globale gestito da Google che faccia riferimento all'autorizzazione DNS creata nei passaggi precedenti:

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAME,*.DOMAIN_NAME" \
    --dns-authorizations="AUTHORIZATION_NAMES"

resource "google_certificate_manager_certificate" "root_cert" {
  name        = "${local.name}-rootcert-${random_id.tf_prefix.hex}"
  description = "The wildcard cert"
  managed {
    domains = [local.domain, "*.${local.domain}"]
    dns_authorizations = [
      google_certificate_manager_dns_authorization.default.id
    ]
  }
  labels = {
    "terraform" : true
  }
}

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME
{
 "managed": {
  "domains": ["DOMAIN_NAME"],
  "dnsAuthorizations": [
   "projects/PROJECT_ID/locations/global/dnsAuthorizations/AUTHORIZATION_NAME",
  ],
 }
}

Aggiungere il record CNAME alla configurazione DNS

Se utilizzi una soluzione DNS di terze parti per gestire il DNS, consulta la relativa documentazione per aggiungere il record CNAME alla configurazione DNS. Se utilizzi Google Cloud per gestire il DNS, completa i passaggi descritti in questa sezione.

resource "google_dns_record_set" "cname" {
  name         = google_certificate_manager_dns_authorization.default.dns_resource_record[0].name
  managed_zone = google_dns_managed_zone.default.name
  type         = google_certificate_manager_dns_authorization.default.dns_resource_record[0].type
  ttl          = 300
  rrdatas      = [google_certificate_manager_dns_authorization.default.dns_resource_record[0].data]
}

Verificare lo stato del certificato

Prima di eseguire il deployment di un certificato in un bilanciatore del carico, verifica che sia attivo. Potrebbero essere necessari diversi minuti prima che lo stato del certificato diventi ACTIVE.

gcloud certificate-manager certificates describe CERTIFICATE_NAME

createTime: '2021-10-20T12:19:53.370778666Z'
expireTime: '2022-05-07T05:03:49Z'
managed:
  authorizationAttemptInfo:
  - domain: myorg.example.com
    state: AUTHORIZED
  dnsAuthorizations:
    - projects/myProject/locations/global/dnsAuthorizations/myCert
  domains:
  - myorg.example.com
  state: ACTIVE
name: projects/myProject/locations/global/certificates/myCert
pemCertificate: |
  -----BEGIN CERTIFICATE-----
  [...]
  -----END CERTIFICATE-----
sanDnsnames:
  -   myorg.example.com
updateTime: '2021-10-20T12:19:55.083385630Z'

Se lo stato del certificato non è ACTIVE dopo diverse ore, verifica di aver aggiunto correttamente il record CNAME alla configurazione DNS.

Per ulteriori passaggi per la risoluzione dei problemi, consulta Risolvere i problemi di Certificate Manager.

Crea la mappatura dei certificati

Per eseguire il deployment di un certificato in un bilanciatore del carico delle applicazioni esterno globale, crea una mappa dei certificati.

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

Sostituisci quanto segue:

• CERTIFICATE_MAP_NAME: il nome della mappa dei certificati.

Crea le voci della mappa dei certificati

Per eseguire il deployment di un certificato in un bilanciatore del carico delle applicazioni esterno globale, crea una voce della mappa dei certificati.

Per ogni certificato di cui vuoi eseguire la migrazione, crea voci della mappa dei certificati che fanno riferimento a questi certificati nel seguente modo:

1. Visualizza i dettagli del certificato.

2. Nel log, per ogni dominio elencato nel campo subjectAlternativeNames, crea una voce della mappa dei certificati che copra il dominio. Se più di un certificato copre un singolo dominio, devi creare una sola voce della mappa dei certificati e utilizzare un certificato valido che copra quel dominio.

   gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
       --map="CERTIFICATE_MAP_NAME" \
       --certificates="CERTIFICATE_NAMES" \
       --hostname="HOSTNAME"
   

   Sostituisci quanto segue:

   • CERTIFICATE_MAP_ENTRY_NAME: il nome della voce della mappa dei certificati.
   • CERTIFICATE_MAP_NAME: il nome della mappa di certificati a cui è collegata la voce della mappa di certificati.
   • CERTIFICATE_NAMES: un elenco separato da virgole dei nomi dei certificati che vuoi associare a questa voce della mappa dei certificati.
   • HOSTNAME: il nome host che vuoi associare alla voce della mappa dei certificati.

3. (Facoltativo) Crea una voce della mappa dei certificati principale che faccia riferimento al certificato corrispondente al primo certificato dell'elenco dei certificati originariamente allegati al proxy.

   gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
      --map="CERTIFICATE_MAP_NAME" \
      --certificates="CERTIFICATE_NAMES" \
      --set-primary
   

   Sostituisci quanto segue:

   • CERTIFICATE_MAP_ENTRY_NAME: il nome della voce della mappa dei certificati.
   • CERTIFICATE_MAP_NAME: il nome della mappa di certificati a cui è collegata la voce della mappa di certificati.
   • CERTIFICATE_NAMES: un elenco separato da virgole dei nomi dei certificati che vuoi associare a questa voce della mappa dei certificati.

