Questa pagina è stata tradotta dall'API Cloud Translation.

Gestisci certificati

Questa pagina descrive come utilizzare Gestore dei certificati per creare e gestire i certificati Transport Layer Security (TLS) (SSL). Certificate Manager supporta i seguenti tipi di certificati TLS (SSL):

I certificati gestiti da Google sono certificati che Google Cloud ottiene e gestisce per te. Con Certificate Manager puoi creare i seguenti tipi di certificati gestiti da Google:
- Certificati globali
  - Certificati gestiti da Google con autorizzazione del bilanciatore del carico
  - Certificati gestiti da Google con autorizzazione DNS
  - Certificati gestiti da Google con Certificate Authority Service (servizio CA)
- Certificati regionali
  - Certificati gestiti da Google a livello di regione
  - Certificati gestiti da Google a livello di regione con il servizio CA
I certificati con gestione indipendente sono certificati che ottieni, esegui il provisioning e rinnova autonomamente.

Per saperne di più sui certificati, consulta Come funziona Certificate Manager.

Per scoprire come eseguire il deployment di un certificato con Certificate Manager, consulta la Panoramica del deployment.

Per ulteriori informazioni sui comandi gcloud CLI utilizzati in questa pagina, consulta il riferimento all'interfaccia a riga di comando di Certificate Manager.

Crea un certificato gestito da Google con autorizzazione del bilanciatore del carico

Per creare un certificato gestito da Google con autorizzazione per il bilanciatore del carico, completa i passaggi descritti in questa sezione. Puoi creare solo certificati gestiti da Google con autorizzazione del bilanciatore del carico nella località global.

Per specificare più nomi di dominio per il certificato, fornisci un elenco di nomi di dominio di destinazione per il certificato separati da virgole.

Per completare questa attività, devi disporre di uno dei seguenti ruoli nel progetto Google Cloud di destinazione:

Certificate Manager Editor
Certificate Manager Owner

Per ulteriori informazioni, consulta Ruoli e autorizzazioni.

Console

Nella console Google Cloud, vai alla pagina Gestione certificati.

Vai a Gestore certificati
Nella pagina visualizzata, seleziona la scheda Certificati.
Fai clic su Aggiungi certificato.
Inserisci un nome per il certificato.

Questo nome deve essere univoco per il progetto.
(Facoltativo) Inserisci la Descrizione del certificato. La descrizione ti aiuta a identificare un certificato specifico in un secondo momento.
Per Località, scegli Globale.
In Ambito, scegli Predefinito.
In Tipo di certificato, scegli Crea un certificato gestito da Google.
In Tipo di autorità di certificazione, scegli Pubblica.
Specifica i Nomi di dominio del certificato. Inserisci un elenco dei domini di destinazione separati da virgole. Inoltre, ogni nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
In Tipo di autorizzazione, scegli Autorizzazione bilanciatore del carico.
Specifica un'etichetta da associare al certificato. Se necessario, puoi aggiungere più di un'etichetta. Per aggiungere un'etichetta, fai clic sul pulsante Aggiungi etichetta e specifica un key e un value per l'etichetta.
Fai clic su Crea. Verifica che il nuovo certificato venga visualizzato nell'elenco dei certificati.

gcloud

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAMES"

Sostituisci quanto segue:

CERTIFICATE_NAME: un nome univoco che descriva questo documento.
DOMAIN_NAMES: un elenco separato da virgole dei domini di destinazione per questo certificato. Ogni nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.

Terraform

Per creare un certificato gestito da Google, puoi utilizzare una risorsa google_certificate_manager_certificate con un blocco managed.

resource "google_certificate_manager_certificate" "default" {
  name        = "prefixname-rootcert-${random_id.default.hex}"
  description = "Google-managed cert"
  managed {
    domains = ["example.me"]
  }
  labels = {
    "terraform" : true
  }
}

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base.

API

Crea il certificato inviando una richiesta POST al metodo certificates.create come segue:

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME
{
 "managed": {
  "domains": ["DOMAIN_NAME"],
 }
}

Sostituisci quanto segue:

PROJECT_ID: l'ID del progetto Google Cloud di destinazione.
CERTIFICATE_NAME: un nome univoco che descriva questo documento.
DOMAIN_NAME: il dominio di destinazione per questo certificato. Il nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.

Per una panoramica della procedura di implementazione dei certificati, consulta Panoramica dell'implementazione.

Creare un certificato gestito da Google con autorizzazione DNS

Per creare un certificato globale gestito da Google con autorizzazione DNS, segui questi passaggi:

Crea le autorizzazioni DNS corrispondenti che fanno riferimento a ciascuno dei nomi di dominio coperti dal certificato. Per le istruzioni, consulta Creare un'autorizzazione DNS.
Configura un record CNAME valido per il sottodominio di convalida nella zona DNS del dominio di destinazione. Per istruzioni, consulta Aggiunta del record CNAME alla configurazione DNS.
Completa i passaggi descritti in questa sezione.

Puoi creare certificati gestiti da Google sia regional che global. Per informazioni su come creare un regional certificato gestito da Google, consulta Creare un certificato gestito da Google a livello di regione.

Per completare questa attività, devi disporre di uno dei seguenti ruoli nel progetto Google Cloud di destinazione:

Certificate Manager Editor
Certificate Manager Owner

Per ulteriori informazioni, consulta Ruoli e autorizzazioni.

Console

Nella console Google Cloud, vai alla pagina Gestione certificati.

Vai a Gestore certificati
Nella pagina visualizzata, seleziona la scheda Certificati.
Fai clic su Aggiungi certificato.
Inserisci un nome per il certificato.

