Esegui il deployment di un certificato globale gestito da Google con autorizzazione DNS

Questo tutorial illustra la procedura di deployment dei certificati utilizzando un certificato gestito da Google con l'autorizzazione DNS come esempio.

I seguenti bilanciatori del carico supportano i certificati gestiti da Google con autorizzazione DNS:

Bilanciatore del carico delle applicazioni esterno globale
Bilanciatore del carico delle applicazioni classico
Bilanciatore del carico delle applicazioni interno tra regioni
Bilanciatore del carico di rete proxy esterno globale

Per un confronto dei tipi di autorizzazione del dominio supportati, consulta Autorizzazioni di dominio.

Se vuoi eseguire la migrazione di un certificato esistente a Gestore certificati, segui i passaggi descritti in Eseguire la migrazione dei certificati in Gestore certificati.

Obiettivi

Questo tutorial ti mostra come completare le attività seguenti:

Crea un certificato gestito da Google emesso da un'autorità di certificazione pubblicamente attendibile con autorizzazione DNS utilizzando Gestore certificati.
Esegui il deployment del certificato in un bilanciatore del carico supportato utilizzando un proxy HTTPS di destinazione.

Per ulteriori informazioni sul processo di deployment dei certificati, consulta Panoramica del deployment.

Prima di iniziare

Nella pagina del selettore di progetti della console Google Cloud, seleziona o crea un progetto Google Cloud.

Nota: se non prevedi di conservare le risorse create in questa procedura, crea un progetto anziché selezionarne uno esistente. Dopo aver completato questi passaggi, puoi eliminare il progetto, rimuovendo tutte le risorse associate.

Vai al selettore progetti
Per eseguire il deployment del certificato, è richiesta la versione 465.0.0 o successiva di gcloud CLI. Per verificare la tua versione dell'interfaccia a riga di comando gcloud, esegui questo comando:
```
gcloud --version
```
Per aggiornare gcloud CLI, esegui questo comando.
```
gcloud components update
```
Assicurati di disporre dei ruoli seguenti per completare le attività di questo tutorial:
- Proprietario gestore certificati: obbligatorio per creare e gestire le risorse di Certificate Manager.
- Amministratore bilanciatore del carico Compute o Amministratore rete Compute:necessario per creare e gestire il proxy di destinazione HTTPS.
- Amministratore DNS:è obbligatorio se vuoi utilizzare Cloud DNS come soluzione DNS.
Per ulteriori informazioni, consulta le seguenti risorse:
- Ruoli e autorizzazioni per Gestore certificati
- Autorizzazioni e ruoli IAM di Compute Engine per Compute Engine
- Controllo dell'accesso con IAM per Cloud DNS
Nota: se non ti vengono assegnati autorizzazioni o ruoli, richiedi i ruoli mancanti all'amministratore IAM (Identity and Access Management) che dispone del ruolo Amministratore IAM del progetto (roles/resourcemanager.projectIamAdmin).

Crea un certificato gestito da Google con autorizzazione DNS

Completa i passaggi in questa sezione per creare un'autorizzazione DNS e un certificato gestito da Google che faccia riferimento a questa autorizzazione DNS.

Crea un'autorizzazione DNS

Crea l'autorizzazione DNS come descritto in questa sezione. Se stai creando un'autorizzazione DNS per un certificato con caratteri jolly, ad esempio *.myorg.example.com, configura l'autorizzazione DNS per il dominio principale, ad esempio myorg.example.com.

gcloud

gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
   --domain="DOMAIN_NAME"
gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME

Per utilizzare l'autorizzazione DNS per progetto (anteprima), esegui questo comando:

gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
   --domain="DOMAIN_NAME" \
   --type="PER_PROJECT_RECORD"
gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME

Sostituisci quanto segue:

AUTHORIZATION_NAME: il nome dell'autorizzazione DNS.
DOMAIN_NAME: il nome del dominio per il quale stai creando questa autorizzazione DNS. Il nome di dominio deve essere un nome di dominio completo, come myorg.example.com.

