使用使用者提供的憑證設定前端 mTLS

主控台

1. 前往 Google Cloud 控制台的「Certificate Manager」頁面。

   前往 Certificate Manager

2. 在「信任設定」分頁中，按一下「新增信任設定」。

3. 輸入設定名稱。

4. 在「Location」(位置) 部分，選取「Global」(全域)或「Regional」(區域)。

   位置代表信任設定資源的儲存位置。針對全域外部應用程式負載平衡器、傳統版應用程式負載平衡器和跨區域內部應用程式負載平衡器，請建立全域信任設定資源。如要建立區域性外部應用程式負載平衡器和區域性內部應用程式負載平衡器，請建立區域信任設定資源。

   如果您選取「Regional」(區域)，請選取所需區域。

5. 在「信任儲存庫」部分，按一下「新增信任錨點」，然後上傳 PEM 編碼憑證檔案，或複製憑證內容。

6. 按一下「新增」。

7. 在「信任存放區」部分，按一下「新增中繼 CA」，然後上傳 PEM 編碼憑證檔案，或複製憑證內容。

   這個步驟可讓您在根憑證和伺服器憑證之間新增另一層信任關係。

8. 按一下「新增」，即可新增中繼 CA。

9. 選用：在「許可清單憑證」部分中，按一下「新增憑證」，然後上傳 PEM 編碼憑證檔案，或複製憑證內容。

10. 按一下「新增」，即可新增允許清單憑證。

11. 按一下 [建立]。

確認新的信任設定資源是否顯示在設定清單中。

gcloud

1. 建立指定信任設定參數的信任設定 YAML 檔案 (trust_config.yaml)。這個信任設定資源範例包含信任儲存庫，其中包含信任錨點和中繼憑證。這個函式會從先前「格式化憑證」步驟建立的環境變數中讀取憑證內容。

   cat << EOF > trust_config.yaml
   trustStores:
   - trustAnchors:
     - pemCertificate: "${ROOT_CERT?}"
     intermediateCas:
     - pemCertificate: "${INTERMEDIATE_CERT?}"
   EOF
   

   如要建立信任存放區，並加入其他信任錨點或中繼憑證，請在適當的部分新增 pemCertificate 列。

2. 選用：指定要新增至信任設定 YAML 檔案的憑證，請在 allowlistedCertificates 欄位中指定。您不需要信任存放區，即可將憑證新增至許可清單。

   cat << EOF >> trust_config.yaml
   allowlistedCertificates:
   - pemCertificate: "${ALLOWLISTED_CERT?}"
   EOF
   

   加入許可清單的憑證代表任何可在信任設定中封裝的憑證，因此系統一律會將其視為有效。您可以使用 pemCertificate 欄位的多個例項，在許可清單中指定多個憑證。

3. 如要匯入信任設定 YAML 檔案，請使用 gcloud certificate-manager trust-configs import 指令：

   全球

   針對全域外部應用程式負載平衡器、傳統版應用程式負載平衡器和跨區域內部應用程式負載平衡器，請將 global 指定為信任設定資源的儲存位置。

   gcloud certificate-manager trust-configs import TRUST_CONFIG_NAME  \
       --source=trust_config.yaml \
       --location=global
   

   更改下列內容：

   • TRUST_CONFIG_NAME：信任設定資源的名稱。

   區域

   針對區域性外部應用程式負載平衡器和區域性內部應用程式負載平衡器，請指定儲存信任設定資源的區域。

   gcloud certificate-manager trust-configs import TRUST_CONFIG_NAME  \
       --source=trust_config.yaml \
       --location=LOCATION
   

   更改下列內容：

   • TRUST_CONFIG_NAME：信任設定資源的名稱。
   • LOCATION：信任設定資源的儲存區域。預設位置為 global。

主控台

1. 前往 Google Cloud 控制台的「Authentication Configuration」(驗證設定) 頁面。

   前往「驗證設定」

2. 在「Client Authentication」分頁中，按一下「Create」。

3. 輸入用戶端驗證資源的名稱。

4. 在「Location」(位置) 部分，選取「Global」(全域)或「Regional」(區域)。

   針對全域外部應用程式負載平衡器、傳統版應用程式負載平衡器和跨區域內部應用程式負載平衡器，請將位置設為全域。如為區域性外部應用程式負載平衡器和區域性內部應用程式負載平衡器，請將位置設為負載平衡器的設定區域。