Questo nome deve essere univoco per il progetto.
(Facoltativo) Inserisci la Descrizione del certificato. La descrizione ti aiuta a identificare un certificato specifico in un secondo momento.
Per Località, scegli Globale.
In Ambito, scegli Predefinito.
In Tipo di certificato, scegli Crea un certificato gestito da Google.
In Tipo di autorità di certificazione, scegli Pubblica.
Specifica i Nomi di dominio del certificato. Inserisci un elenco dei domini di destinazione separati da virgole. Inoltre, ogni nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
In Tipo di autorizzazione, scegli Autorizzazione DNS. Se il nome di dominio ha un'autorizzazione DNS associata, verrà rilevato automaticamente. Se al nome di dominio non è associata un'autorizzazione DNS:
1. Fai clic su Crea autorizzazione DNS mancante per visualizzare la finestra di dialogo Crea autorizzazione DNS.
2. Nel campo Nome autorizzazione DNS, specifica il nome dell'autorizzazione DNS.
3. Per gestire in modo indipendente i certificati in più progetti, seleziona Autorizzazione per progetto.
4. Fai clic su Crea autorizzazione DNS. Verifica che il nome DNS venga associato al nome di dominio.
Specifica un'etichetta da associare al certificato. Se necessario, puoi aggiungere più di un'etichetta. Per aggiungere un'etichetta, fai clic sul pulsante Aggiungi etichetta e specifica un key e un value per l'etichetta.
Fai clic su Crea. Verifica che il nuovo certificato venga visualizzato nell'elenco dei certificati.

gcloud

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAMES" \
    --dns-authorizations="AUTHORIZATION_NAMES"

Sostituisci quanto segue:

CERTIFICATE_NAME: un nome univoco che descriva questo documento.
DOMAIN_NAMES: un elenco delimitato da virgole dei domini di destinazione per questo certificato. Ogni nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
AUTHORIZATION_NAMES: un elenco separato da virgole dei nomi delle autorizzazioni DNS che hai creato per questo certificato.

Per creare un certificato gestito da Google con un nome di dominio jolly, utilizza il seguente comando. Un certificato per un nome di dominio jolly copre tutti i sottodomini di primo livello di un determinato dominio.

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="*.DOMAIN_NAME,DOMAIN_NAME" \
    --dns-authorizations=AUTHORIZATION_NAME

Sostituisci quanto segue:

CERTIFICATE_NAME: un nome univoco che descriva questo documento.
DOMAIN_NAME: il dominio di destinazione per questo certificato. Il prefisso asterisco punto (*.) indica un certificato jolly. Il nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
AUTHORIZATION_NAME: il nome dell'autorizzazione DNS che hai creato per questo certificato.

Terraform

Per creare un certificato gestito da Google con autorizzazione DNS, puoi utilizzare una risorsa google_certificate_manager_certificate con l'attributo dns_authorizations nel blocco managed.

resource "google_certificate_manager_certificate" "root_cert" {
  name        = "${local.name}-rootcert-${random_id.tf_prefix.hex}"
  description = "The wildcard cert"
  managed {
    domains = [local.domain, "*.${local.domain}"]
    dns_authorizations = [
      google_certificate_manager_dns_authorization.default.id
    ]
  }
  labels = {
    "terraform" : true
  }
}

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base.

API

Crea il certificato inviando una richiesta POST al metodo certificates.create come segue:

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME
{
 "managed": {
  "domains": ["DOMAIN_NAME"],
  "dnsAuthorizations": [
   "projects/PROJECT_ID/locations/global/dnsAuthorizations/AUTHORIZATION_NAME",
  ],
 }
}

Sostituisci quanto segue:

PROJECT_ID: l'ID del progetto Google Cloud di destinazione.
CERTIFICATE_NAME: un nome univoco che descriva questo documento.
DOMAIN_NAME: il dominio di destinazione per questo certificato. Il prefisso asterisco punto (*.) indica un certificato jolly. Il nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
AUTHORIZATION_NAME: il nome delle autorizzazioni DNS che hai creato per questo certificato.

Per gestire in modo indipendente i certificati in più progetti, puoi utilizzare l'autorizzazione DNS per progetto. Per informazioni sulla creazione di certificati con autorizzazione DNS per progetto, consulta Creare un'autorizzazione DNS.

Per una panoramica della procedura di implementazione dei certificati, consulta Panoramica dell'implementazione.

Creare un certificato gestito da Google emesso dal servizio CA

Per creare un certificato gestito da Google emesso da un'istanza di CA Service sotto il tuo controllo, completa i passaggi descritti in questa sezione. Puoi creare i certificati gestiti da Google regional e global. Per informazioni su come creare un certificato gestito da Google a livello regionale emesso da CA Service, consulta Creare un certificato gestito da Google a livello regionale emesso da CA Service

Per completare questa attività, devi disporre dei seguenti ruoli nel progetto Google Cloud di destinazione:

Per ulteriori informazioni sui comandi gcloud CLI utilizzati in questa sezione, consulta il riferimento all'interfaccia a riga di comando di Certificate Manager.

Configurare l'integrazione di CA Service con Certificate Manager

Se non l'hai ancora fatto, devi configurare Gestore dei certificati per l'integrazione con il servizio CA come descritto in questa sezione. Se nel pool di CA di destinazione è attivo un criterio di emissione dei certificati, il provisioning dei certificati potrebbe non riuscire per uno dei seguenti motivi:

Il criterio di emissione dei certificati ha bloccato il certificato richiesto. In questo caso, non ti viene addebitato alcun importo perché il certificato non è stato emesso.
I criteri hanno applicato modifiche al certificato che non sono supportate da Gestore certificati. In questo caso, la fatturazione viene comunque addebitata perché il certificato è stato emesso, anche se non è completamente compatibile con Certificate Manager.

Per eventuali problemi relativi alle limitazioni previste dalle norme relative al rilascio, consulta la pagina Risoluzione dei problemi.

Per configurare l'integrazione di CA Service con Certificate Manager, segui questi passaggi:

Abilita l'API CA Service.
Crea un pool di CA.
Crea una CA e attivala nel pool di CA che hai creato nel passaggio precedente.

Concedi a Certificate Manager la possibilità di richiedere certificati dal pool di CA di destinazione:
1. Utilizza il seguente comando per creare un account di servizio Certificate Manager nel progetto Google Cloud di destinazione:
```
gcloud beta services identity create --service=certificatemanager.googleapis.com \
  --project=PROJECT_ID
```
  Sostituisci PROJECT_ID con l'ID del progetto Google Cloud di destinazione.
  
