このページは Cloud Translation API によって翻訳されました。

ロードバランサ認証を使用してグローバル Google マネージド証明書をデプロイする

このチュートリアルでは、Certificate Manager を使用して、ロードバランサの承認でグローバル Google マネージド証明書をデプロイする方法について説明します。

ロードバランサの承認は、Google マネージド証明書を取得する最も効率的な方法です。DNS 構成をクリーンな状態に保ち、構成が完了した後に TLS 証明書をプロビジョニングします。

次のロードバランサは、ロードバランサの承認を使用した Google マネージド証明書をサポートしています。

グローバル外部アプリケーションロードバランサ
従来のアプリケーションロードバランサ
グローバル外部プロキシネットワークロードバランサ

目標

このチュートリアルでは、次のタスクを行う方法を説明します。

Certificate Manager を使用して、ロードバランサの承認で公的に信頼できる認証局（CA）によって発行された Google マネージド証明書を作成します。
ターゲット HTTPS プロキシを使用して、サポートされているロードバランサに証明書をデプロイします。

本番環境ドメインに証明書をデプロイする場合、ロードバランサで証明書が設定されて有効になる間、トラフィックが短時間中断されます。

始める前に

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Make sure that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager APIs.

Enable the APIs

Install the Google Cloud CLI.

To initialize the gcloud CLI, run the following command:

gcloud init

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running

gcloud components
      update

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Make sure that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager APIs.

Enable the APIs

Install the Google Cloud CLI.

To initialize the gcloud CLI, run the following command:

gcloud init

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running

gcloud components
      update

必要なロール

このチュートリアルのタスクを完了するための次のロールがあることを確認してください。

Certificate Manager オーナー（roles/certificatemanager.owner）: Certificate Manager リソースの作成と管理に必要です。
Compute ロードバランサ管理者（roles/compute.loadBalancerAdmin）または Compute ネットワーク管理者（roles/compute.networkAdmin）: HTTPS ターゲットプロキシの作成と管理に必要です。

DNS 管理者（roles/dns.admin）: DNS ソリューションとして Cloud DNS を使用する場合に必要です。

詳しくは以下をご覧ください。

Certificate Manager のロールと権限。
Compute Engine の Compute Engine の IAM ロールと権限。

Cloud DNS のロールと権限。

ドメイン名

証明書を作成するには、所有するドメインの完全修飾ドメイン名（FQDN）を取得します。ドメインがない場合は、Cloud Domains を使用してドメインを登録できます。

ロードバランサを作成する

このチュートリアルでは、ロードバランサのバックエンド、ヘルスチェック、バックエンドサービス、URL マップをすでに作成して構成していることを前提としています。外部アプリケーションロードバランサを作成した場合は、このチュートリアルの後半で必要になるため、URL マップの名前をメモしておきます。

ロードバランサを作成していない場合は、次のページを参照して作成してください。

グローバル外部アプリケーションロードバランサを作成するには、VM インスタンスグループのバックエンドを使用してグローバル外部アプリケーションロードバランサを設定するをご覧ください。
従来のアプリケーションロードバランサを作成するには、マネージドインスタンスグループのバックエンドを使用して従来のアプリケーションロードバランサを設定するをご覧ください。
グローバル外部プロキシネットワークロードバランサ（SSL プロキシ）を作成するには、VM インスタンスグループのバックエンドを使用してグローバル外部プロキシネットワークロードバランサ（SSL プロキシ）を設定するをご覧ください。
従来のプロキシネットワークロードバランサ（SSL プロキシ）を作成するには、VM インスタンスグループのバックエンドを使用して従来のプロキシネットワークロードバランサ（SSL プロキシ）を設定するをご覧ください。

ロードバランサの承認で Google マネージド証明書を作成する

ロードバランサの承認を使用して Google マネージド証明書を作成するには、次の操作を行います。

コンソール

Google Cloud コンソールで、[Certificate Manager] ページに移動します。

Certificate Manager に移動
[証明書] タブで、[証明書を追加] をクリックします。
[証明書名] フィールドに、証明書の一意の名前を入力します。
省略可: [説明] フィールドに証明書の説明を入力します。説明は証明書を識別するために使用します。
[ロケーション] で [グローバル] を選択します。
[範囲] で [デフォルト] を選択します。
[証明書の種類] で [Google マネージド証明書を作成する] を選択します。
[Certificate Authority type] で [Public] を選択します。
[ドメイン名] フィールドに、証明書のドメイン名をカンマ区切りで指定します。各ドメイン名は完全修飾ドメイン名（myorg.example.com など）にする必要があります。
[認証タイプ] で [ロードバランサ認証] を選択します。
[ラベル] フィールドに、証明書に関連付けるラベルを指定します。ラベルを追加するには、[ラベルを追加] をクリックして、ラベルのキーと値を指定します。
[作成] をクリックします。