Il comando restituisce un output simile al seguente. Utilizza il record CNAME dall'output per aggiungerlo alla configurazione DNS.

createTime: '2022-01-14T13:35:00.258409106Z'
dnsResourceRecord:
data: 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog.
name: _acme-challenge.myorg.example.com.
type: CNAME
domain: myorg.example.com
name: projects/myProject/locations/global/dnsAuthorizations/myAuthorization
updateTime: '2022-01-14T13:35:01.571086137Z'

Terraform

Per creare un'autorizzazione DNS, puoi utilizzare una risorsa google_certificate_manager_dns_authorization.

resource "google_certificate_manager_dns_authorization" "default" {
  name        = "${local.name}-dnsauth-${random_id.tf_prefix.hex}"
  description = "The default dns auth"
  domain      = local.domain
  labels = {
    "terraform" : true
  }
}

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base.

Aggiungere il record CNAME alla configurazione DNS

Se utilizzi Google Cloud per gestire il tuo DNS, completa i passaggi descritti in questa sezione. In caso contrario, consulta la documentazione della tua soluzione DNS di terze parti.

Prima di completare i passaggi descritti in questa sezione, assicurati di aver creato una zona DNS pubblica.

Quando crei un'autorizzazione DNS, il comando gcloud CLI restituisce il record CNAME corrispondente. Devi aggiungere questo record CNAME alla tua configurazione DNS nella zona DNS del dominio di destinazione, come indicato di seguito:

gcloud

Avvia la transazione del record DNS:

  gcloud dns record-sets transaction start --zone="DNS_ZONE_NAME"

Sostituisci DNS_ZONE_NAME con il nome della zona DNS di destinazione.

Aggiungi il record CNAME alla zona DNS di destinazione:

  gcloud dns record-sets transaction add CNAME_RECORD \
      --name="_acme-challenge.DOMAIN_NAME." \
      --ttl="30" \
      --type="CNAME" \
      --zone="DNS_ZONE_NAME"

Sostituisci quanto segue:

CNAME_RECORD: il valore completo dei dati del record CNAME restituito dal comando Google Cloud CLI che ha creato l'autorizzazione DNS corrispondente.
DOMAIN_NAME: il nome del dominio di destinazione. Il nome di dominio deve essere un nome di dominio completo, come myorg.example.com. Devi anche includere il punto finale dopo il nome di dominio di destinazione.
DNS_ZONE_NAME: il nome della zona DNS di destinazione.

Vedi l'esempio che segue:

  gcloud dns record-sets transaction add 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog. \
      --name="_acme-challenge.myorg.example.com." \
      --ttl="30" \
      --type="CNAME" \
      --zone="myorg-example-com"

Esegui la transazione del record DNS per salvare le modifiche:

  gcloud dns record-sets transaction execute --zone="DNS_ZONE_NAME"

Sostituisci DNS_ZONE_NAME con il nome della zona DNS di destinazione.

Terraform

Per aggiungere il record CNAME alla configurazione DNS, puoi utilizzare una risorsa google_dns_record_set.

resource "google_dns_record_set" "cname" {
  name         = google_certificate_manager_dns_authorization.default.dns_resource_record[0].name
  managed_zone = google_dns_managed_zone.default.name
  type         = google_certificate_manager_dns_authorization.default.dns_resource_record[0].type
  ttl          = 300
  rrdatas      = [google_certificate_manager_dns_authorization.default.dns_resource_record[0].data]
}

Crea un certificato gestito da Google che faccia riferimento all'autorizzazione DNS

Per creare un certificato gestito da Google che faccia riferimento all'autorizzazione DNS creata nei passaggi precedenti:

gcloud

Per un bilanciatore del carico delle applicazioni esterno globale, un bilanciatore del carico delle applicazioni classico o un bilanciatore del carico di rete con proxy esterno globale:

Esegui questo comando:

gcloud certificate-manager certificates create CERTIFICATE_NAME \
   --domains=DOMAIN_NAME \
   --dns-authorizations=AUTHORIZATION_NAME

Sostituisci quanto segue:

CERTIFICATE_NAME: un nome univoco del certificato.
DOMAIN_NAME: il dominio di destinazione del certificato. Il nome di dominio deve essere un nome di dominio completo, come myorg.example.com.
AUTHORIZATION_NAME: il nome dell'autorizzazione DNS che hai creato per questo certificato.

