Regionales von Google verwaltetes Zertifikat mit Certificate Authority Service bereitstellen

---

Vorschau

Dieses Produkt oder diese Funktion unterliegt den „Nutzungsbedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Nutzungsbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA-Produkte und -Funktionen sind unverändert verfügbar und werden möglicherweise nur eingeschränkt unterstützt. Weitere Informationen finden Sie in den Beschreibungen der Startphase.

In dieser Anleitung wird beschrieben, wie Sie mit dem Zertifikatmanager einem regionalen von Google verwalteten Zertifikat mit CA Service an einen regionalen externen Application Load Balancer oder einen regionalen internen Application Load Balancer.

Lernziele

In diesem Anleitung werden die folgenden Aufgaben erläutert:

• Erstellen Sie ein von Google verwaltetes Zertifikat mit CA Service mithilfe von Zertifikatmanager.
• Zertifikat mithilfe eines Ziel-HTTPS für einen unterstützten Load-Balancer bereitstellen Proxy.

Weitere Informationen zur Bereitstellung von Zertifikaten finden Sie unter Bereitstellungsübersicht.

Hinweise

1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

2. Sie benötigen die folgenden Rollen, um die Aufgaben in diesem Anleitung:

   • Certificate Manager Owner (Inhaber des Zertifikatsmanagers): Erforderlich zum Erstellen und Zertifikatmanager-Ressourcen verwalten können.
   • Administrator für Compute-Load-Balancer: Erforderlich zum Erstellen und Verwalten von HTTPS Zielproxy.
   • CA Service Admin: Erforderlich, um Aktionen in CA-Dienst.

   Hier finden Sie weitere Informationen:

   • Rollen und Berechtigungen für Zertifikatmanager
   • Compute Engine IAM-Rollen und Berechtigungen für Compute Engine
   • Berechtigungen und Rollen für CA Service
   Hinweis: Wenn Ihnen die Berechtigungen oder Rollen nicht zugewiesen sind, wenden Sie sich an den IAM-Administrator mit der Rolle „Projekt-IAM-Administrator“ (roles/resourcemanager.projectIamAdmin), um die fehlenden Rollen anzufordern.

3. Certificate Manager API aktivieren

4. Aktivieren Sie die CA Service API.

5. Erstellen Sie einen CA-Pool. Sie müssen zuerst erstellen und aktivieren mindestens eine Zertifizierungsstelle in diesem Zertifizierungsstellenpool vorhanden ist.

Einbindung von CA Service in Certificate Manager konfigurieren

Konfigurieren Sie den Zertifikatmanager für die Integration mit CA Service:

1. Zertifikatmanager-Dienstkonto im Ziel erstellen Google Cloud-Projekt:

   gcloud beta services identity create \
       --service=certificatemanager.googleapis.com \
       --project=PROJECT_ID
   

   Ersetzen Sie PROJECT_ID durch die ID des Ziels. Google Cloud-Projekt

Der Befehl gibt den Namen der erstellten Dienstidentität zurück, wie in den folgendes Beispiel:

[e-mail]

1. Weisen Sie dem Dienstkonto des Zertifikatmanagers die Rolle „CA Service Certificate Requester“ im CA-Zielpool zu:

   gcloud privateca pools add-iam-policy-binding CA_POOL \
       --location LOCATION \
       --member "serviceAccount:SERVICE_ACCOUNT" \
       --role roles/privateca.certificateRequester
   

   Ersetzen Sie Folgendes:

   • CA_POOL: die ID des CA-Zielpools.
   • LOCATION: der Google Cloud-Zielstandort. Ich muss denselben Standort wie der CA-Pool und die Zertifikatsausstellung angeben Konfigurationsressource und verwaltetes Zertifikat.
   • SERVICE_ACCOUNT: der vollständige Name des Dienstkontos die Sie in Schritt 1 erstellt haben.