  Il comando restituisce il nome dell'account di servizio creato. Ad esempio:
  
  service-520498234@gcp-sa-certificatemanager.iam.gserviceaccount.com
2. Concedi all'account di servizio Certificate Manager il ruolo Richiedente certificato nel pool CA di destinazione come segue:
```
gcloud privateca pools add-iam-policy-binding CA_POOL \
    --location REGION \
    --member="serviceAccount:SERVICE_ACCOUNT" \
    --role roles/privateca.certificateRequester
```
  Sostituisci quanto segue:
  - CA_POOL: l'ID del pool di CA di destinazione
  - REGION: la regione Google Cloud di destinazione
  - SERVICE_ACCOUNT: il nome completo dell'account di servizio creato nel passaggio 1
Crea una risorsa di configurazione dell'emissione di certificati per il tuo pool di CA:

Console

Nella console Google Cloud, vai alla pagina Gestione certificati.

Vai a Gestore certificati
Nella scheda Configurazioni di emissione, fai clic su Crea.
Nel campo Nome, inserisci un nome univoco per la configurazione di emissione dei certificati.
Per Località, seleziona Globale.
(Facoltativo) Nel campo Descrizione, inserisci una descrizione per la configurazione di emissione.
Nel campo Lifetime (Durata), specifica la durata del certificato emesso in giorni. Il valore deve essere compreso tra 21 e 30 giorni (inclusi).
In Percentuale della finestra di rotazione, specifica la percentuale della durata del certificato al momento dell'inizio del processo di rinnovo. Per trovare l'intervallo di valori validi, consulta Lifetime e Percentuale della finestra di rotazione.
Dall'elenco Algoritmo chiave, seleziona l'algoritmo chiave da utilizzare per la generazione della chiave privata.
Nell'elenco Pool di CA, seleziona il nome del pool di CA da assegnare a questa configurazione di emissione dei certificati.
Nel campo Etichette, specifica le etichette da associare al certificato. Per aggiungere un'etichetta, fai clic su Aggiungi etichetta e specifica un key e un value per l'etichetta.
Fai clic su Crea.

gcloud

 gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
     --ca-pool=CA_POOL \
     [--lifetime=CERTIFICATE_LIFETIME] \
     [--rotation-window-percentage=ROTATION_WINDOW_PERCENTAGE] \
     [--key-algorithm=KEY_ALGORITHM]

Sostituisci quanto segue:

ISSUANCE_CONFIG_NAME: un nome univoco che identifica questa risorsa di configurazione dell'emissione dei certificati.
CA_POOL: il percorso completo e il nome del pool di CA che vuoi assegnare a questa risorsa di configurazione dell'emissione dei certificati.
CERTIFICATE_LIFETIME: la durata del certificato in giorni. I valori validi vanno da 21 a 30 giorni nel formato della durata standard. Il valore predefinito è 30 giorni (30D). Questa impostazione è facoltativa.
ROTATION_WINDOW_PERCENTAGE: la percentuale del ciclo di vita del certificato in cui viene attivato il rinnovo del certificato. Per trovare l'intervallo di valori validi, consulta Lifetime e Percentuale della finestra di rotazione. Questa impostazione è facoltativa.
KEY_ALGORITHM: l'algoritmo di crittografia utilizzato per generare la chiave privata. I valori validi sono ecdsa-p256 o rsa-2048. Il valore predefinito è rsa-2048. Questa impostazione è facoltativa.

Per ulteriori informazioni sulle risorse di configurazione dell'emissione dei certificati, consulta Gestire la configurazione dell'emissione dei certificati.

Creare un certificato gestito da Google emesso dall'istanza di CA Service

Crea un certificato gestito da Google emesso dall'istanza di CA Service come segue:

Console

Nella console Google Cloud, vai alla pagina Gestione certificati.

Vai a Gestore certificati
Nella pagina visualizzata, seleziona la scheda Certificati.
Fai clic su Aggiungi certificato.
Inserisci un nome per il certificato.

Questo nome deve essere univoco per il progetto.
(Facoltativo) Inserisci la Descrizione del certificato. La descrizione ti aiuta a identificare un certificato specifico in un secondo momento.
Per Località, scegli Globale.
In Ambito, scegli Predefinito.
In Tipo di certificato, scegli Crea un certificato gestito da Google.
In Tipo di autorità di certificazione, scegli Privato.
Specifica i Nomi di dominio del certificato. Inserisci un elenco dei domini di destinazione separati da virgole. Inoltre, ogni nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
Per Configurazione per l'emissione del certificato, seleziona il nome della risorsa di configurazione per l'emissione del certificato che fa riferimento al pool di CA di destinazione.

Per creare una configurazione di emissione, fai clic su Aggiungi configurazione di emissione dei certificati, specifica i seguenti dettagli e fai clic su Crea.
- Nome: un nome univoco per la configurazione di emissione dei certificati.
- Descrizione: una descrizione della configurazione di emissione.
- Durata: la durata del certificato emesso in giorni. Il valore deve essere compreso tra 21 e 30 giorni (inclusi).
- Percentuale della finestra di rotazione: la percentuale della durata del certificato in cui viene attivato il rinnovo del certificato. Per trovare l'intervallo di valori validi, consulta Lifetime e Percentuale della finestra di rotazione.
- Algoritmo di chiave: l'algoritmo di chiave da utilizzare per generare la chiave privata.
- Pool di CA: il nome del pool di CA da assegnare a questa configurazione di emissione dei certificati.
- Etichetta: le etichette da associare alla configurazione di emissione dei certificati.
Specifica un'etichetta da associare al certificato. Se necessario, puoi aggiungere più di un'etichetta. Per aggiungere un'etichetta, fai clic sul pulsante Aggiungi etichetta e specifica un key e un value per l'etichetta.
Fai clic su Crea. Verifica che il nuovo certificato venga visualizzato nell'elenco dei certificati.

gcloud

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAMES" \
    --issuance-config=ISSUANCE_CONFIG_NAME

Sostituisci quanto segue:

CERTIFICATE_NAME: un nome univoco che descriva questo documento.
DOMAIN_NAMES: un elenco separato da virgole dei domini di destinazione per questo certificato. Ogni nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione per la concessione dei certificati che fa riferimento al pool di CA di destinazione.