Per creare un certificato gestito da Google con un nome di dominio con caratteri jolly, utilizza il seguente comando. Un certificato per un nome di dominio con caratteri jolly copre tutti i sottodomini di primo livello di un determinato dominio.

gcloud certificate-manager certificates create CERTIFICATE_NAME \
   --domains="*.DOMAIN_NAME,DOMAIN_NAME" \
   --dns-authorizations=AUTHORIZATION_NAME

Sostituisci quanto segue:

CERTIFICATE_NAME: un nome univoco del certificato.
DOMAIN_NAME: il dominio di destinazione del certificato. Il prefisso del punto asterisco (*.) indica un certificato con caratteri jolly. Il nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
AUTHORIZATION_NAME: il nome dell'autorizzazione DNS che hai creato per questo certificato.

Per un bilanciatore del carico delle applicazioni interno tra regioni:

Esegui questo comando:

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains=DOMAIN_NAME \
    --dns-authorizations=AUTHORIZATION_NAME \
    --scope=all-regions

Sostituisci quanto segue:

CERTIFICATE_NAME: un nome univoco del certificato.
DOMAIN_NAME: il dominio di destinazione del certificato. Il nome di dominio deve essere un nome di dominio completo, come myorg.example.com.
AUTHORIZATION_NAME: il nome dell'autorizzazione DNS che hai creato per questo certificato.

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="*.DOMAIN_NAME,DOMAIN_NAME" \
    --dns-authorizations=AUTHORIZATION_NAME \
    --scope=all-regions

Sostituisci quanto segue:

CERTIFICATE_NAME: un nome univoco del certificato.
DOMAIN_NAME: il dominio di destinazione del certificato. Il prefisso del punto asterisco (*.) indica un certificato con caratteri jolly. Il nome di dominio deve essere un nome di dominio completo, come myorg.example.com.
AUTHORIZATION_NAME: il nome dell'autorizzazione DNS che hai creato per questo certificato.

Terraform

Utilizza una risorsa google_certificate_manager_certificate.

resource "google_certificate_manager_certificate" "root_cert" {
  name        = "${local.name}-rootcert-${random_id.tf_prefix.hex}"
  description = "The wildcard cert"
  managed {
    domains = [local.domain, "*.${local.domain}"]
    dns_authorizations = [
      google_certificate_manager_dns_authorization.default.id
    ]
  }
  labels = {
    "terraform" : true
  }
}

Verifica che il certificato sia attivo

Utilizza il comando seguente per verificare che il certificato sia attivo prima di eseguirne il deployment nel bilanciatore del carico. Possono trascorrere fino a diverse ore prima che lo stato del certificato passi a ACTIVE.

gcloud certificate-manager certificates describe CERTIFICATE_NAME

Sostituisci CERTIFICATE_NAME con il nome del certificato di destinazione gestito da Google.

Il comando restituisce un output simile al seguente:

certificatePem: myPEM
createTime: '2021-10-20T12:19:53.370778666Z'
expireTime: '2022-05-07T05:03:49Z'
managed:
  authorizationAttemptInfo:
  -   domain: myorg.example.com
    state: AUTHORIZED
  dnsAuthorizations:
  -   projects/my-project/locations/global/dnsAuthorizations/myAuth
  domains:
  -   myorg.example.com
  state: ACTIVE
name: projects/myProject/locations/global/certificates/myCert
scope: myScope
sanDnsnames:
-   myorg.example.com
updateTime: '2021-10-20T12:19:55.083385630Z'

esegui il deployment del certificato su un bilanciatore del carico

Questa sezione illustra i passaggi necessari per eseguire il deployment del certificato gestito da Google in un bilanciatore del carico.