5. 在「Client Authentication mode」(用戶端驗證模式) 中，選取「Load balancing」(負載平衡)。

6. 選取用戶端驗證模式。

7. 選取先前建立的信任設定資源。

8. 按一下 [建立]。

確認畫面上是否顯示「Client Authentication」(ServerTlsPolicy)。

gcloud

1. 根據您要處理連線的方式，選取下列任一選項，以 YAML 格式定義用戶端驗證 (ServerTlsPolicy) 資源。

   • 選項 1： clientValidationMode 設為 ALLOW_INVALID_OR_MISSING_CLIENT_CERT。

     全球

     針對全域外部應用程式負載平衡器、傳統版應用程式負載平衡器和跨區域內部應用程式負載平衡器，請建立 YAML 檔案，以宣告方式指定用戶端驗證模式和全域信任設定資源：

     cat << EOF > server_tls_policy.yaml
     name: SERVER_TLS_POLICY_NAME
     mtlsPolicy:
         clientValidationMode: ALLOW_INVALID_OR_MISSING_CLIENT_CERT
         clientValidationTrustConfig: projects/PROJECT_ID/locations/global/trustConfigs/TRUST_CONFIG_NAME
     EOF
     

     區域

     針對區域性外部應用程式負載平衡器和區域性內部應用程式負載平衡器，請建立 YAML 檔案，以宣告方式指定用戶端驗證模式和區域信任設定資源：

     cat << EOF > server_tls_policy.yaml
     name: SERVER_TLS_POLICY_NAME
     mtlsPolicy:
         clientValidationMode: ALLOW_INVALID_OR_MISSING_CLIENT_CERT
         clientValidationTrustConfig: projects/PROJECT_ID/locations/REGION/trustConfigs/TRUST_CONFIG_NAME
     EOF
     

   • 選項 2： clientValidationMode 設為 REJECT_INVALID。

     全球

     針對全域外部應用程式負載平衡器、傳統版應用程式負載平衡器和跨區域內部應用程式負載平衡器，請建立 YAML 檔案，以宣告方式指定用戶端驗證模式和全域信任設定資源：

     cat << EOF > server_tls_policy.yaml
     name: SERVER_TLS_POLICY_NAME
     mtlsPolicy:
         clientValidationMode: REJECT_INVALID
         clientValidationTrustConfig: projects/PROJECT_ID/locations/global/trustConfigs/TRUST_CONFIG_NAME
     EOF
     

     區域

     針對區域性外部應用程式負載平衡器和區域性內部應用程式負載平衡器，請建立 YAML 檔案，以宣告方式指定用戶端驗證模式和區域信任設定資源：

     cat << EOF > server_tls_policy.yaml
     name: SERVER_TLS_POLICY_NAME
     mtlsPolicy:
           clientValidationMode: REJECT_INVALID
           clientValidationTrustConfig: projects/PROJECT_ID/locations/REGION/trustConfigs/TRUST_CONFIG_NAME
     EOF
     

     更改下列內容：

     SERVER_TLS_POLICY_NAME：用戶端驗證 (ServerTlsPolicy) 資源的名稱。

     PROJECT_ID： Google Cloud 專案的 ID。

     LOCATION：如果是全域外部應用程式負載平衡器、傳統版應用程式負載平衡器和跨區域內部應用程式負載平衡器，請使用 global。如果是區域性外部應用程式負載平衡器或區域性內部應用程式負載平衡器，請使用設定負載平衡器的區域。

     TRUST_CONFIG_NAME：先前建立的信任設定資源名稱。

2. 如要匯入用戶端驗證 ServerTlsPolicy 資源，請使用 gcloud network-security server-tls-policies import 指令：

   全球

   針對全域外部應用程式負載平衡器、傳統版應用程式負載平衡器和跨區域內部應用程式負載平衡器，請將 --location 標記設為 global。

   gcloud network-security server-tls-policies import SERVER_TLS_POLICY_NAME \
     --source=server_tls_policy.yaml \
     --location=global
   

   更改下列內容：

   SERVER_TLS_POLICY_NAME：用戶端驗證 (ServerTlsPolicy) 資源的名稱。

   區域

   如要設定區域性外部應用程式負載平衡器和區域性內部應用程式負載平衡器，請將 --location 標記設為負載平衡器的所在區域。

   gcloud network-security server-tls-policies import SERVER_TLS_POLICY_NAME \
     --source=server_tls_policy.yaml \
     --location=LOCATION
   

   更改下列內容：

   SERVER_TLS_POLICY_NAME：用戶端驗證 (ServerTlsPolicy) 資源的名稱。

3. 選用：如要列出所有用戶端驗證 (ServerTlsPolicies) 資源，請使用 gcloud network-security server-tls-policies list 指令：

   gcloud network-security server-tls-policies list \
     --location=LOCATION
   

   更改下列內容：

   LOCATION：如果是全域外部應用程式負載平衡器、傳統版應用程式負載平衡器和跨區域內部應用程式負載平衡器，請使用 global。如果是區域性外部應用程式負載平衡器或區域性內部應用程式負載平衡器，請使用設定負載平衡器的區域。

