グローバル セルフマネージド証明書をデプロイする。

このチュートリアルでは、Certificate Manager を使用してグローバル セルフマネージド証明書をデプロイする方法について説明します。

次のロードバランサは、グローバル セルフマネージド証明書をサポートしています。

  • グローバル外部アプリケーション ロードバランサ
  • 従来のアプリケーション ロードバランサ
  • グローバルな外部プロキシ ネットワーク ロードバランサ
  • クロスリージョン内部アプリケーション ロードバランサ

セルフマネージド証明書をリージョン外部アプリケーション ロードバランサまたはリージョン内部アプリケーション ロードバランサにデプロイするには、リージョン セルフマネージド証明書をデプロイするをご覧ください。

目標

このチュートリアルでは、次のタスクを行う方法を説明します。

  • セルフマネージド証明書を Certificate Manager にアップロードします。
  • ターゲット HTTPS プロキシを使用して、サポートされているロードバランサに証明書をデプロイします。

証明書のデプロイ プロセスの詳細については、デプロイの概要をご覧ください。

準備

  1. Google Cloud Console の [プロジェクト セレクタ] ページで、Google Cloud プロジェクトを選択または作成します。

    プロジェクト セレクタに移動

  2. このチュートリアルのタスクを完了するための次のロールがあることを確認してください。

    • Certificate Manager オーナー: Certificate Manager リソースの作成と管理に必要です。
    • Compute ロードバランサ管理者または Compute ネットワーク管理者: HTTPS ターゲット プロキシの作成と管理に必要です。

    詳しくは以下をご覧ください。

ロードバランサを作成する

証明書をデプロイするロードバランサを作成します。

このチュートリアルの残りの部分では、ロードバランサのバックエンド、ヘルスチェック、バックエンド サービス、URL マップをすでに構成していることを前提としています。このチュートリアルの後半で必要になるため、URL マップの名前をメモしておきます。

秘密鍵と証明書を作成する

秘密鍵と証明書を作成するには、次のようにします。

  1. 信頼できる第三者認証局（CA）を使用して、証明書とそれに関連する鍵を発行します。

  2. 証明書のチェーンとルート信頼が適切に行われていることを確認します。

  3. 次の PEM エンコード ファイルを準備します。

    • 証明書ファイル（CRT）
    • 対応する秘密鍵ファイル（KEY）

証明書のリクエストと検証の方法については、秘密鍵と証明書を作成するをご覧ください。

セルフマネージド証明書を Certificate Manager にアップロードします。

証明書を Certificate Manager にアップロードする手順は次のとおりです。

グローバル外部アプリケーション ロードバランサ、従来のアプリケーション ロードバランサ、またはグローバル外部プロキシ ネットワーク ロードバランサの場合:

次のコマンドを実行します。

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --certificate-file="CERTIFICATE_FILE" \
    --private-key-file="PRIVATE_KEY_FILE"

次のように置き換えます。

  • CERTIFICATE_NAME: 証明書の一意の名前
  • CERTIFICATE_FILE: CRT 証明書ファイルのパスとファイル名
  • PRIVATE_KEY_FILE: KEY 秘密鍵ファイルのパスとファイル名

クロスリージョンの内部アプリケーション ロードバランサの場合:

次のコマンドを実行します。

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --certificate-file="CERTIFICATE_FILE" \
    --private-key-file="PRIVATE_KEY_FILE" \
    --scope=all-regions

次のように置き換えます。

  • CERTIFICATE_NAME: 証明書の一意の名前
  • CERTIFICATE_FILE: CRT 証明書ファイルのパスとファイル名
  • PRIVATE_KEY_FILE: KEY 秘密鍵ファイルのパスとファイル名

セルフマネージド証明書をロードバランサにデプロイする

以降のセクションでは、Certificate Manager にアップロードしたセルフマネージド証明書をロードバランサにデプロイする方法について説明します。

ロードバランサの種類に応じて、次のように証明書をデプロイできます。

証明書マップを使用して証明書をデプロイする

このセクションでは、証明書マップを使用して証明書をデプロイする手順について説明します。

CertificateMap を作成する

証明書に関連付けられた証明書マップエントリを参照する証明書マップを作成します。

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

CERTIFICATE_MAP_NAME は、ターゲット証明書マップの名前に置き換えます。

証明書マップエントリを作成する

証明書マップエントリを作成し、それをセルフマネージド証明書と証明書マップに関連付けます。

gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME" \
    --certificates="CERTIFICATE_NAME" \
    --hostname="HOSTNAME"

