Google マネージド証明書のドメインの承認

このページでは、Google マネージド証明書に対するドメインの承認の仕組みについて説明します。ロードバランサの承認と DNS 認証を比較し、Certificate Manager が各メソッドを使用してドメインの所有権を確認します。

ドメインの承認は、Certificate Authority Service によって発行された Google マネージド証明書には適用されません。このような証明書の詳細については、Certificate Authority Service を使用して Google マネージド証明書をデプロイするをご覧ください。

Certificate Manager を使用すると、次のいずれかの方法で、Google マネージド証明書を発行するドメインの所有権を確認できます。

  • ロードバランサの承認は迅速に構成できますが、ワイルドカード証明書はサポートしていません。また、ロードバランサが完全に設定され、ネットワーク トラフィックが処理された後にのみ、証明書をプロビジョニングできます。
  • DNS 認証では、ドメインの所有権を証明するために専用の DNS レコードを追加で構成する必要がありますが、ターゲット プロキシがネットワーク トラフィックを処理する準備が整う前に、証明書をプロビジョニングできます。これにより、サードパーティ ソリューションから Google Cloud へのゼロダウンタイム移行を実行できます。

ロードバランサ認証

Google マネージド証明書を発行する最も簡単な方法は、ロードバランサ認証を使用することです。この方法では DNS 構成の変更を最小限に抑えますが、TLS（SSL）証明書はすべての構成手順が完了した後にのみプロビジョニングされます。そのため、この方法は、設定が完了するまで本番環境トラフィックが流れない環境をゼロから設定する場合に最適です。

ロードバランサ認証を使用して Google マネージド証明書を作成するには、デプロイが次の要件を満たしている必要があります。

  • ターゲット ドメインにサービスを提供するすべての IP アドレスからポート 443 で Google マネージド証明書にアクセスできる必要があります。そうしないと、プロビジョニングは失敗します。たとえば、IPv4 と IPv6 に個別のロードバランサがある場合は、同じ Google マネージド証明書をそれぞれに割り当てる必要があります。
  • DNS 構成でロードバランサの IP アドレスを明示的に指定する必要があります。CDN などの中間レイヤで、予期しない動作が発生する可能性があります。
  • ターゲット ドメインは、インターネットから公開的に解決できる必要があります。スプリット ホライズン環境または DNS ファイアウォール環境は、証明書のプロビジョニングと干渉する可能性があります。

DNS 認証

別のベンダーから Google Cloud への移行を開始する前になど、本番環境を完全に設定する前に Google マネージド証明書を使用できるようにするには、DNS 承認をプロビジョニングします。このシナリオでは、Certificate Manager は DNS ベースの検証を使用します。各 DNS 承認には、設定する必要がある DNS レコードに関する情報が保存され、単一のドメインとそのワイルドカード（myorg.example.com や *.myorg.example.com など）に対応しています。

Google マネージド証明書を作成するときに、その証明書のプロビジョニングと更新に使用する DNS 認証を 1 つ以上指定できます。単一のドメインに複数の証明書を使用している場合は、各証明書に同じ DNS 認証を指定できます。DNS 認証は、証明書で指定されたすべてのドメインに対応している必要があります。そうでない場合、証明書の作成と更新は失敗します。

プロジェクトごとの DNS 認証を使用すると、プロジェクトごとに証明書を個別に管理できます。つまり、Certificate Manager は、Google Cloud 内でプロジェクトごとに個別に証明書を発行および管理できます。プロジェクト内で使用する DNS 認証と証明書は自己完結型であり、他のプロジェクトのものとはやり取りしません。

DNS 認証を設定するには、ターゲット ドメインの下にネストされている検証サブドメインの CNAME レコードを DNS 構成に追加する必要があります。 この CNAME レコードは、Certificate Manager がドメインの所有権の確認に使用する特別な Google Cloud ドメインを参照します。Certificate Manager は、ターゲット ドメインの DNS 認証を作成するときに、CNAME レコードを返します。

また CNAME レコードは、ターゲットの Google Cloud プロジェクト内でそのドメインの証明書のプロビジョニングと更新を行う権限を Certificate Manager に付与します。これらの権限を取り消すには、DNS 構成から CNAME レコードを削除します。

プロジェクトごとの DNS 認証を有効にするには、DNS 認証の作成プロセスで PER_PROJECT_RECORD を選択します。選択すると、サブドメインとターゲットの両方を含む一意の CNAME レコードが生成され、特定のプロジェクトに合わせて調整されます。

関連するドメインの DNS ゾーンに CNAME レコードを追加します。

次のステップ