此页面由 Cloud Translation API 翻译。

部署具有负载均衡器授权的全球 Google 管理的证书

本教程将介绍如何使用由 Google 管理的证书和负载均衡器来完成证书部署流程 “授权”作为示例。

要对比受支持的网域授权类型，请参阅网域授权。

以下负载平衡器支持带有负载的 Google 管理的证书进行负载均衡：

全球外部应用负载均衡器
传统应用负载均衡器
全局外部代理网络负载均衡器

如果您想要将现有证书迁移到证书管理器，请执行以下操作：按照将证书迁移到 Certificate Manager。

目标

本教程介绍如何完成以下任务：

使用使用 Certificate Manager 对负载均衡器进行授权。
使用目标 HTTPS 将证书部署到受支持的负载均衡器代理。

如需详细了解证书部署过程，请参阅部署概览。

如果您按照本教程中的步骤为请注意，该域会在配置证书时中断，在相应的负载均衡器上激活。

准备工作

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector
请确保您拥有以下角色，以便完成本教程：
- Certificate Manager Owner：创建和管理 Certificate Manager 资源。
- Compute Load Balancer Admin 或 Compute Network Admin：必填创建和管理 HTTPS 目标代理。
- DNS Administrator：如果您要将 Cloud DNS 用作您的 DNS 解决方案。
详情请参阅以下内容：
- 角色和权限：证书管理器
- Compute Engine IAM 角色权限
- 使用 IAM 进行访问权限控制 Cloud DNS
注意：如果您没有获得这些权限或角色，请联系拥有项目 IAM 的 IAM 管理员管理员角色 (roles/resourcemanager.projectIamAdmin) 可以请求缺少角色。

创建具有负载均衡器授权的 Google 管理的证书

如需创建具有负载均衡器授权的 Google 管理的证书，请执行以下操作：完成本部分中的步骤

如需为证书指定多个域名，请提供以英文逗号分隔的证书证书的目标域名列表。

如需了解详情，请参阅权限和角色。

控制台

在 Google Cloud 控制台中，前往 Certificate Manager 页面。

前往“证书管理器”
在显示的页面上，选择证书标签页。
点击添加证书。
输入证书的名称。

该名称在项目中必须是唯一的。
可选：输入证书的说明。说明可帮助您稍后识别特定证书。
对于位置，选择全局。
对于范围，选择默认。
对于证书类型，选择创建 Google 管理的证书。
对于证书授权机构类型，选择公开。
指定证书的域名。请输入以英文逗号分隔目标网域的列表。此外，每个域名都必须是域名，例如 myorg.example.com。
对于授权类型，选择负载平衡器授权。
指定要与证书关联的标签。您可以添加多个标签（如果需要）。要添加标签，请点击 添加标签按钮，然后为标签指定 key 和 value。
点击创建。验证新证书是否显示在证书列表中。

gcloud

gcloud certificate-manager certificates create CERTIFICATE_NAME \
--domains="DOMAIN_NAMES"

替换以下内容：

CERTIFICATE_NAME：证书的唯一名称。
DOMAIN_NAMES：以英文逗号分隔的目标列表该证书的网域。每个域名都必须是完全限定的域名域名，例如 myorg.example.com。

Terraform

使用 google_certificate_manager_certificate 资源。

resource "google_certificate_manager_certificate" "default" {
  name        = "${local.name}-rootcert-${random_id.tf_prefix.hex}"
  description = "Cert with LB authorization"
  managed {
    domains = [local.domain]
  }
  labels = {
    "terraform" : true
  }
}

如需了解如何应用或移除 Terraform 配置，请参阅基本 Terraform 命令。

API

通过向 POST 请求创建证书 certificates.create 方法，如下所示：

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME"
{
 "managed": {
  "domains": ["DOMAIN_NAME"],
 }
}

替换以下内容：

PROJECT_ID：目标 Google Cloud 项目的 ID。
CERTIFICATE_NAME：描述此内容的唯一名称证书。
DOMAIN_NAME：此证书的目标网域。域名必须是完全限定域名，例如 myorg.example.com.

有关证书部署流程的概述，请参阅部署概览。

将证书部署到负载均衡器

完成本部分中的步骤即可部署添加到负载均衡器。

创建证书映射

创建一个证书映射，引用证书映射与您的 Ad Exchange 条目关联的条目证书。

gcloud

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

将 CERTIFICATE_MAP_NAME 替换为目标的名称证书映射。

Terraform

使用 google_certificate_manager_certificate_map 资源。

resource "google_certificate_manager_certificate_map" "default" {
  name        = "${local.name}-certmap1-${random_id.tf_prefix.hex}"
  description = "${local.domain} certificate map"
  labels = {
    "terraform" : true
  }
}

创建证书映射条目

创建证书映射条目并将其与您的证书为以及您的证书映射。

gcloud

gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME" \
    --certificates="CERTIFICATE_NAME" \
    --hostname="HOSTNAME"

替换以下内容：

CERTIFICATE_MAP_ENTRY_NAME：证书映射条目
CERTIFICATE_MAP_NAME：证书映射的名称此证书映射条目附加到
CERTIFICATE_NAME：您要创建的证书的名称希望与此证书映射条目相关联
HOSTNAME：您要关联的主机名包含此证书映射条目

