이 페이지에서는 Google 관리형 인증서에서 도메인 승인이 작동하는 방식을 설명합니다. 이 페이지에서는 부하 분산기 승인을 DNS 승인과 비교하고 인증서 관리자가 각 방법을 사용하여 도메인 소유권을 확인하는 방법을 설명합니다.
인증서 관리자를 사용하면 다음 방법 중 하나로 Google 관리형 인증서를 발급할 도메인의 소유권을 증명할 수 있습니다.
부하 분산기 승인: DNS 레코드를 만들지 않고 지원되는 부하 분산기에 인증서를 직접 배포합니다. 이 방법은 구성 속도가 더 빠르지만 와일드 카드 인증서 또는 지역 인증서를 지원하지 않습니다. 또한 인증서 관리자는 부하 분산기가 완전히 설정되고 네트워크 트래픽을 제공한 후에만 인증서를 프로비저닝할 수 있습니다.
DNS 승인: 도메인 소유권 확인을 위한 전용 DNS 레코드를 만든 후 지원되는 부하 분산기에 인증서를 직접 배포합니다. 이 방법을 사용하면 Certificate Manager가 대상 프록시가 네트워크 트래픽을 제공할 준비가 되기 전에 인증서를 미리 프로비저닝할 수 있습니다.
부하 분산기 승인은 Google 관리형 인증서를 발급하는 가장 간단한 방법입니다. 이 방법은 DNS 구성 변경을 최소화하지만 부하 분산기 구성이 완료된 후에만 TLS (SSL) 인증서를 프로비저닝합니다. 또한 이 방법을 사용하면 기존 프로덕션 트래픽이 없는 새 환경에 부하 분산기 승인을 적용하는 것이 좋습니다.
부하 분산기 승인으로 Google 관리형 인증서를 만들려면 배포가 다음 요구사항을 충족해야 합니다.
대상 도메인을 제공하는 모든 IP 주소의 포트 443에서 Google 관리 인증서에 액세스할 수 있어야 합니다. 그렇지 않으면 프로비저닝이 실패합니다. 예를 들어 IPv4 및 IPv6에 별도의 부하 분산기가 있으면 각각에 동일한 Google 관리형 인증서를 할당해야 합니다.
DNS 구성에서 부하 분산기의 IP 주소를 명시적으로 지정해야 다중 관점 도메인 검증 실패가 방지됩니다.
CDN과 같은 중간 레이어로 인해 예측할 수 없는 동작이 발생할 수 있습니다.
대상 도메인은 인터넷에서 공개적으로 확인할 수 있어야 합니다. 분할된 범위 또는 DNS 방화벽 환경은 인증서 프로비저닝을 방해할 수 있습니다.
DNS 승인
DNS 승인을 사용하면 프로덕션 환경이 완전히 설정되기 전이라도 도메인 소유권을 확인하고 Google 관리형 인증서를 프로비저닝할 수 있습니다. 이는 인증서를 Google Cloud로 이전할 때 특히 유용합니다.
인증서 관리자는 DNS 레코드를 통해 도메인 소유권을 확인합니다. 각 DNS 승인은 DNS 레코드에 대한 정보를 저장하고 단일 도메인과 해당 와일드 카드 (예: myorg.example.com 및 *.myorg.example.com)를 포함합니다. 와일드 카드는 첫 번째 하위 도메인 수준만 포함하고 더 깊은 하위 도메인 수준은 포함하지 않습니다. 예를 들어 *.myorg.example.com는 sub.subdomain.myorg.example.com를 포함하지 않습니다.
Google 관리형 인증서를 만들 때 하나 이상의 DNS 승인을 사용하여 인증서를 프로비저닝하고 갱신할 수 있습니다. 단일 도메인에 여러 인증서가 있는 경우 모든 인증서에 동일한 DNS 승인을 사용할 수 있습니다. 하지만 DNS 승인에는 인증서에 나열된 모든 도메인이 포함되어야 합니다. 그렇지 않으면 인증서 생성 및 갱신이 실패합니다.
DNS 승인을 설정하려면 DNS 구성에 CNAME 레코드를 추가해야 합니다. 이 레코드를 사용하여 대상 도메인 아래의 하위 도메인을 확인할 수 있습니다. CNAME 레코드는 인증서 관리자가 도메인 소유권을 확인하는 데 사용하는 특수한 Google Cloud 도메인을 가리킵니다.
