In dieser Anleitung wird beschrieben, wie Sie mit dem Zertifikatmanager ein selbstverwaltetes Zertifikat für einen regionalen externen Application Load Balancer oder einen regionalen internen Application Load Balancer bereitstellen.
Wenn Sie ein Zertifikat für einen regionalen externen Application Load Balancer oder einen regionalen internen Application Load Balancer bereitstellen möchten, hängen Sie das Zertifikat direkt an den Zielproxy an. Wenn Sie ein Zertifikat für einen globalen externen Application Load Balancer bereitstellen möchten, erstellen Sie eine Zertifikatszuordnung und hängen Sie die Zuordnung an den Zielproxy an. Weitere Informationen finden Sie unter Selbstverwaltetes Zertifikat bereitstellen.
Lernziele
In dieser Anleitung wird Folgendes beschrieben:
- Laden Sie ein selbstverwaltetes Zertifikat in den Zertifikatmanager hoch.
- Stellen Sie das Zertifikat mithilfe eines Ziel-HTTPS-Proxys für einen regionalen externen Application Load Balancer oder für einen regionalen internen Application Load Balancer bereit.
Weitere Informationen zur Bereitstellung von Zertifikaten finden Sie unter Bereitstellungsübersicht.
Hinweise
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
Sie benötigen die folgenden Rollen, um die Aufgaben in dieser Anleitung auszuführen:
- Certificate Manager Owner (Inhaber des Zertifikatsmanagers): Erforderlich, um Zertifikatmanager-Ressourcen zu erstellen und zu verwalten.
- Administrator für Compute-Load-Balancer oder Compute-Netzwerkadministrator: Erforderlich zum Erstellen und Verwalten des HTTPS-Zielproxys.
Hier finden Sie weitere Informationen:
- Rollen und Berechtigungen für den Zertifikatmanager
- Compute Engine IAM-Rollen und -Berechtigungen für Compute Engine
Load-Balancer erstellen
Erstellen Sie den Load-Balancer, für den Sie das Zertifikat bereitstellen möchten.
- Informationen zum Erstellen eines regionalen externen Application Load Balancers finden Sie unter Regionalen externen Application Load Balancer mit VM-Instanzgruppen-Backends einrichten.
- Informationen zum Erstellen eines regionalen internen Application Load Balancers finden Sie unter Regionalen internen Application Load Balancer mit VM-Instanzgruppen-Backends einrichten.
Im weiteren Verlauf dieser Anleitung wird davon ausgegangen, dass Sie die Back-Ends, die Systemdiagnose, den Back-End-Dienst und die URL-Zuordnung des Load-Balancers bereits konfiguriert haben. Notieren Sie sich den Namen der URL-Zuordnung, da Sie ihn später in dieser Anleitung benötigen.
Zertifikat anfordern und validieren
So fordern Sie ein selbstverwaltetes Zertifikat an und validieren es:
Verwenden Sie eine vertrauenswürdige Zertifizierungsstelle eines Drittanbieters, um das Zertifikat mit dem zugehörigen Schlüssel auszustellen.
Prüfen Sie, ob das Zertifikat ordnungsgemäß verkettet und als Root-vertrauenswürdig eingestuft ist.
Bereiten Sie die folgenden PEM-codierten Dateien vor:
- Zertifikatsdatei (CRT)
- Die entsprechende private Schlüsseldatei (KEY)
Informationen zum Anfordern und Validieren eines Zertifikats finden Sie unter Privaten Schlüssel und Zertifikat erstellen.
Selbstverwaltetes Zertifikat in Certificate Manager hochladen
Console
Rufen Sie in der Google Cloud Console die Seite Zertifikatmanager auf.
Wählen Sie auf der angezeigten Seite den Tab Zertifikate aus.
Klicken Sie auf Zertifikat hinzufügen.
Geben Sie einen Namen für das Zertifikat ein.
Dieser Name muss für das Projekt eindeutig sein.
Optional: Geben Sie eine Beschreibung für das Zertifikat ein. Anhand der Beschreibung können Sie später ein bestimmtes Zertifikat identifizieren.
Wählen Sie für location die Option Regional aus.
Wählen Sie in der Liste Region eine Region aus.
Wählen Sie für Zertifikatstyp die Option Selbstverwaltetes Zertifikat erstellen aus.