API

Crea il certificato inviando una richiesta POST al metodo certificates.create come segue:

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME
{
 "managed": {
  "domains": ["DOMAIN_NAME"],
  "issuanceConfig": ["ISSUANCE_CONFIG_NAME"],
 }
}

Sostituisci quanto segue:

PROJECT_ID: l'ID del progetto Google Cloud di destinazione.
CERTIFICATE_NAME: un nome univoco che descriva questo documento.
DOMAIN_NAME: il dominio di destinazione per questo certificato. Il nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione per la concessione dei certificati che fa riferimento al pool di CA di destinazione.

Per una panoramica della procedura di implementazione dei certificati, consulta Panoramica dell'implementazione.

Crea un certificato gestito da Google a livello di regione emesso dal servizio CA

Per creare un certificato regionale gestito da Google emesso da un'istanza di servizio CA sotto il tuo controllo, completa i passaggi descritti in questa sezione.

Configurare l'integrazione di CA Service con Certificate Manager

Configura Gestore certificati per l'integrazione con il servizio CA come segue:

Crea un account di servizio Certificate Manager nel progetto Google Cloud di destinazione:
```
gcloud beta services identity create
    --service=certificatemanager.googleapis.com \
    --project=PROJECT_ID
```
Sostituisci PROJECT_ID con l'ID del progetto Google Cloud di destinazione.

Il comando restituisce il nome dell'identità servizio creata, come mostrato nell'esempio seguente:
```
service-520498234@gcp-sa-certificatemanager.iam.gserviceaccount.com
```
Concedi al account di servizio Gestore dei certificati il ruolo Richiedente di certificato nel pool di CA di destinazione come segue:
```
gcloud privateca pools add-iam-policy-binding CA_POOL \
    --location LOCATION \
    --member "serviceAccount:SERVICE_ACCOUNT" \
    --role roles/privateca.certificateRequester
```
Sostituisci quanto segue:
- CA_POOL: l'ID del pool di CA di destinazione.
- LOCATION: la località di Google Cloud di destinazione. Devi specificare la stessa posizione del pool di CA, della risorsa di configurazione dell'emissione dei certificati e del certificato gestito.
- SERVICE_ACCOUNT: il nome completo dell'account di servizio che hai creato nel passaggio 1.
Crea una risorsa di configurazione dell'emissione di certificati per il tuo pool di CA:

Console

Nella console Google Cloud, vai alla pagina Gestione certificati.

Vai a Gestore certificati
Nella scheda Configurazioni di emissione, fai clic su Crea.
Nel campo Nome, inserisci un nome univoco per la configurazione di emissione dei certificati.
(Facoltativo) Nel campo Descrizione, inserisci una descrizione per la configurazione di emissione.
In Località, seleziona Regionale.
Nell'elenco Regione, seleziona la regione.
Nel campo Lifetime (Durata), specifica la durata del certificato emesso in giorni. Il valore deve essere compreso tra 21 e 30 giorni (inclusi).
In Percentuale della finestra di rotazione, specifica la percentuale della durata del certificato al momento dell'inizio del processo di rinnovo. Per trovare l'intervallo di valori validi, consulta Lifetime e Percentuale della finestra di rotazione.
Dall'elenco Algoritmo chiave, seleziona l'algoritmo chiave da utilizzare per la generazione della chiave privata.
Nell'elenco Pool di CA, seleziona il nome del pool di CA da assegnare a questa configurazione di emissione dei certificati.
Nel campo Etichette, specifica le etichette da associare al certificato. Per aggiungere un'etichetta, fai clic su Aggiungi etichetta e specifica un key e un value per l'etichetta.
Fai clic su Crea.

gcloud

gcloud beta certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
    --ca-pool=CA_POOL \
    --location=LOCATION> \
    [--lifetime=CERTIFICATE_LIFETIME] \
    [--rotation-window-percentage=ROTATION_WINDOW_PERCENTAGE] \
    [--key-algorithm=KEY_ALGORITHM] \

Sostituisci quanto segue:

ISSUANCE_CONFIG_NAME: il nome univoco della risorsa di configurazione per l'emissione dei certificati.
CA_POOL: il percorso completo e il nome del pool di CA che vuoi assegnare a questa risorsa di configurazione dell'emissione dei certificati.
LOCATION: la località di Google Cloud di destinazione. Devi specificare la stessa posizione del pool di CA, della risorsa di configurazione dell'emissione dei certificati e del certificato gestito.
CERTIFICATE_LIFETIME: la durata del certificato in giorni. I valori validi vanno da 21 a 30 giorni nel formato della durata standard. Il valore predefinito è 30 giorni (30D). Questa impostazione è facoltativa.
ROTATION_WINDOW_PERCENTAGE: la percentuale della durata del certificato al momento dell'inizio del processo di rinnovo. Per trovare l'intervallo di valori validi, consulta Lifetime e Percentuale della finestra di rotazione.
KEY_ALGORITHM: l'algoritmo di crittografia utilizzato per generare la chiave privata. I valori validi sono ecdsa-p256 o rsa-2048. Il valore predefinito è rsa-2048. Questa impostazione è facoltativa.
DESCRIPTION: una descrizione della risorsa di configurazione dell'emissione dei certificati. Questa impostazione è facoltativa.

Per ulteriori informazioni sulle risorse di configurazione dell'emissione dei certificati, consulta Gestire la configurazione dell'emissione dei certificati.

Crea un certificato gestito da Google a livello di regione emesso dal tuo servizio CA

Crea un certificato gestito da Google a livello di regione emesso dal tuo servizio CA utilizzando la risorsa di configurazione dell'emissione del certificato creata nel passaggio precedente:

Console

Nella console Google Cloud, vai alla pagina Gestione certificati.