4. Per verificare lo stato attivo di ogni voce della mappa dei certificati che hai creato, esegui questo comando:

    gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \
        --map="CERTIFICATE_MAP_NAME"
   

   Sostituisci quanto segue:

   • CERTIFICATE_MAP_ENTRY_NAME: il nome della voce della mappa dei certificati.
   • CERTIFICATE_MAP_NAME: il nome della mappa di certificati a cui è collegata la voce della mappa di certificati.

   L'output è simile al seguente:

      certificates:
      - projects/my-project/locations/global/certificates/my-certificate
      createTime: '2021-09-06T10:01:56.229472109Z'
      hostname: example.com
      name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/my-map-entry
      state: ACTIVE
      updateTime: '2021-09-06T10:01:58.277031787Z'
   

(Facoltativo) Testa la configurazione su un nuovo bilanciatore del carico

Per ridurre al minimo i tempi di inattività, ti consigliamo di testare le mappature dei certificati appena configurate su un nuovo bilanciatore del carico che non gestisce il traffico di produzione. In questo modo, puoi rilevare e risolvere eventuali errori prima di procedere con la migrazione nel tuo ambiente di produzione.

Testa la configurazione nel seguente modo:

1. Crea un bilanciatore del carico globale con un nuovo proxy di destinazione. Per creare un bilanciatore del carico, consulta le seguenti pagine:

   • Per creare un bilanciatore del carico delle applicazioni esterno globale, consulta Configura un bilanciatore del carico delle applicazioni esterno globale con backend di gruppi di istanze VM.

   • Per creare un bilanciatore del carico di rete proxy esterno globale (proxy SSL), consulta Configura un bilanciatore del carico di rete proxy esterno globale (proxy SSL) con backend di gruppi di istanze VM.

   • Per creare un bilanciatore del carico di rete proxy esterno globale (proxy TCP), consulta Configura un bilanciatore del carico di rete proxy esterno globale (proxy TCP) con backend di gruppi di istanze VM.

2. Collega la mappa dei certificati al nuovo proxy di destinazione del bilanciatore del carico.

   gcloud compute target-https-proxies create TEST_PROXY_NAME \
       --certificate-map="CERTIFICATE_MAP_NAME" \
       --global
   

   Sostituisci quanto segue:

   • TEST_PROXY_NAME: il nome del proxy di destinazione del test.
   • CERTIFICATE_MAP_NAME: il nome della mappa di certificati che fa riferimento alla voce della mappa di certificati e al certificato associato.

3. Per ogni dominio di destinazione incluso nella migrazione, verifica la connettività al dominio sull'indirizzo IP del nuovo bilanciatore del carico:

   openssl s_client -showcerts -servername DOMAIN_NAME -connect IP_ADDRESS:443
   

   Sostituisci quanto segue:

   • DOMAIN_NAME: il nome del dominio di destinazione.
   • IP_ADDRESS: l'indirizzo IP del nuovo bilanciatore del carico.

   Per saperne di più sul test di connettività, consulta Test con OpenSSL.

Ripulisci l'ambiente di test

Esegui la pulizia dell'ambiente di test creato nei passaggi precedenti.

Elimina il bilanciatore del carico di test come descritto in Eliminazione del bilanciatore del carico.

Non eliminare i certificati, la mappa dei certificati o le voci della mappa dei certificati che hai creato nei passaggi precedenti.

Applica la nuova mappa dei certificati al bilanciatore del carico di destinazione

Dopo aver testato la nuova configurazione del certificato e aver confermato che è valida, applica la nuova mappa dei certificati al bilanciatore del carico di destinazione (il bilanciatore del carico che ospita i certificati) seguendo questi passaggi.

1. Se utilizzi un bilanciatore del carico globale, collega la mappa dei certificati al nuovo proxy di destinazione del bilanciatore del carico:

   gcloud compute target-https-proxies update TARGET_PROXY_NAME \
       --certificate-map="CERTIFICATE_MAP_NAME" \
       --global
   

   Sostituisci quanto segue:

   • TARGET_PROXY_NAME: il nome del proxy di destinazione.
   • CERTIFICATE_MAP_NAME: il nome della mappa di certificati che fa riferimento alla voce della mappa di certificati e al certificato associato.

2. Attendi che la modifica alla configurazione sia stata applicata e che il bilanciatore del carico abbia iniziato a pubblicare il nuovo certificato. Di solito occorrono pochi minuti, ma possono essere necessari fino a 30 minuti.

È stata eseguita la migrazione dei tuoi certificati. Se noti problemi con il traffico, scollega la nuova mappa dei certificati dal proxy di destinazione. In questo modo, il bilanciamento del carico torna alla configurazione originale.