以下を置き換えます。

  • CERTIFICATE_MAP_ENTRY_NAME: 証明書マップエントリの一意の名前
  • CERTIFICATE_MAP_NAME: 証明書マップエントリが添付されている証明書マップ名
  • CERTIFICATE_NAME: 証明書マップエントリに関連付ける証明書名
  • HOSTNAME: 証明書マップエントリに関連付けるホスト名

証明書マップエントリが有効であることを確認する

証明書マップをターゲット プロキシに接続する前に、次のコマンドを実行して、証明書マップエントリがアクティブかどうかを確認します。

gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"

以下を置き換えます。

  • CERTIFICATE_MAP_ENTRY_NAME: 証明書マップエントリの一意の名前
  • CERTIFICATE_MAP_NAME: 証明書マップエントリが添付されている証明書マップ名

証明書マップエントリがアクティブな場合、Google Cloud CLI は次のような出力を返します。

createTime: '2021-09-06T10:01:56.229472109Z'
name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/myCertMapEntry
state: ACTIVE
updateTime: '2021-09-06T10:01:58.277031787Z'

HTTPS ターゲット プロキシを作成する

HTTPS ターゲット プロキシを作成するには、ターゲット プロキシの作成をご覧ください。

証明書マップをターゲット プロキシに添付する

構成した証明書マップをターゲット プロキシに追加する手順は次のとおりです。

  1. Google Cloud コンソールで、[ターゲット プロキシ] ページに移動します。

    [ターゲット プロキシ] に移動

  2. ターゲット プロキシの名前に注意します。

  3. 証明書マップをターゲット プロキシに添付するには、次のコマンドを実行します。

    gcloud compute target-https-proxies update PROXY_NAME \
   --certificate-map="CERTIFICATE_MAP_NAME"

    以下を置き換えます。

    • PROXY_NAME: ターゲット プロキシの名前
    • CERTIFICATE_MAP_NAME: 証明書マップエントリとそれに関連付けられた証明書を参照する証明書マップの名前

TLS（SSL）証明書がプロキシに直接添付されている場合、プロキシは直接添付の証明書よりも証明書マップによって参照される証明書を優先します。

転送ルールの作成

転送ルールを設定し、ロードバランサの設定を完了します。詳細については、ファイアウォール ルールの使用をご覧ください。

証明書をターゲット プロキシに直接添付する

証明書をプロキシに直接添付するには、次のコマンドを実行します。

gcloud compute target-https-proxies update PROXY_NAME \
    --url-map=URL_MAP \
    --global \
    --certificate-manager-certificates=CERTIFICATE_NAME

以下を置き換えます。

  • PROXY_NAME: プロキシの一意の名前。
  • URL_MAP: URL マップの名前。 ロードバランサの作成時に URL マップを作成しました。
  • CERTIFICATE_NAME: 証明書の名前。

クリーンアップ

このチュートリアルで行った変更を元に戻すには、次の手順を行います。

  1. プロキシから証明書マップを切断します。

    gcloud compute target-https-proxies update PROXY_NAME \
   --clear-certificate-map

    PROXY_NAME は、ターゲット プロキシの名前に置き換えます。

    プロキシから証明書マップを切断する前に、次の点に注意してください。

    • 少なくとも 1 つの TLS（SSL）証明書がプロキシに直接接続されていることを確認します。プロキシに証明書が添付されていない場合、証明書マップを接続解除することはできません。
    • プロキシから証明書マップを接続解除すると、プロキシに直接接続された TLS（SSL）証明書を使用してプロキシを再開できます。

  2. 証明書マップから証明書マップエントリを削除します。

    gcloud certificate-manager maps entries delete CERTIFICATE_MAP_ENTRY_NAME \
   --map="CERTIFICATE_MAP_NAME"

    以下を置き換えます。

    • CERTIFICATE_MAP_ENTRY_NAME: ターゲット証明書マップエントリの名前
    • CERTIFICATE_MAP_NAME: ターゲット証明書マップの名前

  3. 証明書マップを削除します。

    gcloud certificate-manager maps delete CERTIFICATE_MAP_NAME

    CERTIFICATE_MAP_NAME は、ターゲット証明書マップの名前に置き換えます。

  4. アップロードした証明書を削除します。

    gcloud certificate-manager certificates delete CERTIFICATE_NAME

    CERTIFICATE_NAME は、ターゲット証明書の名前に置き換えます。

次のステップ