Questo tutorial mostra come utilizzare Certificate Manager per eseguire il deployment di un certificato autogestito in un bilanciatore del carico delle applicazioni esterno regionale o in un bilanciatore del carico delle applicazioni interno regionale.
Se vuoi eseguire il deployment in bilanciatori del carico esterni globali o tra regioni, consulta quanto segue:
Obiettivi
Questo tutorial mostra come completare le seguenti attività:
- Carica un certificato autogestito in Gestore certificati.
- Esegui il deployment del certificato in un bilanciatore del carico delle applicazioni esterno regionale o in un bilanciatore del carico delle applicazioni interno regionale utilizzando un proxy HTTPS di destinazione.
Prima di iniziare
- Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
-
Enable the Compute Engine, Certificate Manager APIs.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
-
Enable the Compute Engine, Certificate Manager APIs.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
Ruoli obbligatori
Per completare le attività di questo tutorial, assicurati di disporre dei seguenti ruoli:
Proprietario di Certificate Manager (
roles/certificatemanager.owner
)Obbligatorio per creare e gestire le risorse di Certificate Manager.
Amministratore bilanciatore del carico Compute (
roles/compute.loadBalancerAdmin
) o Amministratore rete Compute (roles/compute.networkAdmin
)Obbligatorio per creare e gestire il proxy di destinazione HTTPS.
Per ulteriori informazioni, consulta le seguenti risorse:
- Ruoli e autorizzazioni per Certificate Manager.
- Ruoli e autorizzazioni IAM di Compute Engine per Compute Engine.
Crea il bilanciatore del carico
Questo tutorial presuppone che tu abbia già creato e configurato i backend, i controlli di integrità, i servizi di backend e le mappe URL del bilanciatore del carico. Prendi nota del nome della mappa di URL, perché ti servirà più avanti in questo tutorial.
Per creare un bilanciatore del carico delle applicazioni esterno regionale, consulta Configurare un bilanciatore del carico delle applicazioni esterno regionale con backend di gruppi di istanze VM.
Per creare un bilanciatore del carico delle applicazioni interno regionale, consulta Configurare un bilanciatore del carico delle applicazioni interno regionale con backend di gruppi di istanze VM.
Creare una chiave privata e un certificato
Per creare una chiave privata e un certificato:
Utilizza un'autorità di certificazione (CA) di terze parti attendibile per emettere il certificato insieme alla chiave associata.
Verifica che il certificato sia correttamente collegato e considerato attendibile a livello di radice.
Prepara i seguenti file con codifica PEM:
- Il file del certificato (CRT)
- Il file della chiave privata corrispondente (KEY)
Per informazioni su come richiedere e convalidare un certificato, vedi Creare una chiave privata e un certificato.
Caricare un certificato autogestito in Gestore certificati
Per caricare il certificato in Gestore dei certificati, procedi come segue:
Console
Nella console Google Cloud, vai alla pagina Gestione certificati.
Nella scheda Certificati, fai clic su Aggiungi certificato.
Nel campo Nome certificato, inserisci un nome univoco per il certificato.
(Facoltativo) Nel campo Descrizione, inserisci una descrizione per il certificato. La descrizione ti consente di identificare il certificato.
In Località, seleziona Regionale.
Nell'elenco Regione, seleziona la tua regione.
In Tipo di certificato, seleziona Crea certificato autogestito.
Per il campo Certificato, esegui una delle seguenti operazioni:
- Fai clic sul pulsante Carica e seleziona il file del certificato in formato PEM.
- Copia e incolla i contenuti di un certificato in formato PEM. I contenuti devono iniziare con
-----BEGIN CERTIFICATE-----
e terminare con-----END CERTIFICATE-----
.
Per il campo Certificato chiave privata, esegui una delle seguenti operazioni:
- Fai clic sul pulsante Carica e seleziona la chiave privata. La chiave privata deve essere in formato PEM e non protetta con una passphrase.