Terraform

使用 google_certificate_manager_certificate_map_entry 资源。

resource "google_certificate_manager_certificate_map_entry" "default" {
  name        = "${local.name}-first-entry-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.default.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.default.id]
  hostname     = local.domain
}

验证证书映射条目是否处于活跃状态

在将相应的证书映射关联到目标代理之前，请使用以下命令验证证书映射条目是否处于活跃状态：

gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"

替换以下内容：

CERTIFICATE_MAP_ENTRY_NAME：目标的名称证书映射条目
CERTIFICATE_MAP_NAME：映射到的证书的名称该证书映射条目会附加

该命令会返回类似于以下内容的输出：

certificates:
createTime: '2021-09-06T10:01:56.229472109Z'
hostname: example.com
name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/myCertMapEntry
state: ACTIVE
updateTime: '2021-09-06T10:01:58.277031787Z'

将证书映射附加到目标代理

将已配置的证书映射附加到目标代理。

控制台

在 Google Cloud 控制台中，转到目标代理页面。

前往“目标”页面指标

请记下目标代理的名称。
将证书映射附加到目标代理：

   gcloud compute target-https-proxies update PROXY_NAME \
       --certificate-map="CERTIFICATE_MAP_NAME"

替换以下内容：

*   `PROXY_NAME`: the name of the target proxy
*   `CERTIFICATE_MAP_NAME`: the name of the certificate
    map referencing your certificate map entry and its associated
    certificate

Terraform

使用 google_compute_target_https_proxy 资源。

resource "google_compute_target_https_proxy" "default" {
  name            = "test-proxy"
  certificate_map = "//certificatemanager.googleapis.com/${google_certificate_manager_certificate_map.default.id}"
  url_map         = google_compute_url_map.default.id
}

如果有任何现有的 TLS (SSL) 证书直接附加到代理，代理会优先考虑证书映射引用的证书通过直接附加的 TLS (SSL) 证书进行验证。

等待证书激活

将证书附加到目标代理后，最多可能需要数小时后，证书才会颁发，其状态变为 ACTIVE.一旦状态为 ACTIVE，加载过程最多可能需要 30 分钟开始使用该证书

使用以下命令检查证书的状态：

gcloud certificate-manager certificates describe CERTIFICATE_NAME

将 CERTIFICATE_NAME 替换为目标的名称 Google 管理的证书。

该命令会返回类似于以下内容的输出：

createTime: '2021-10-20T12:19:53.370778666Z'
expireTime: '2022-05-07T05:03:49Z'
managed:
  authorizationAttemptInfo:
  -   domain: myorg.example.com
    state: AUTHORIZED
  domains:
  -   myorg.example.com
    state: ACTIVE
name: projects/myProject/locations/global/certificates/myCert
sanDnsnames:
  -   myorg.example.com
updateTime: '2021-10-20T12:19:55.083385630Z'

如果证书状态在几个小时后仍未更改为 ACTIVE，请检查以下：

引用此证书的证书映射已附加到正确的目标代理，如将证书映射附加到代理中所述。
如前所述，目标代理已连接到正确的负载均衡器请参阅验证目标代理关联。
- 目标网域的 DNS 配置指向目标负载如更新 DNS A 和 AAAA 记录所述，指向负载均衡器的 IP 地址地址。

如需了解更多问题排查步骤，请参阅 SSL 问题排查证书。

清理

如需还原您在本教程中所做的更改，请完成以下操作步骤：

从代理中分离证书映射。

在分离证书映射之前，请注意以下事项：
- 如果有任何 TLS (SSL) 证书直接附加到代理，分离证书映射会导致代理继续使用这些证书直接附加的 TLS (SSL) 证书。
- 如果没有直接附加到代理的 TLS (SSL) 证书，证书映射无法与代理分离。您必须先将将至少一个 TLS (SSL) 证书直接发送到代理，然后才能分离证书映射。
如需分离证书映射，请运行以下命令：
```
gcloud compute target-https-proxies update PROXY_NAME \
   --clear-certificate-map
```
从证书映射中删除证书映射条目：
```
gcloud certificate-manager maps entries delete CERTIFICATE_MAP_ENTRY_NAME \
  --map="CERTIFICATE_MAP_NAME"
```
替换以下内容：
- CERTIFICATE_MAP_ENTRY_NAME：目标的名称证书映射条目
- CERTIFICATE_MAP_NAME：目标的名称证书映射
删除证书映射：
```
gcloud certificate-manager maps delete CERTIFICATE_MAP_NAME
```
将 CERTIFICATE_MAP_NAME 替换为目标的名称证书映射。
删除 Google 管理的证书：
```
gcloud certificate-manager certificates delete CERTIFICATE_NAME
```
将 CERTIFICATE_NAME 替换为目标的名称证书。

部署具有负载均衡器授权的全球 Google 管理的证书

目标

准备工作

创建具有负载均衡器授权的 Google 管理的证书

控制台

gcloud

Terraform

API

将证书部署到负载均衡器

创建证书映射

gcloud

Terraform

创建证书映射条目

gcloud

Terraform

验证证书映射条目是否处于活跃状态

将证书映射附加到目标代理

控制台

Terraform

等待证书激活

清理

后续步骤