Prima di procedere con le attività in questa sezione, assicurati di aver completato le attività elencate nella sezione Creare un certificato gestito da Google con autorizzazione DNS.

A seconda del tipo di bilanciatore del carico, puoi eseguire il deployment dei certificati come segue:

Per i seguenti bilanciatori del carico, esegui il deployment del certificato utilizzando una mappa di certificati:
- Bilanciatore del carico delle applicazioni esterno globale
- Bilanciatore del carico di rete proxy esterno globale
- Bilanciatore del carico delle applicazioni classico
Per il bilanciatore del carico delle applicazioni interno tra regioni, esegui il deployment del certificato collegandolo direttamente al proxy di destinazione.

Esegui il deployment del certificato utilizzando una mappa di certificati

Questa sezione descrive i passaggi per eseguire il deployment di un certificato utilizzando una mappa di certificati.

Crea una mappa di certificati

Crea una mappa di certificati che fa riferimento alla voce della mappa di certificati associata al tuo certificato:

gcloud

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

Sostituisci CERTIFICATE_MAP_NAME con il nome della mappa dei certificati di destinazione.

Terraform

Per creare una mappa di certificati, puoi utilizzare una risorsa google_certificate_manager_certificate_map.

resource "google_certificate_manager_certificate_map" "certificate_map" {
  name        = "${local.name}-certmap-${random_id.tf_prefix.hex}"
  description = "${local.domain} certificate map"
  labels = {
    "terraform" : true
  }
}

Crea una voce della mappa di certificati

Crea una voce della mappa dei certificati e associala al tuo certificato e alla tua mappa dei certificati:

gcloud

gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
   --map="CERTIFICATE_MAP_NAME" \
   --certificates="CERTIFICATE_NAME" \
   --hostname="HOSTNAME"

Sostituisci quanto segue:

CERTIFICATE_MAP_ENTRY_NAME: nome univoco della voce della mappa dei certificati
CERTIFICATE_MAP_NAME: il nome della mappa di certificati a cui è allegata la voce della mappa di certificati
CERTIFICATE_NAME: il nome del certificato da associare a questa voce della mappa di certificati
HOSTNAME: il nome host da associare a questa voce della mappa di certificati

Terraform

Per creare una voce della mappa di certificati, puoi utilizzare una risorsa google_certificate_manager_certificate_map_entry.

resource "google_certificate_manager_certificate_map_entry" "first_entry" {
  name        = "${local.name}-first-entry-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = local.domain
}

Verifica che la voce della mappa di certificati sia attiva

Usa il comando seguente per verificare che la voce della mappa di certificati sia attiva prima di collegare la mappa di certificati corrispondente al proxy di destinazione:

gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"

Sostituisci quanto segue:

CERTIFICATE_MAP_ENTRY_NAME: il nome della voce della mappa dei certificati di destinazione
CERTIFICATE_MAP_NAME: il nome della mappa di certificati a cui è allegata la voce della mappa di certificati

Il comando restituisce un output simile al seguente:

createTime: '2021-09-06T10:01:56.229472109Z'
name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/myCertMapEntry
state: ACTIVE
updateTime: '2021-09-06T10:01:58.277031787Z'

Collega la mappa di certificati al proxy di destinazione

Collega la mappa di certificati configurata al proxy di destinazione:

gcloud

Nella console Google Cloud, vai alla pagina Proxy di destinazione.

Vai a Proxy di destinazione
Prendi nota del nome del proxy di destinazione.
Collega la mappa di certificati al proxy di destinazione:

  gcloud compute target-https-proxies update PROXY_NAME \
      --certificate-map="CERTIFICATE_MAP_NAME" \
      --global

Sostituisci quanto segue:

PROXY_NAME: il nome del proxy di destinazione.
CERTIFICATE_MAP_NAME: il nome della mappa di certificati che fa riferimento alla voce della mappa e al certificato associato.