- Copia e incolla i contenuti di una chiave privata in formato PEM. Le chiavi private devono iniziare con
-----BEGIN PRIVATE KEY-----
e terminare con-----END PRIVATE KEY-----
.
Nel campo Etichette, specifica le etichette da associare al certificato. Per aggiungere un'etichetta, fai clic su
Aggiungi etichetta e specifica una chiave e un valore per l'etichetta.Fai clic su Crea.
Il nuovo certificato viene visualizzato nell'elenco dei certificati.
gcloud
Per creare un certificato autogestito regionale, esegui il
comando certificate-manager certificates create
:
gcloud certificate-manager certificates create CERTIFICATE_NAME \ --certificate-file="CERTIFICATE_FILE" \ --private-key-file="PRIVATE_KEY_FILE" \ --location="LOCATION"
Sostituisci quanto segue:
CERTIFICATE_NAME
: il nome del certificato.CERTIFICATE_FILE
: il percorso e il nome del file del certificato CRT.PRIVATE_KEY_FILE
: il percorso e il nome del file della chiave privata KEY.LOCATION
: la località Google Cloud di destinazione.
Terraform
Per caricare un certificato con gestione indipendente, puoi utilizzare una
risorsa google_certificate_manager_certificate
con il blocco self_managed
.
API
Carica il certificato inviando una richiesta POST
al metodo certificates.create
come segue:
POST /v1/projects/PROJECT_ID/locations/LOCATION/certificates?certificate_id=CERTIFICATE_NAME { self_managed: { pem_certificate: "PEM_CERTIFICATE", pem_private_key: "PEM_KEY", } }
Sostituisci quanto segue:
PROJECT_ID
: l'ID del progetto Google Cloud.CERTIFICATE_NAME
: il nome del certificato.PEM_CERTIFICATE
: il certificato PEM.PEM_KEY
: la chiave PEM.LOCATION
: la località Google Cloud di destinazione.
Esegui il deployment del certificato autogestito su un bilanciatore del carico
Per eseguire il deployment del certificato autogestito, collegalo direttamente al proxy target.
Allega il certificato direttamente al proxy di destinazione
Puoi allegare il certificato a un nuovo proxy di destinazione o a uno esistente.
Per collegare il certificato a un nuovo proxy target, utilizza il gcloud compute
target-https-proxies create
comando:
gcloud compute target-https-proxies create PROXY_NAME \ --certificate-manager-certificates=CERTIFICATE_NAME \ --url-map=URL_MAP \ --region=LOCATION
Sostituisci quanto segue:
PROXY_NAME
: il nome del proxy di destinazione.CERTIFICATE_NAME
: il nome del certificato.URL_MAP
: il nome della mappa di URL. Hai creato la mappa URL quando hai creato il bilanciatore del carico.LOCATION
: la posizione Google Cloud di destinazione in cui vuoi creare il proxy HTTPS di destinazione.
Per collegare il certificato a un proxy HTTPS di destinazione esistente, utilizza il gcloud
compute target-https-proxies update
comando. Se
non conosci il nome del proxy di destinazione esistente, vai alla pagina Proxy di destinazione
e prendi nota del nome del proxy di destinazione.
gcloud compute target-https-proxies update PROXY_NAME \ --region=LOCATION \ --certificate-manager-certificates=CERTIFICATE_NAME
Dopo aver creato o aggiornato il proxy di destinazione, esegui il seguente comando per verificarlo:
gcloud compute target-https-proxies list
Esegui la pulizia
Per evitare che al tuo account Google Cloud vengano addebitati costi relativi alle risorse utilizzate in questo tutorial, elimina il certificato caricato:
gcloud certificate-manager certificates delete CERTIFICATE_NAME
Sostituisci CERTIFICATE_NAME
con il nome del
certificato di destinazione.
Se non prevedi di utilizzare il bilanciatore del carico, eliminalo e le relative risorse. Consulta Pulire la configurazione di un bilanciatore del carico.