Vai a Gestore certificati
Nella pagina visualizzata, seleziona la scheda Certificati.
Fai clic su Aggiungi certificato.
Inserisci un nome per il certificato.

Questo nome deve essere univoco per il progetto.
(Facoltativo) Inserisci la Descrizione del certificato. La descrizione ti aiuta a identificare un certificato specifico in un secondo momento.
In Località, scegli Regionale.
Nell'elenco Regione, seleziona una regione.
In Tipo di certificato, scegli Crea un certificato gestito da Google.
In Tipo di autorità di certificazione, scegli Privato.
Specifica i Nomi di dominio del certificato. Inserisci un elenco dei domini di destinazione separati da virgole. Inoltre, ogni nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
Per Configurazione per l'emissione del certificato, seleziona il nome della risorsa di configurazione per l'emissione del certificato che fa riferimento al pool di CA di destinazione.

Per creare una configurazione di emissione, fai clic su Aggiungi configurazione di emissione dei certificati, specifica i seguenti dettagli e fai clic su Crea.
- Nome: un nome univoco per la configurazione di emissione dei certificati.
- Descrizione: una descrizione della configurazione di emissione.
- Durata: la durata del certificato emesso in giorni. Il valore deve essere compreso tra 21 e 30 giorni (inclusi).
- Percentuale della finestra di rotazione: la percentuale della durata del certificato al momento dell'inizio della procedura di rinnovo. Per trovare l'intervallo di valori validi, consulta Lifetime e Percentuale della finestra di rotazione.
- Algoritmo di chiave: l'algoritmo di chiave da utilizzare per generare la chiave privata.
- Pool di CA: il nome del pool di CA da assegnare a questa configurazione di emissione dei certificati.
- Etichetta: le etichette da associare alla configurazione di emissione dei certificati.
Specifica un'etichetta da associare al certificato. Se necessario, puoi aggiungere più di un'etichetta. Per aggiungere un'etichetta, fai clic sul pulsante Aggiungi etichetta e specifica un key e un value per l'etichetta.
Fai clic su Crea. Verifica che il nuovo certificato venga visualizzato nell'elenco dei certificati.

gcloud

Esegui questo comando:

gcloud beta certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAMES" \
    --issuance-config="ISSUANCE_CONFIG_NAME" \
    --location="LOCATION"

Sostituisci quanto segue:

CERTIFICATE_NAME: un nome univoco del certificato.
DOMAIN_NAMES: un elenco separato da virgole dei domini di destinazione per questo certificato. Ogni nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione per la concessione dei certificati che fa riferimento al pool di CA di destinazione.
LOCATION: la località di Google Cloud di destinazione. Devi specificare la stessa posizione del pool di CA, della risorsa di configurazione dell'emissione dei certificati e del certificato gestito.

API

Crea il certificato inviando una richiesta POST al metodo certificates.create come segue:

POST /v1/projects/PROJECT_ID/locations/LOCATION/certificates?
{
certificate: {
    name: "/projects/example-project/locations/LOCATION/certificates/my-cert",
    "managed": {
        "domains": ["DOMAIN_NAME"],
        "issuanceConfig": "ISSUANCE_CONFIG_NAME",
              },
             }
}

Sostituisci quanto segue:

PROJECT_ID: l'ID del progetto Google Cloud di destinazione.
CERTIFICATE_NAME: un nome univoco del certificato.
DOMAIN_NAME: il dominio di destinazione per questo certificato. Il nome di dominio deve essere un nome di dominio completo, ad esempio example.com, www.example.com.
ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione per la concessione dei certificati che fa riferimento al pool di CA di destinazione.
LOCATION: la località di Google Cloud di destinazione. Devi specificare la stessa posizione del pool di CA, della risorsa di configurazione dell'emissione dei certificati e del certificato gestito.

Per una panoramica della procedura di implementazione dei certificati, consulta Panoramica dell'implementazione.

Crea un certificato gestito da Google a livello di regione

Per creare un certificato gestito da Google con autorizzazione DNS, segui questi passaggi:

Crea le autorizzazioni DNS corrispondenti che fanno riferimento a ciascuno dei nomi di dominio coperti dal certificato. Per le istruzioni, consulta Creare un'autorizzazione DNS.
Configura un record CNAME valido per il sottodominio di convalida nella zona DNS del dominio di destinazione. Per istruzioni, consulta Aggiunta del record CNAME alla configurazione DNS.
Completa i passaggi descritti in questa sezione.

Puoi creare certificati gestiti da Google sia regional che global. Per informazioni su come creare un global certificato gestito da Google, consulta Creare un certificato gestito da Google con autorizzazione DNS.

Per completare questa attività, devi disporre di uno dei seguenti ruoli nel progetto Google Cloud di destinazione:

Certificate Manager Editor
Certificate Manager Owner

Per ulteriori informazioni, consulta Ruoli e autorizzazioni.

Console

Nella console Google Cloud, vai alla pagina Gestione certificati.

Vai a Gestore certificati
Nella pagina visualizzata, seleziona la scheda Certificati.
Fai clic su Aggiungi certificato.
Inserisci un nome per il certificato.

