Informationen zu gegenseitigem TLS unter Google Cloud
Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Mutual TLS (mTLS) ist ein Industriestandardprotokoll für die gegenseitige Authentifizierung zwischen einem Client und einem Server. Das mTLS-Protokoll stellt sicher, dass sowohl Client als auch Server an jedem Ende einer Netzwerkverbindung die sind, für die sie sich ausgeben. Dazu wird überprüft, ob beide den mit dem Clientzertifikat verknüpften privaten Schlüssel haben.
Was ist ein Clientzertifikat?
Ein Clientzertifikat, auch TLS-Zertifikat (Transport Layer Security) genannt, ist eine Datei, die wichtige Informationen zur Überprüfung der Identität eines Geräts enthält.
Die Zertifikatsinformationen umfassen den öffentlichen Schlüssel, eine Erklärung dazu, wer das Zertifikat ausgestellt hat (Zertifikate können von Zertifizierungsstellen ausgestellt oder selbst signiert werden) und das Ablaufdatum des Zertifikats.
So wird die Geräteidentität von Google APIs validiert
Das TLS-Protokoll verwendet die Public-Key-Infrastruktur (PKI), die auf einem Paar asymmetrischer Schlüssel basiert: einem öffentlichen und einem privaten Schlüssel. Alles, was mit dem privaten Schlüssel verschlüsselt wurde, kann nur mit dem öffentlichen Schlüssel entschlüsselt werden. DieGoogle Cloud APIs verwenden das TLS-Protokoll, um die Identität eines Geräts zu überprüfen. Dazu wird die vom privaten Schlüssel verschlüsselte Nachricht während des mTLS-Handshakes mit dem öffentlichen Schlüssel des Zertifikats entschlüsselt. Die erfolgreiche Entschlüsselung beweist den Besitz des privaten Schlüssels, der nur auf vertrauenswürdigen Geräten verfügbar ist.
Um den mTLS-Handshake und ‑Validierungsprozess zu aktivieren, muss ein Client Folgendes tun:
Stellen Sie mithilfe von mTLS-spezifischen API-Endpunkten eine mTLS-Verbindung zu den Google APIs her. Die mTLS-spezifischen Endpunkte haben folgendes Format: [service].mtls.googleapis.com
Das Gerätezertifikat während des mTLS-Handshakes erkennen und verwenden. Wenn Sie die Endpunktprüfung für die Zertifikatbereitstellung verwenden, wird diese Art von Zertifikat automatisch von den unterstützten Clients erkannt und verwendet.
Das folgende Diagramm zeigt den mTLS-Handshake zwischen einem Client und einem Google API-Server:
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-05 (UTC)."],[],[],null,["# Understand mutual TLS at Google Cloud\n\nMutual TLS (mTLS) is an industry standard protocol for mutual authentication\nbetween a client and a server. The mTLS protocol ensures that both the client\nand server, at each end of a network connection, are who they claim they are by\nverifying that both possess the private key associated with the client\ncertificate.\n\n### What is a client certificate?\n\nA client certificate, also called a Transport Layer Security (TLS) certificate,\nis a file that contains important information for verifying a device's identity.\nThe certificate information includes the public key, a statement of who issued\nthe certificate (certificates can be issued by certificate authorities or self-\nsigned), and the certificate's expiration date.\n\n### How the Google APIs validate device identity\n\nThe TLS protocol uses a technique called public key infrastructure (PKI), which\nrelies on a pair of asymmetric keys: a public key and a private key. Anything\nencrypted with the private key can be decrypted only with the public key. The\nGoogle Cloud APIs use the TLS protocol to verify the identity of a device by\ndecrypting the message encrypted by the private key using the public key of the\ncertificate during the mTLS handshake. The successful decryption proves the\npossession of the private key which is only available from trusted devices.\n\nTo enable the mTLS handshake and validation process, a client must do the following:\n\n- Establish an mTLS connection with the Google APIs by using mTLS-specific API\n endpoints. The mTLS-specific endpoints have the following format: `[service].mtls.googleapis.com`\n\n- Discover and use the device certificate during the mTLS handshake. If you are\n using Endpoint Verification for certificate deployment, this type of certificate\n is automatically discovered and used by the supported clients.\n\nThe following diagram illustrates the mTLS handshake between a client and a\nGoogle API server:\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\nWhat's next\n-----------\n\n- [Set up certificate-based access](/chrome-enterprise-premium/docs/set-up-cba)"]]