新しい証明書が証明書のリストに表示されます。

gcloud

ロードバランサの承認を使用してグローバル Google マネージド証明書を作成するには、certificate-manager certificates create コマンドを使用します。

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAMES"

次のように置き換えます。

CERTIFICATE_NAME: 証明書の名前。
DOMAIN_NAMES: ターゲットドメインのカンマ区切りリスト。各ドメイン名は完全修飾ドメイン名（myorg.example.com など）にする必要があります。

Terraform

google_certificate_manager_certificate リソースを使用します。

resource "google_certificate_manager_certificate" "default" {
  name        = "${local.name}-rootcert-${random_id.tf_prefix.hex}"
  description = "Cert with LB authorization"
  managed {
    domains = [local.domain]
  }
  labels = {
    "terraform" : true
  }
}

Terraform 構成を適用または削除する方法については、基本的な Terraform コマンドをご覧ください。

API

次のように、certificates.create メソッドに POST リクエストを送信して証明書を作成します。

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME"
{
 "managed": {
  "domains": ["DOMAIN_NAME"],
 }
}

次のように置き換えます。

PROJECT_ID: Google Cloud プロジェクトの ID。
CERTIFICATE_NAME: 証明書の名前。
DOMAIN_NAMES: ターゲットドメインのカンマ区切りリスト。各ドメイン名は完全修飾ドメイン名（myorg.example.com など）にする必要があります。

証明書をロードバランサにデプロイする

グローバル Google マネージド証明書をデプロイするには、証明書マップを使用します。

証明書マップを作成する

証明書に関連付けられた証明書マップエントリを参照する証明書マップを作成します。

gcloud

証明書マップを作成するには、gcloud certificate-manager maps create コマンドを使用します。

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

CERTIFICATE_MAP_NAME は、ターゲット証明書マップの名前に置き換えます。

Terraform

証明書マップを作成するには、google_certificate_manager_certificate_map リソースを使用します。

resource "google_certificate_manager_certificate_map" "certificate_map" {
  name        = "${local.name}-certmap-${random_id.tf_prefix.hex}"
  description = "${local.domain} certificate map"
  labels = {
    "terraform" : true
  }
}

証明書マップエントリを作成する

証明書マップエントリを作成し、証明書と証明書マップに関連付けます。

gcloud

証明書マップエントリを作成するには、gcloud certificate-manager maps entries create コマンドを使用します。

gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME" \
    --certificates="CERTIFICATE_NAME" \
    --hostname="HOSTNAME"

次のように置き換えます。

CERTIFICATE_MAP_ENTRY_NAME: 証明書マップエントリの名前。
CERTIFICATE_MAP_NAME: 証明書マップエントリが接続されている証明書マップの名前。
CERTIFICATE_NAME: 証明書マップエントリに関連付ける証明書の名前。
HOSTNAME: 証明書マップエントリに関連付けるホスト名。

ワイルドカードドメインを使用して証明書を作成する場合は、ワイルドカードを使用してホスト名も指定します（*.example.com など）。

Terraform

証明書マップエントリを作成するには、google_certificate_manager_certificate_map_entry リソースを使用します。

resource "google_certificate_manager_certificate_map_entry" "first_entry" {
  name        = "${local.name}-first-entry-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = local.domain
}

証明書マップエントリが有効であることを確認する

エントリに対応する証明書マップをターゲットプロキシに接続する前に、証明書マップエントリが有効であることを確認します。

証明書マップエントリを確認するには、gcloud certificate-manager maps entries describe コマンドを使用します。

gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"

次のように置き換えます。

CERTIFICATE_MAP_ENTRY_NAME: 証明書マップエントリの名前。
CERTIFICATE_NAME: 証明書マップエントリに関連付ける証明書の名前。

出力は次のようになります。

certificates:
createTime: '2021-09-06T10:01:56.229472109Z'
hostname: example.com
name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/myCertMapEntry
state: ACTIVE
updateTime: '2021-09-06T10:01:58.277031787Z'

証明書マップをターゲットプロキシに添付する

証明書マップは、新しいターゲットプロキシまたは既存のターゲットプロキシに接続できます。

gcloud

証明書マップを新しいターゲットプロキシに添付するには、gcloud compute target-https-proxies create コマンドを使用します。

gcloud compute target-https-proxies create PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --url-map="URL_MAP" \
    --global

次のように置き換えます。

PROXY_NAME: ターゲットプロキシの名前
CERTIFICATE_MAP_NAME: 証明書マップエントリと関連する証明書を参照する証明書マップの名前。
URL_MAP: URL マップの名前

証明書マップを既存のターゲット HTTPS プロキシに接続するには、gcloud compute target-https-proxies update コマンドを使用します。既存のターゲットプロキシの名前がわからない場合は、[ターゲットプロキシ] ページに移動して、ターゲットプロキシの名前をメモします。

gcloud compute target-https-proxies update PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --global