Questo nome deve essere univoco per il progetto.
(Facoltativo) Inserisci la Descrizione del certificato. La descrizione ti aiuta a identificare un certificato specifico in un secondo momento.
In Località, scegli Regionale.
Nell'elenco Regione, seleziona una regione.
In Tipo di certificato, scegli Crea un certificato gestito da Google.
In Tipo di autorità di certificazione, scegli Pubblica.
Specifica i Nomi di dominio del certificato. Inserisci un elenco dei domini di destinazione separati da virgole. Inoltre, ogni nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
In Tipo di autorizzazione, scegli Autorizzazione DNS. Se il nome di dominio ha un'autorizzazione DNS associata, verrà rilevato automaticamente. Se al nome di dominio non è associata un'autorizzazione DNS:
1. Fai clic su Crea autorizzazione DNS mancante per visualizzare la finestra di dialogo Crea autorizzazione DNS.
2. Nel campo Nome autorizzazione DNS, specifica il nome dell'autorizzazione DNS.
3. Fai clic su Crea autorizzazione DNS. Verifica che il nome DNS venga associato al nome di dominio.
Specifica un'etichetta da associare al certificato. Se necessario, puoi aggiungere più di un'etichetta. Per aggiungere un'etichetta, fai clic sul pulsante Aggiungi etichetta e specifica un key e un value per l'etichetta.
Fai clic su Crea. Verifica che il nuovo certificato venga visualizzato nell'elenco dei certificati.

gcloud

Esegui questo comando:

gcloud certificate-manager certificates create CERTIFICATE_NAME \
   --domains=DOMAIN_NAME \
   --dns-authorizations=AUTHORIZATION_NAME \
   --location=LOCATION

Sostituisci quanto segue:

CERTIFICATE_NAME: un nome univoco del certificato.
DOMAIN_NAME: il dominio di destinazione del certificato. Il nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
AUTHORIZATION_NAME: il nome dell'autorizzazione DNS che hai creato per questo certificato.
LOCATION: la posizione in cui crei il certificato gestito da Google.

Per creare un certificato gestito da Google con un nome di dominio jolly, utilizza il seguente comando. Un certificato con nome di dominio con caratteri jolly copre tutti i sottodomini di primo livello di un determinato dominio.

gcloud certificate-manager certificates create CERTIFICATE_NAME \
   --domains="*.DOMAIN_NAME,DOMAIN_NAME" \
   --dns-authorizations=AUTHORIZATION_NAME
   --location=LOCATION

Sostituisci quanto segue:

CERTIFICATE_NAME: un nome univoco del certificato.
DOMAIN_NAME: il dominio di destinazione del certificato. Il prefisso asterisco punto (*.) indica un certificato jolly. Il nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
AUTHORIZATION_NAME: il nome dell'autorizzazione DNS che hai creato per questo certificato.
LOCATION: la posizione in cui crei il certificato gestito da Google.

Carica un certificato autogestito

Per caricare un certificato autogestito, completa i passaggi descritti in questa sezione. Puoi caricare certificati X.509 TLS (SSL) globali e regionali dei seguenti tipi:

Certificati generati da autorità di certificazione (CA) di terze parti a tua scelta
Certificati generati da autorità di certificazione sotto il tuo controllo
Certificati autofirmati, come descritto in Creare una chiave privata e un certificato

Devi caricare i seguenti file con codifica PEM:

Il file del certificato (.crt)
Il file della chiave privata (.key) corrispondente

Consulta la Panoramica del deployment per conoscere i passaggi necessari per iniziare a pubblicare il certificato sul bilanciatore del carico.

Per completare questa attività, devi disporre di uno dei seguenti ruoli nel progetto Google Cloud di destinazione:

Certificate Manager Editor
Certificate Manager Owner

Per ulteriori informazioni, consulta Ruoli e autorizzazioni.

Console

Nella console Google Cloud, vai alla pagina Gestione certificati.

Vai a Gestore certificati
Nella pagina visualizzata, seleziona la scheda Certificati.
Fai clic su Aggiungi certificato.
Inserisci un nome per il certificato.

Questo nome deve essere univoco per il progetto.
(Facoltativo) Inserisci la Descrizione del certificato. La descrizione ti aiuta a identificare un certificato specifico in un secondo momento.
Per Località, scegli una delle seguenti opzioni:
- Globale: seleziona Globale in modo che il certificato possa essere utilizzato a livello globale. Se scegli Globale, dal menu a discesa Ambito, seleziona una delle seguenti opzioni:
  - Predefinito: i certificati con ambito predefinito vengono forniti dai data center principali di Google.
  - Cache di edge: i certificati con questo ambito sono certificati speciali e vengono forniti da data center Google non principali.
  - Tutte le regioni: i certificati vengono pubblicati da tutte le regioni.
- Regionale: seleziona Regionale per consentire l'utilizzo del certificato in una determinata regione. Se scegli Regionale, seleziona una regione dall'elenco Regione.
In Tipo di certificato, scegli Crea certificato autogestito.
Per il campo Certificato, esegui una delle seguenti operazioni:
- Fai clic sul pulsante Carica e seleziona il file del certificato in formato PEM.
- Copia e incolla i contenuti di un certificato in formato PEM. I contenuti devono iniziare con -----BEGIN CERTIFICATE----- e terminare con -----END CERTIFICATE-----.
Per il campo Certificato della chiave privata, esegui una delle seguenti operazioni:
- Fai clic sul pulsante Carica e seleziona la chiave privata. La chiave privata deve essere in formato PEM e non protetta con una passphrase.
- Copia e incolla i contenuti di una chiave privata in formato PEM. Le chiavi private devono iniziare con -----BEGIN PRIVATE KEY----- e terminare con -----END PRIVATE KEY-----.
Specifica un'etichetta da associare al certificato. Se necessario, puoi aggiungere più di un'etichetta. Per aggiungere un'etichetta, fai clic sul pulsante Aggiungi etichetta e specifica un key e un value per l'etichetta.
Fai clic su Crea. Verifica che il nuovo certificato sia visualizzato nell'elenco dei certificati.

gcloud

gcloud certificate-manager certificates create  CERTIFICATE_NAME \
    --certificate-file="CERTIFICATE_FILE" \
    --private-key-file="PRIVATE_KEY_FILE" \
    [--location="REGION"]

Sostituisci quanto segue:

CERTIFICATE_NAME: un nome univoco che descriva questo documento.
CERTIFICATE_FILE: il percorso e il nome del file del certificato .crt.
PRIVATE_KEY_FILE: il percorso e il nome del file della chiave privata .key.
REGION: la regione Google Cloud di destinazione. Il valore predefinito è global. Questa impostazione è facoltativa.

Terraform

Per caricare un certificato con gestione indipendente, puoi utilizzare una risorsa google_certificate_manager_certificate con il blocco self_managed.