Führen Sie im Feld Certificate (Zertifikat) einen der folgenden Schritte aus:
- Klicken Sie auf die Schaltfläche Hochladen und wählen Sie Ihre PEM-formatierte Zertifikatsdatei aus.
- Kopieren Sie den Inhalt eines PEM-formatierten Zertifikats und fügen Sie ihn ein. Der Inhalt muss mit
-----BEGIN CERTIFICATE-----
beginnen und mit-----END CERTIFICATE-----
enden.
Führen Sie im Feld Zertifikat für privaten Schlüssel einen der folgenden Schritte aus:
- Klicken Sie auf Hochladen und wählen Sie Ihren privaten Schlüssel aus. Ihr privater Schlüssel muss das Format PEM haben und darf nicht mit einer Passphrase geschützt sein.
- Kopieren Sie den Inhalt des privaten Schlüssels im PEM-Format und fügen Sie ihn ein. Die privaten Schlüssel müssen mit
-----BEGIN PRIVATE KEY-----
beginnen und mit-----END PRIVATE KEY-----
enden.
Geben Sie ein Label an, das mit dem Zertifikat verknüpft werden soll. Sie können bei Bedarf mehrere Labels hinzufügen. Klicken Sie zum Hinzufügen eines Labels auf die Schaltfläche add_box Label hinzufügen und geben Sie
key
undvalue
für das Label an.Klicken Sie auf Erstellen. Prüfen Sie, ob das neue Zertifikat in der Liste der Zertifikate angezeigt wird.
gcloud
Führen Sie den folgenden Befehl aus, um das Zertifikat in den Zertifikatmanager hochzuladen:
gcloud certificate-manager certificates create CERTIFICATE_NAME
--certificate-file="CERTIFICATE_FILE"
--private-key-file="PRIVATE_KEY_FILE"
--location="REGION"
Ersetzen Sie Folgendes:
CERTIFICATE_NAME
: ein eindeutiger Name des ZertifikatsCERTIFICATE_FILE
: Pfad und Dateiname der CRT-ZertifikatsdateiPRIVATE_KEY_FILE
: Pfad und Dateiname der privaten KEY-SchlüsseldateiREGION
: die Google Cloud-Zielregion
Selbstverwaltetes Zertifikat für einen Load-Balancer bereitstellen
Erstellen Sie einen HTTPS-Zielproxy und hängen Sie das Zertifikat an, um das selbstverwaltete Zertifikat bereitzustellen.
HTTPS-Zielproxy erstellen
Führen Sie den folgenden Befehl aus, um den HTTPS-Zielproxy zu erstellen und das Zertifikat anzuhängen:
gcloud compute target-https-proxies create PROXY_NAME \ --url-map=URL_MAP \ --region=REGION \ --certificate-manager-certificates=CERTIFICATE_NAME
Ersetzen Sie Folgendes:
PROXY_NAME
: Ein eindeutiger Name des Proxys.URL_MAP
ist der Name der URL-Zuordnung. Sie haben die URL-Zuordnung beim Erstellen des Load-Balancers erstellt.REGION
: Die Region, in der Sie den HTTPS-Ziel-Proxy erstellen.CERTIFICATE_NAME
: der Name des Zertifikats.
Führen Sie den folgenden Befehl aus, um zu prüfen, ob der Zielproxy erstellt wurde:
gcloud compute list target-https-proxies
Erstellen Sie eine Weiterleitungsregel.
Richten Sie eine Weiterleitungsregel ein und schließen Sie die Einrichtung des Load-Balancers ab.
- Wenn Sie einen regionalen externen Application Load Balancer verwenden, lesen Sie den Artikel Regionalen externen Application Load Balancer mit VM-Instanzgruppen-Backends einrichten.
- Wenn Sie einen regionalen internen Application Load Balancer verwenden, lesen Sie den Artikel Regionalen internen Application Load Balancer mit VM-Instanzgruppen-Backends einrichten.
Bereinigen
Löschen Sie das hochgeladene Zertifikat, um die Änderungen, die Sie in dieser Anleitung vorgenommen haben, rückgängig zu machen:
gcloud certificate-manager certificates delete CERTIFICATE_NAME
Ersetzen Sie CERTIFICATE_NAME
durch den Namen des Zielzertifikats.