2. Erstellen Sie eine Konfigurationsressource für die Zertifikatsausstellung für den CA-Pool:

   gcloud beta certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
       --ca-pool=CA_POOL \
       --location=LOCATION> \
       [--lifetime=CERTIFICATE_LIFETIME] \
       [--rotation-window-percentage=ROTATION_WINDOW_PERCENTAGE] \
       [--key-algorithm=KEY_ALGORITHM]
   

   Ersetzen Sie Folgendes:

   • ISSUANCE_CONFIG_NAME: der eindeutige Name der Konfigurationsressource der Zertifikatsausstellung.
   • CA_POOL: der vollständige Ressourcenpfad und der Name der Zertifizierungsstelle Pool, den Sie dieser Konfigurationsressource für die Zertifikatsausstellung zuweisen möchten.
   • LOCATION: der Google Cloud-Zielstandort. Ich muss denselben Standort wie der CA-Pool und die Zertifikatsausstellung angeben Konfigurationsressource und verwaltetes Zertifikat.
   • CERTIFICATE_LIFETIME: die Lebensdauer des Zertifikats in Tage. Gültige Werte sind 21 bis 30 Tage im Standardformat für die Dauer. Die Standardeinstellung beträgt 30 Tage. (30D). Diese Einstellung ist optional.
   • ROTATION_WINDOW_PERCENTAGE: der Prozentsatz der Lebensdauer des Zertifikats, ab der die Verlängerung ausgelöst wird. Der Standardwert ist 66 Prozent. Sie müssen den Prozentsatz des Rotationsfensters im Verhältnis zum Lebensdauer des Zertifikats, sodass die Zertifikatsverlängerung mindestens 7 Tage dauert nach Ausstellung des Zertifikats und mindestens 7 Tage vor der Ausstellung verfällt. Diese Einstellung ist optional.
   • KEY_ALGORITHM: der für die Verarbeitung verwendete Verschlüsselungsalgorithmus den privaten Schlüssel generieren. Gültige Werte sind ecdsa-p256 und rsa-2048. Der Standardwert ist rsa-2048. Diese Einstellung ist optional.

Weitere Informationen zu Konfigurationsressourcen für die Zertifikatsausstellung finden Sie unter Konfigurationen der Zertifikatsausstellung verwalten

Regionales von Google verwaltetes Zertifikat erstellen

Erstellen Sie ein regionales, von Google verwaltetes Zertifikat, das von Ihrem CA-Dienst, der die Konfigurationsressource für die Zertifikatsausstellung verwendet die im vorherigen Schritt erstellt wurden:

Console

1. Rufen Sie in der Google Cloud Console die Seite Zertifikatmanager auf.

   Zum Zertifikatmanager

2. Wählen Sie auf der angezeigten Seite den Tab Zertifikate aus.

3. Klicken Sie auf Zertifikat hinzufügen.

4. Geben Sie einen Namen für das Zertifikat ein.

   Dieser Name muss für das Projekt eindeutig sein.

5. Optional: Geben Sie eine Beschreibung für das Zertifikat ein. Die Beschreibung können Sie später ein bestimmtes Zertifikat identifizieren.

6. Wählen Sie für Standort die Option Regional aus.

7. Wählen Sie in der Liste Region eine Region aus.

8. Wählen Sie für Zertifikatstyp die Option Von Google verwaltetes Zertifikat erstellen aus.

9. Wählen Sie als Typ der Zertifizierungsstelle die Option Privat aus.

10. Geben Sie die Domainnamen für das Zertifikat an. Durch Kommas getrennte Werte eingeben Liste der Zieldomains. Außerdem muss jeder Domainname ein voll qualifizierter Domainname, z. B. myorg.example.com.

11. Wählen Sie unter Konfiguration der Zertifikatsausstellung den Namen des Zertifikats aus. Konfigurationsressource der Ausstellung, die auf den CA-Zielpool verweist.

12. Geben Sie ein Label an, das mit dem Zertifikat verknüpft werden soll. Sie können mehrere Labels hinzufügen. Um ein Label hinzuzufügen, klicken Sie auf das Label hinzufügen und legen Sie key und value für das Label fest.