API

Carica il certificato inviando una richiesta POST al metodo certificates.create come segue:

POST /v1/projects/PROJECT_ID/locations/[REGION]/certificates?certificate_id=CERTIFICATE_NAME
{
  self_managed: {
    pem_certificate: "PEM_CERTIFICATE",
    pem_private_key: "PEM_KEY",
  }
}

Sostituisci quanto segue:

PROJECT_ID: l'ID del progetto Google Cloud di destinazione.
CERTIFICATE_NAME: un nome univoco che descriva questo documento.
PEM_CERTIFICATE: il certificato PEM.
PEM_KEY: la chiave PEM.
REGION: la regione Google Cloud di destinazione. Il valore predefinito è global. Questa impostazione è facoltativa.

Aggiornare un certificato

Per aggiornare un certificato esistente senza modificare le relative assegnazioni ai nomi di dominio all'interno della mappa dei certificati corrispondente, completa i passaggi descritti in questa sezione. I SAN nel nuovo certificato devono corrispondere esattamente a quelli nel certificato esistente.

Per i certificati gestiti da Google, puoi aggiornare solo i campi description e labels. Per aggiornare un certificato autogestito, devi caricare i seguenti file con codifica PEM:

Il file del certificato (.crt)
Il file della chiave privata (.key) corrispondente

Per completare questa attività, devi disporre di uno dei seguenti ruoli nel progetto Google Cloud di destinazione:

Certificate Manager Editor
Certificate Manager Owner

Per ulteriori informazioni, consulta Ruoli e autorizzazioni.

gcloud

gcloud certificate-manager certificates update CERTIFICATE_NAME \
    --certificate-file="CERTIFICATE_FILE" \
    --private-key-file="PRIVATE_KEY_FILE" \
    --description="DESCRIPTION" \
    --update-labels="LABELS" \
    [--location="REGION"]

Sostituisci quanto segue:

CERTIFICATE_NAME: il nome del certificato di destinazione.
CERTIFICATE_FILE: il percorso e il nome del file del certificato .crt.
PRIVATE_KEY_FILE: il percorso e il nome del file della chiave privata .key.
DESCRIPTION: un valore di descrizione univoco per questo documento.
LABELS: un elenco separato da virgole di etichette applicate a questo certificato.
REGION: la regione Google Cloud di destinazione. Il valore predefinito è global. Questa impostazione è facoltativa.

API

Aggiorna il certificato inviando una richiesta PATCH al metodo certificates.patch come segue:

PATCH /v1/projects/PROJECT_ID/locations/[REGION]/certificates/CERTIFICATE_NAME?updateMask=self_managed,labels,description
{
   self_managed: { // Self-managed certificates only
    pem_certificate: "PEM_CERTIFICATE",
    pem_private_key: "PEM_KEY",
  }
  "description": "DESCRIPTION",
  "labels": {
    "LABEL_KEY": "LABEL_VALUE",
  }

}

Sostituisci quanto segue:

PROJECT_ID: l'ID del progetto Google Cloud di destinazione.
REGION: la regione Google Cloud di destinazione. Il valore predefinito è global. Questa impostazione è facoltativa.
CERTIFICATE_NAME: il nome del certificato di destinazione.
PEM_CERTIFICATE: il certificato PEM.
PEM_KEY: la chiave PEM.
DESCRIPTION: una descrizione significativa per questo certificato.
LABEL_KEY: una chiave dell'etichetta applicata a questo certificato.
LABEL_VALUE: un valore dell'etichetta applicato a questo certificato.

Elenco dei certificati

Per elencare i certificati gestiti da Gestore certificati, completa i passaggi indicati in questa sezione. Ad esempio, puoi eseguire le seguenti query:

Elenca i certificati in base ai nomi di dominio assegnati
Elenca i certificati scaduti

Per completare questa attività, devi disporre di uno dei seguenti ruoli nel progetto Google Cloud di destinazione:

Certificate Manager Viewer
Certificate Manager Editor
Certificate Manager Owner

Per ulteriori informazioni, consulta Ruoli e autorizzazioni.

Console

Nella console Google Cloud, vai alla pagina Gestione certificati.

Vai a Gestore certificati
Nella pagina visualizzata, seleziona la scheda Certificati. Questa scheda elenca tutti i certificati gestiti da Gestore certificati nel progetto selezionato.

La scheda Certificati classici elenca i certificati nel progetto selezionato di cui è stato eseguito il provisioning direttamente tramite Cloud Load Balancing. Questi certificati non sono gestiti da Gestore certificati. Per istruzioni su come gestire questi certificati, consulta uno dei seguenti articoli della documentazione di Cloud Load Balancing:

gcloud

gcloud certificate-manager certificates list \
    [--location="REGION"] \
    --filter="FILTER" \
    --page-size="PAGE_SIZE" \
    --limit="LIMIT" \
    --sort-by="SORT_BY"

Sostituisci quanto segue:

REGION: la regione Google Cloud di destinazione. Per elencare i certificati di tutte le regioni, utilizza - come valore. Il valore predefinito è global. Questa impostazione è facoltativa.
FILTER: un'espressione che limita i risultati restituiti a valori specifici. Ad esempio, puoi filtrare i risultati in base ai seguenti criteri:
- Data/ora di scadenza: --filter='expire_time >= "2021-09-01T00:00:00Z"'
- Nomi DNS SAN: --filter='san_dnsnames:"example.com"'
- Stato del certificato: --filter='managed.state=FAILED'
- Tipo di certificato: --filter='managed:*'
- Etichette e data/ora di creazione: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

Per altri esempi di filtri che puoi utilizzare con Gestore dei certificati, consulta Ordinare e filtrare i risultati dell'elenco nella documentazione di Cloud Key Management Service.

PAGE_SIZE: il numero di risultati da restituire per pagina.
LIMIT: il numero massimo di risultati da restituire.
SORT_BY: un elenco separato da virgole di campi name in base ai quali vengono ordinati i risultati restituiti. L'ordinamento predefinito è crescente. Per l'ordinamento decrescente, anteponi al campo il prefisso ~.