Terraform

Per collegare la mappa di certificati al proxy di destinazione, puoi utilizzare una risorsa google_compute_target_https_proxy.

Se esistono certificati TLS (SSL) esistenti collegati direttamente al proxy, il proxy dà la priorità ai certificati a cui fa riferimento la mappa di certificati rispetto ai certificati TLS (SSL) direttamente collegati.

Collega il certificato direttamente al proxy di destinazione

Per collegare il certificato direttamente al proxy, esegui questo comando:

gcloud compute target-https-proxies update PROXY_NAME \
    --url-map=URL_MAP \
    --global \
    --certificate-manager-certificates=CERTIFICATE_NAME

Sostituisci quanto segue:

PROXY_NAME: un nome univoco del proxy.
URL_MAP: il nome della mappa URL. Hai creato la mappa URL quando hai creato il bilanciatore del carico.
CERTIFICATE_NAME: il nome del certificato.

Esegui la pulizia

Per ripristinare le modifiche apportate in questo tutorial, completa i seguenti passaggi:

Scollega la mappa di certificati dal proxy.

Prima di scollegare la mappa di certificati, tieni presente quanto segue:
- Se erano presenti certificati TLS (SSL) collegati direttamente al proxy, scollegando la mappa di certificati, il proxy riprenderà a utilizzare i certificati TLS (SSL) collegati direttamente.
- Se non sono stati collegati certificati TLS (SSL) direttamente al proxy, la mappa di certificati non può essere scollegata dal proxy. Devi collegare almeno un certificato TLS (SSL) direttamente al proxy prima di poter scollegare la mappa di certificati.
Per scollegare la mappa di certificati, esegui questo comando:
```
gcloud compute target-https-proxies update PROXY_NAME \
   --clear-certificate-map
```
Sostituisci PROXY_NAME con il nome del proxy di destinazione.
Elimina la voce della mappa di certificati dalla mappa:
```
gcloud certificate-manager maps entries delete CERTIFICATE_MAP_ENTRY_NAME \
   --map="CERTIFICATE_MAP_NAME"
```
Sostituisci quanto segue:
- CERTIFICATE_MAP_ENTRY_NAME: il nome della voce della mappa dei certificati di destinazione.
- CERTIFICATE_MAP_NAME: il nome della mappa di certificati di destinazione.
Elimina la mappa di certificati:
```
gcloud certificate-manager maps delete CERTIFICATE_MAP_NAME
```
Sostituisci CERTIFICATE_MAP_NAME con il nome della mappa dei certificati di destinazione.
Elimina il certificato gestito da Google:
```
gcloud certificate-manager certificates delete CERTIFICATE_NAME
```
Sostituisci CERTIFICATE_NAME con il nome del certificato di destinazione.
Elimina l'autorizzazione DNS:
```
gcloud certificate-manager dns-authorizations delete AUTHORIZATION_NAME
```
Sostituisci AUTHORIZATION_NAME con il nome dell'autorizzazione DNS di destinazione.

Esegui il deployment di un certificato globale gestito da Google con autorizzazione DNS

Obiettivi

Prima di iniziare

Crea un certificato gestito da Google con autorizzazione DNS

Crea un'autorizzazione DNS

gcloud

Terraform

Aggiungere il record CNAME alla configurazione DNS

gcloud

Terraform

Crea un certificato gestito da Google che faccia riferimento all'autorizzazione DNS

gcloud

Terraform

Verifica che il certificato sia attivo

esegui il deployment del certificato su un bilanciatore del carico

Esegui il deployment del certificato utilizzando una mappa di certificati

Crea una mappa di certificati

gcloud

Terraform

Crea una voce della mappa di certificati

gcloud

Terraform

Verifica che la voce della mappa di certificati sia attiva

Collega la mappa di certificati al proxy di destinazione

gcloud

Terraform

Collega il certificato direttamente al proxy di destinazione

Esegui la pulizia

Passaggi successivi