13. Klicken Sie auf Erstellen. Prüfen Sie, ob das neue Zertifikat in der Liste der Zertifikate angezeigt wird.

gcloud

Führen Sie dazu diesen Befehl aus:

gcloud beta certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAMES" \
    --issuance-config="ISSUANCE_CONFIG_NAME" \
    --location="LOCATION"

Ersetzen Sie Folgendes:

• CERTIFICATE_NAME: Ein eindeutiger Name des Zertifikats.
• DOMAIN_NAMES: eine durch Kommas getrennte Liste des Ziels Domains für dieses Zertifikat. Jeder Domainname muss ein vollständig qualifizierter Domainname, z. B. myorg.example.com.
• ISSUANCE_CONFIG_NAME: der Name des Zertifikats Konfigurationsressource der Ausstellung, die auf den CA-Zielpool verweist.
• LOCATION: der Google Cloud-Zielstandort. Ich muss denselben Standort wie der CA-Pool und die Zertifikatsausstellung angeben Konfigurationsressource und verwaltetes Zertifikat.

API

Erstellen Sie das Zertifikat, indem Sie eine POST-Anfrage an den certificates.create-Methode so:

POST /v1/projects/PROJECT_ID/locations/LOCATION/certificates?certificate_id=CERTIFICATE_NAME"
{
 name: "/projects/example-project/locations/LOCATION/certificates/my-cert",
 "managed": {
  "domains": ["DOMAIN_NAME"],
  "issuanceConfig": "ISSUANCE_CONFIG_NAME",
 },
}

Ersetzen Sie Folgendes:

• PROJECT_ID: die ID des Google Cloud-Zielprojekts.
• LOCATION: der Google Cloud-Zielstandort. Ich muss denselben Standort wie der CA-Pool und die Zertifikatsausstellung angeben Konfigurationsressource und verwaltetes Zertifikat.
• CERTIFICATE_NAME: Ein eindeutiger Name des Zertifikats.
• DOMAIN_NAME: die Zieldomain für dieses Zertifikat. Der Domainname muss ein vollständig qualifizierter Domainname sein, z. B. example.com, www.example.com.
• ISSUANCE_CONFIG_NAME: der Name des Zertifikats Konfigurationsressource der Ausstellung, die auf den CA-Zielpool verweist.

Eine Übersicht über den Prozess der Zertifikatsbereitstellung finden Sie unter Bereitstellung Übersicht.

Prüfen, ob das Zertifikat aktiv ist

Prüfen Sie mit dem folgenden Befehl, ob das Zertifikat selbst aktiv ist, bevor Sie es auf dem Load-Balancer bereitstellen. Es kann einige Minuten dauern, bis der Zertifikatstatus, der in ACTIVE geändert werden soll.

gcloud beta certificate-manager certificates describe CERTIFICATE_NAME \
    --location=LOCATION

Ersetzen Sie Folgendes:

• CERTIFICATE_NAME: Ein eindeutiger Name des Zertifikats.
• LOCATION: der Google Cloud-Zielstandort. Ich muss denselben Standort wie der CA-Pool und die Zertifikatsausstellung angeben Konfigurationsressource und verwaltetes Zertifikat.

Die Ausgabe des Befehls sieht in etwa so aus:

createTime: '2021-10-20T12:19:53.370778666Z'
expireTime: '2022-05-07T05:03:49Z'
managed:
domains:
-   myorg.example.com
issuanceConfig: projects/myproject/locations/mylocation/issuanceConfigs/myissuanceConfig
state: ACTIVE
name: projects/myproject/locations/mylocation/certificates/mycertificate
pemCertificate: |
  -----BEGIN CERTIFICATE-----
  [...]
  -----END CERTIFICATE-----
sanDnsnames:
  -   myorg.example.com
updateTime: '2021-10-20T12:19:55.083385630Z'

Regionales von Google verwaltetes Zertifikat für einen Load-Balancer bereitstellen

Erstellen Sie einen HTTPS-Zielproxy, um das regionale von Google verwaltete Zertifikat bereitzustellen und hängen Sie das Zertifikat an.