ターゲットプロキシを作成または更新したら、次のコマンドを実行して確認します。

gcloud compute target-https-proxies list

Terraform

証明書マップをターゲットプロキシに添付するには、google_compute_target_https_proxy リソースを使用します。

ターゲットプロキシを構成するときに、TLS（SSL）証明書を直接、および証明書マップ経由で添付すると、プロキシは証明書マップによって参照される証明書を使用し、直接添付された TLS（SSL）証明書を無視します。

証明書のステータスを確認する

証明書をロードバランサにデプロイする前に、証明書が有効であることを確認します。証明書の状態が ACTIVE に変わるまで数分かかることがあります。

コンソール

Google Cloud コンソールで、[Certificate Manager] ページに移動します。

Certificate Manager に移動
[証明書] タブで、証明書の [ステータス] 列を確認します。

gcloud

証明書のステータスを確認するには、次のコマンドを実行します。

gcloud certificate-manager certificates describe CERTIFICATE_NAME

CERTIFICATE_NAME は、ターゲット Google マネージド証明書の名前に置き換えます。

出力は次のようになります。

createTime: '2021-10-20T12:19:53.370778666Z'
expireTime: '2022-05-07T05:03:49Z'
managed:
  authorizationAttemptInfo:
  - domain: myorg.example.com
    state: AUTHORIZED
  domains:
  - myorg.example.com
  state: ACTIVE
name: projects/myProject/locations/global/certificates/myCert
pemCertificate: |
  -----BEGIN CERTIFICATE-----
  [...]
  -----END CERTIFICATE-----
sanDnsnames:
  - myorg.example.com
updateTime: '2021-10-20T12:19:55.083385630Z'

数時間経っても証明書の状態が ACTIVE でない場合は、次の点を確認してください。

証明書を参照する証明書マップが正しいターゲットプロキシに接続されている。
ターゲットプロキシが正しいロードバランサに接続されている。
ターゲットドメインの DNS 構成がターゲットロードバランサの IP アドレスを指している。

その他のトラブルシューティングの手順については、Certificate Manager のトラブルシューティングをご覧ください。

クリーンアップ

このチュートリアルで使用したリソースについて、Google Cloud アカウントに課金されないようにするには、リソースを削除します。

ロードバランサとそのリソースを削除します。

詳細については、ロードバランシング設定のクリーンアップをご覧ください。
証明書マップを削除するか、プロキシから切断します。

証明書マップを削除するには、次のコマンドを実行します。
```
gcloud compute target-https-proxies delete PROXY_NAME
```
ターゲット HTTPS プロキシを保持する場合は、プロキシから証明書マップを切断します。証明書マップを切断する前に、次の点に注意してください。
- プロキシに直接 TLS（SSL）証明書が添付されていた場合、証明書マップを切断すると、プロキシは直接添付された TLS（SSL）証明書を使用して再開します。
- プロキシに直接 TLS（SSL）証明書が添付されていない場合、証明書マップをプロキシから切断することはできません。証明書マップを切断するには、まず少なくとも 1 つの TLS（SSL）証明書をプロキシに直接添付する必要があります。
証明書マップを切断するには、次のコマンドを実行します。
```
gcloud compute target-https-proxies update PROXY_NAME \
    --clear-certificate-map
```
PROXY_NAME は、ターゲットプロキシの名前に置き換えます。
証明書マップから証明書マップエントリを削除します。
```
gcloud certificate-manager maps entries delete CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"
```
次のように置き換えます。
- CERTIFICATE_MAP_ENTRY_NAME: 証明書マップエントリの名前。
- CERTIFICATE_MAP_NAME: 証明書マップの名前。
証明書マップを削除します。
```
gcloud certificate-manager maps delete CERTIFICATE_MAP_NAME
```
CERTIFICATE_MAP_NAME は、証明書マップの名前に置き換えます。
Google マネージド証明書を削除します。
コンソール
1. Google Cloud コンソールで、[Certificate Manager] ページに移動します。
  
  Certificate Manager に移動
2. [証明書] タブで、証明書のチェックボックスをオンにします。
3. [削除] をクリックします。
4. 表示されたダイアログで、[削除] をクリックして確定します。
gcloud
```
gcloud certificate-manager certificates delete CERTIFICATE_NAME
```
CERTIFICATE_NAME は、ターゲット証明書の名前に置き換えます。

ロードバランサ認証を使用してグローバル Google マネージド証明書をデプロイする

目標

始める前に

必要なロール

ドメイン名

ロードバランサを作成する

ロードバランサの承認で Google マネージド証明書を作成する

コンソール

gcloud

Terraform

API

証明書をロードバランサにデプロイする

証明書マップを作成する

gcloud

Terraform

証明書マップ エントリを作成する

gcloud

Terraform

証明書マップエントリが有効であることを確認する

証明書マップをターゲット プロキシに添付する

gcloud

Terraform

証明書のステータスを確認する

コンソール

gcloud

クリーンアップ

コンソール

gcloud

次のステップ

証明書マップエントリを作成する

証明書マップをターゲットプロキシに添付する