主控台

1. 前往 Google Cloud 控制台的「Load balancing」(負載平衡)頁面。

   前往「負載平衡」

2. 從負載平衡器清單中，選取需要連結用戶端驗證 (ServerTLSPolicy) 資源的負載平衡器。

3. 按一下「編輯」圖示 edit。

4. 在 HTTPS 前端的「前端設定」部分，展開「顯示進階功能」部分。

5. 從「Client Authentication」清單中選取「Client Authentication」資源。

6. 按一下 [完成]。

7. 按一下 [Update]。

gcloud

1. 如要列出專案中的所有目標 HTTPS Proxy 資源，請使用 gcloud compute target-https-proxies list 指令：

   gcloud compute target-https-proxies list
   

   請記下要附加 ServerTLSPolicy 資源的目標 HTTPS Proxy 名稱。這個名稱在後續步驟中稱為 TARGET_HTTPS_PROXY_NAME。

2. 如要將目標 HTTPS Proxy 的設定匯出至檔案，請使用 gcloud compute target-https-proxies export 指令。

   全球

     gcloud compute target-https-proxies export TARGET_HTTPS_PROXY_NAME \
         --destination=TARGET_PROXY_FILENAME \
         --global
     

   更改下列內容：

   • TARGET_HTTPS_PROXY_NAME：目標 Proxy 的名稱。
   • TARGET_PROXY_FILENAME：目標 Proxy 的設定檔名稱，格式為 YAML。例如：mtls_target_proxy.yaml。

   區域

   gcloud compute target-https-proxies export TARGET_HTTPS_PROXY_NAME \
       --destination=TARGET_PROXY_FILENAME \
       --region=REGION
   

   更改下列內容：

   • TARGET_HTTPS_PROXY_NAME：目標 Proxy 的名稱。
   • TARGET_PROXY_FILENAME：目標 Proxy 的設定檔名稱，格式為 YAML。例如：mtls_target_proxy.yaml
   • REGION：您設定負載平衡器的區域。

3. 如要列出所有用戶端驗證 (ServerTlsPolicy) 資源，請使用 gcloud network-security server-tls-policies list 指令：

   gcloud network-security server-tls-policies list \
       --location=LOCATION
   

   更改下列內容：

   LOCATION：如果是跨區域內部應用程式負載平衡器、全域外部應用程式負載平衡器或傳統版應用程式負載平衡器，請使用 global。如果是區域性外部應用程式負載平衡器或區域性內部應用程式負載平衡器，請使用設定負載平衡器的區域。

   請記下用來設定 mTLS 的用戶端驗證 (ServerTLSPolicy) 資源名稱。這個名稱在下一個步驟中稱為 SERVER_TLS_POLICY_NAME。

4. 將用戶端驗證 (ServerTlsPolicy) 附加至目標 HTTPS Proxy。

   echo "serverTlsPolicy: //networksecurity.googleapis.com/projects/PROJECT_ID/locations/LOCATION/serverTlsPolicies/SERVER_TLS_POLICY_NAME" >> TARGET_PROXY_FILENAME

   更改下列內容：

   • PROJECT_ID： Google Cloud 專案的 ID。
   • LOCATION：如果是全域外部應用程式負載平衡器或傳統應用程式負載平衡器，以及跨區域內部應用程式負載平衡器，請使用 global。如果是區域性外部應用程式負載平衡器或區域性內部應用程式負載平衡器，請使用設定負載平衡器的區域。
   • SERVER_TLS_POLICY_NAME：用戶端驗證 (ServerTLSPolicy) 資源的名稱。
   • TARGET_PROXY_FILENAME：目標 Proxy 的設定檔名稱，採用 YAML 格式。

5. 如要從檔案匯入目標 HTTPS Proxy 的設定，請使用 gcloud compute target-https-proxies import 指令。

   全球

     gcloud compute target-https-proxies import TARGET_HTTPS_PROXY_NAME \
         --source=TARGET_PROXY_FILENAME \
         --global
     

   更改下列內容：

   • TARGET_HTTPS_PROXY_NAME：目標 Proxy 的名稱。
   • TARGET_PROXY_FILENAME：目標 Proxy 的設定檔名稱，格式為 YAML。例如：mtls_target_proxy.yaml。

   區域

     gcloud compute target-https-proxies import TARGET_HTTPS_PROXY_NAME \
         --source=TARGET_PROXY_FILENAME \
         --region=REGION
     

   更改下列內容：

   • TARGET_HTTPS_PROXY_NAME：目標 Proxy 的名稱。
   • TARGET_PROXY_FILENAME：目標 Proxy 的設定檔名稱，採用 YAML 格式。例如：mtls_target_proxy.yaml
   • REGION：您設定負載平衡器的區域。