API

Elenca i certificati inviando una richiesta LIST al metodo certificates.list come segue:

GET /v1/projects/PROJECT_ID/locations/REGION/certificates?filter=FILTER&pageSize=PAGE_SIZE&sortBy=SORT_BY

Sostituisci quanto segue:

REGION: la regione Google Cloud di destinazione. Per elencare i certificati di tutte le regioni, utilizza - come valore.
PROJECT_ID: l'ID del progetto Google Cloud di destinazione.
FILTER: un'espressione che limita i risultati restituiti a valori specifici.
PAGE_SIZE: il numero di risultati da restituire per pagina.
SORT_BY: un elenco separato da virgole di nomi di campi in base ai quali vengono ordinati i risultati restituiti. L'ordinamento predefinito è crescente. Per un ordinamento decrescente, anteponi al campo il prefisso ~.

Visualizzare lo stato di un certificato

Per visualizzare lo stato di un certificato esistente, incluso lo stato del provisioning e altre informazioni dettagliate, completa i passaggi descritti in questa sezione.

Per completare questa attività, devi disporre di uno dei seguenti ruoli nel progetto Google Cloud di destinazione:

Certificate Manager Viewer
Certificate Manager Editor
Certificate Manager Owner

Per ulteriori informazioni, consulta Ruoli e autorizzazioni.

Console

Se nel tuo progetto sono presenti più di 10.000 certificati gestiti da Certificate Manager, la pagina Certificate Manager della console Google Cloud non può elencarli. In questi casi, utilizza il comando gcloud CLI per elencare i certificati. Tuttavia, se hai un link diretto alla pagina Dettagli del certificato, la pagina Gestione certificati nella console Google Cloud può visualizzare questi dettagli.

Nella console Google Cloud, vai alla pagina Gestione certificati.

Vai a Gestore certificati
Nella pagina visualizzata, seleziona la scheda Certificati.
Nella scheda Certificati, vai al certificato di destinazione e fai clic sul nome del certificato.

La pagina Dettagli del certificato mostra informazioni dettagliate sul certificato selezionato.

(Facoltativo) Per visualizzare la risposta REST dell'API Certificate Manager per questo certificato, fai clic su REST equivalente.
(Facoltativo) Se al certificato è associata una configurazione per l'emissione del certificato che vuoi visualizzare, fai clic sul nome della configurazione per l'emissione del certificato associata nel campo Configurazione emissione.

La console Google Cloud mostra la configurazione completa della configurazione di emissione dei certificati.

gcloud

gcloud certificate-manager certificates describe CERTIFICATE_NAME \
    [--location="REGION"]

Sostituisci quanto segue:

CERTIFICATE_NAME: il nome del certificato di destinazione.
REGION: la regione Google Cloud di destinazione. Il valore predefinito è global. Questa impostazione è facoltativa.

API

Visualizza lo stato del certificato inviando una richiesta GET al metodo certificates.get come segue:

GET /v1/projects/PROJECT_ID/locations/REGION/certificates/CERTIFICATE_NAME

Sostituisci quanto segue:

PROJECT_ID: l'ID del progetto Google Cloud di destinazione.
REGION: la regione Google Cloud di destinazione.
CERTIFICATE_NAME: il nome del certificato di destinazione.

Eliminare un certificato

Per eliminare un certificato da Gestore dei certificati, completa i passaggi indicati in questa sezione. Prima di poter eliminare un certificato, devi rimuoverlo da tutte le voci della mappa dei certificati che fanno riferimento al certificato; in caso contrario, l'eliminazione non andrà a buon fine.

Per completare questa attività, devi disporre del ruolo Proprietario gestore dei certificati nel progetto Google Cloud di destinazione.

Per ulteriori informazioni, consulta Ruoli e autorizzazioni.

Console

Nella console Google Cloud, vai alla pagina Gestione certificati.

Vai a Gestore certificati
Nella scheda Certificati, seleziona la casella di controllo del certificato che vuoi eliminare.
Fai clic su Elimina.
Nella finestra di dialogo visualizzata, fai clic su Elimina per confermare.

gcloud

gcloud certificate-manager certificates delete CERTIFICATE_NAME \
   [--location="REGION"]

Sostituisci quanto segue:

CERTIFICATE_NAME: il nome del certificato di destinazione.
REGION: la regione Google Cloud di destinazione. Il valore predefinito è global. Questa impostazione è facoltativa.

API

Elimina il certificato inviando una richiesta DELETE al metodo certificates.delete come segue:

DELETE /v1/projects/PROJECT_ID/locations/REGION/certificates/CERTIFICATE_NAME

Sostituisci quanto segue:

PROJECT_ID: l'ID del progetto Google Cloud di destinazione.
REGION: la regione Google Cloud di destinazione.
CERTIFICATE_NAME: il nome del certificato di destinazione.

Gestisci certificati

Crea un certificato gestito da Google con autorizzazione del bilanciatore del carico

Console

gcloud

Terraform

API

Creare un certificato gestito da Google con autorizzazione DNS

Console

gcloud

Terraform

API

Creare un certificato gestito da Google emesso dal servizio CA

Configurare l'integrazione di CA Service con Certificate Manager

Console

gcloud

Creare un certificato gestito da Google emesso dall'istanza di CA Service

Console

gcloud

API

Crea un certificato gestito da Google a livello di regione emesso dal servizio CA

Configurare l'integrazione di CA Service con Certificate Manager

Console

gcloud

Crea un certificato gestito da Google a livello di regione emesso dal tuo servizio CA

Console

gcloud

API

Crea un certificato gestito da Google a livello di regione

Console

gcloud

Carica un certificato autogestito

Console

gcloud

Terraform

API

Aggiornare un certificato

gcloud

API

Elenco dei certificati

Console

gcloud

API

Visualizzare lo stato di un certificato

Console

gcloud

API

Eliminare un certificato

Console

gcloud

API

Passaggi successivi