HTTPS-Zielproxy erstellen

Führen Sie den folgenden Befehl aus, um den HTTPS-Zielproxy zu erstellen und das Zertifikat anzuhängen: Befehl:

gcloud compute target-https-proxies create PROXY_NAME \
    --url-map=URL_MAP \
    --region=REGION \
    --certificate-manager-certificates=CERTIFICATE_NAME

Ersetzen Sie Folgendes:

• PROXY_NAME: Ein eindeutiger Name des Proxys.
• URL_MAP ist der Name der URL-Zuordnung. Sie haben die URL-Zuordnung erstellt beim Erstellen des Lastenausgleichsmoduls.
• REGION: die Region, in der Sie das HTTPS erstellen Zielproxy.
• CERTIFICATE_NAME: der Name des Zertifikats.

Führen Sie den folgenden Befehl aus, um zu prüfen, ob der Zielproxy erstellt wurde:

gcloud compute target-https-proxies list

Erstellen Sie eine Weiterleitungsregel.

Richten Sie eine Weiterleitungsregel ein und schließen Sie die Einrichtung des Load-Balancers ab.

• Wenn Sie einen regionalen externen Application Load Balancer verwenden, lesen Sie den Abschnitt Regionalen externen Application Load Balancer mit VM-Instanzgruppen-Back-Ends einrichten
• Wenn Sie einen regionalen internen Application Load Balancer verwenden, lesen Sie den Abschnitt Regionalen internen Application Load Balancer mit VM-Instanzgruppen-Back-Ends einrichten

Bereinigen

Führen Sie die folgenden Schritte aus, um die Änderungen, die Sie in dieser Anleitung vorgenommen haben, rückgängig zu machen. Schritte:

1. Löschen Sie das von Google verwaltete Zertifikat:

   Console

   1. Rufen Sie in der Google Cloud Console die Seite Zertifikatmanager auf.

      Zum Zertifikatmanager

   2. Klicken Sie auf dem Tab Zertifikate das Kästchen der Zertifikat.

   3. Klicken Sie auf Löschen.

   4. Klicken Sie im angezeigten Dialogfeld zur Bestätigung auf Löschen.

   gcloud

   gcloud certificate-manager certificates delete CERTIFICATE_NAME \
       --location=LOCATION
   

   Ersetzen Sie Folgendes:

   • CERTIFICATE_NAME: der Name des Zertifikats
   • LOCATION: der Google Cloud-Zielstandort

2. Löschen Sie die Konfigurationsressource für die Zertifikatsausstellung:

   Console

   1. Rufen Sie in der Google Cloud Console die Seite Zertifikatmanager auf.

      Zum Zertifikatmanager

   2. Klicken Sie auf dem Tab Issuance Configs (Ausgabekonfigurationen) das Kästchen neben Ausstellungskonfiguration.

   3. Klicken Sie auf Löschen.

   4. Klicken Sie im angezeigten Dialogfeld zur Bestätigung auf Löschen.

   gcloud

   gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME \
       --location=LOCATION
   

   Ersetzen Sie Folgendes:

   • ISSUANCE_CONFIG_NAME: der Name der Ausstellung konfigurieren
   • LOCATION: der Google Cloud-Zielstandort

3. Löschen Sie den Zertifizierungsstellenpool wie unter Zertifizierungsstelle löschen Pool hinzu.

   Zum Deaktivieren der zuletzt aktivierten Zertifizierungsstelle im Zertifizierungsstellenpool auf die in der Konfigurationsressource für die Zertifikatsausstellung verwiesen wird, oder löschen Sie die referenzierte CA-Pool insgesamt müssen Sie zuerst jede Konfigurationsressource für die Zertifikatsausstellung löschen, die auf diesen CA-Pool verweist.

Fehlerbehebung

Schritte zur Fehlerbehebung finden Sie unter Probleme im Zusammenhang mit Zertifikaten, die von einem CA Service-Instanz.

Nächste Schritte

• Zertifikate verwalten
• Zertifikate zum Zertifikatmanager migrieren