使用 CA 池提高证书创建吞吐量

本页面介绍了如何使用 证书授权机构 (CA) 池。如需了解 CA 池，请参阅 CA 池概览。

概览

证书创建吞吐量以每秒查询次数 (QPS) 来衡量。在 服务网格，那么证书创建吞吐量可通过以下方式近似计算： 公式：

THROUGHPUT = (ACTIVE_WORKLOADS × ROTATION_FREQUENCY) + NEW_WORKLOADS_PER_SECOND

替换以下内容：

  • ACTIVE_WORKLOADS：在任何给定时间运行的工作负载总数
  • ROTATION_FREQUENCY：证书每秒轮替的频率
  • NEW_WORKLOADS_PER_SECOND：创建新工作负载的速率

您可以找到 ACTIVE_WORKLOADS 和 NEW_WORKLOADS_PER_SECOND 的值， 部署在 Google Kubernetes Engine 中， 信息中心 Google Cloud 控制台。如需确定服务网格的 ROTATION_FREQUENCY， 必须参阅服务网格产品的文档。ROTATION_FREQUENCY 对于 Cloud Service Mesh，默认为每 12 小时一次，即 1/(12×60×60) 或 转换为每秒轮播频率时为 1/43200。

示例

考虑一个相对稳定的集群示例，该集群具有长期有效的工作负载和少量临时工作负载。

变量名称 值 说明
ACTIVE_WORKLOADS 10000 预计在任何给定时间都会运行 10000 个工作负载。
NEW_WORKLOADS_PER_SECOND 1 每秒创建 1 个新工作负载。
ROTATION_FREQUENCY 1/43200 证书每 12 小时轮替一次。

在计算证书创建的公式中替换这些值 指定的 QPS 值为 1.23。

吞吐量 = (10,000 / 43,200) + 1 = 1.23 QPS

具有更多临时工作负载和生命周期较短的工作负载的其他集群 可能具有更高的 NEW_WORKLOADS_PER_SECOND 值。较高值 ROTATION_FREQUENCY 使分数 (ACTIVE_WORKLOADS / ROTATION_FREQUENCY）较小，使得 NEW_WORKLOADS_PER_SECOND 最多 重要变量。

准备工作

在 Google Cloud 控制台中设置 CA 池 所需的位置。如需查看完整的位置列表，请参阅位置。

如果您希望以始终高的吞吐量颁发证书， 建议您在 DevOps 层级创建 CA 池，这样 提高性能并降低费用。存在最大吞吐量 每个 CA 池中的每个 CA，并且可实现的最大有效 任意给定项目的吞吐量。例如，如果最大吞吐量为 DevOps 层级为 CA 为 25 QPS，项目为 100 QPS，则您必须 在 CA 池中创建 4 个 CA，以获得高达 QPS 为 100。如需了解具体的 QPS 数据以及有关配额的更多信息，请参阅 配额和限制。

过程

  1. 在 CA 池中创建足够的 CA 以实现所需的 QPS。DevOps 层级中的 CA 池要求的 CA 数量为 4，企业层级的 CA 池需要 15 个。下面这组说明适用于 DevOps 层级中的 CA 池：

    1. 如需在 CA 池中创建名为 root-1 的根 CA，请使用以下 gcloud 命令。

       gcloud privateca roots create root-1 --pool POOL_NAME --subject="CN=root-1,O=google"

      此阶段 CA 池的总有效 QPS 为 25 QPS。如需将 CA 池的总有效 QPS 提高到 100 QPS，您必须在 CA 池中再创建 3 个 CA。

    2. 如需创建名为 root-2 的根 CA，请使用以下 gcloud 命令。

        gcloud privateca roots create root-2 --pool POOL_NAME --subject="CN=root-2,O=google"

    3. 如需创建名为 root-3 的根 CA，请使用以下 gcloud 命令。

        gcloud privateca roots create root-3 --pool POOL_NAME --subject="CN=root-3,O=google"

    4. 如需创建名为 root-4 的根 CA，请使用以下 gcloud 命令。

        gcloud privateca roots create root-4 --pool POOL_NAME --subject="CN=root-4,O=google"

      在此阶段，CA 池的总有效 QPS 为 100 QPS。

  2. 当 CA 处于 STAGED 状态时，创建和测试证书。完成后，启用 CA。如需了解如何启用 CA，请参阅启用 CA。如需了解如何测试 CA，请参阅测试 CA。

  3. 通过获取有关跨 CA 的负载均衡的审核报告，验证 CA 池的健康状况。理想情况下，每个 CA 颁发的证书数量应保持一致。

    您可以使用 Cloud Monitoring 来监控 CA 池的负载均衡指标，例如给定时间段内每个 CA 颁发的证书数量。如需更多信息 请参阅使用 Cloud Monitoring 监控资源。

后续步骤