DNS 승인을 만들면 인증서 관리자가 이 CNAME 레코드를 반환하고 소유권을 확인합니다.
또한 CNAME 레코드는 인증서 관리자에게Google Cloud 프로젝트 내에서 대상 도메인의 인증서를 프로비저닝하고 갱신할 수 있는 권한도 부여합니다. 이러한 권한을 취소하려면 DNS 구성에서 CNAME 레코드를 삭제합니다.
프로젝트별 DNS 승인
프로젝트별 DNS 승인을 사용하면 각 Google Cloud 프로젝트 내에서 인증서를 독립적으로 관리할 수 있습니다. 인증서 관리자는 프로젝트별 DNS 승인을 사용하여 각 프로젝트의 인증서를 개별적으로 발급하고 처리할 수 있습니다. 프로젝트 내에서 사용되는 DNS 승인 및 인증서는 독립형이며 다른 프로젝트의 아티팩트와 상호작용하지 않습니다.
프로젝트별 DNS 승인을 활성화하려면 DNS 승인을 만들 때 PER_PROJECT_RECORD 옵션을 선택합니다. 그러면 해당 프로젝트에 맞는 하위 도메인과 대상을 모두 포함하는 고유한 CNAME 레코드가 수신됩니다.
이 CNAME 레코드를 관련 도메인의 DNS 영역에 추가해야 합니다.
부하 분산기 승인과 DNS 승인 비교
인증서 관리자를 사용하면 다음 표에 설명된 대로 Google 관리형 인증서를 발급할 도메인의 소유권을 증명할 수 있습니다.
부하 분산기 승인
DNS 승인
설정 난이도
부하 분산기 승인에는 추가 구성 단계나 DNS 구성 변경이 필요하지 않습니다.
DNS 승인을 만들고 해당 CNAME 레코드를 DNS 구성에 추가해야 합니다.
네트워크 보안
부하 분산기는 인증서에서 제공하는 모든 도메인의 DNS 구성을 포함하여 포트 443의 인터넷에서 완전히 액세스할 수 있어야 합니다. 부하 분산기 승인은 다른 구성에서는 작동하지 않습니다.
443 이외의 포트 및 대상 프록시 앞에 있는 CDN 레이어와 같이 매우 복잡한 구성에서 작동합니다.
프로비저닝 속도
부하 분산기가 완전히 설정되고 네트워크 트래픽을 제공한 후에만 인증서를 프로비저닝할 수 있습니다.
대상 프록시가 네트워크 트래픽을 제공할 준비가 되기 전에 인증서를 미리 프로비저닝할 수 있습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-04(UTC)"],[[["\u003cp\u003eThis page details the two methods of domain authorization for Google-managed certificates: load balancer authorization and DNS authorization.\u003c/p\u003e\n"],["\u003cp\u003eLoad balancer authorization is quicker to configure but requires the load balancer to be fully set up and only works on port 443, while DNS authorization is more versatile by verifying domain ownership through DNS records and allows certificate provisioning in advance.\u003c/p\u003e\n"],["\u003cp\u003eDNS authorization enables the pre-provisioning of certificates before the production environment is live, and it's especially useful for migrating certificates to Google Cloud.\u003c/p\u003e\n"],["\u003cp\u003ePer-project DNS authorization allows each Google Cloud project to manage its certificates independently, with unique CNAME records for domain verification.\u003c/p\u003e\n"],["\u003cp\u003eUnlike load balancer and DNS authorization, domain authorization does not apply to Google-managed certificates issued by Certificate Authority Service.\u003c/p\u003e\n"]]],[],null,["# Domain authorization types for Google-managed certificates\n\nThis page describes how domain authorization works with Google-managed\ncertificates. The page compares load balancer authorization to DNS authorization\nand explains how Certificate Manager verifies domain ownership\nusing each method.\n\nCertificate Manager lets you prove ownership of domains for which\nyou want to issue Google-managed certificates in one of the following ways:\n\n- **Load balancer authorization**: deploy the certificate directly to a\n supported load balancer without creating a DNS record. This method is faster\n to configure, but it doesn't support wildcard certificates or regional\n certificates. Additionally, Certificate Manager can only\n provision certificates after the load balancer has been fully set up and is\n serving network traffic.\n\n- **DNS authorization**: deploy the certificate directly to a supported load\n balancer after creating dedicated DNS records for verification of domain\n ownership. Using this method, Certificate Manager can\n provision certificates in advance, before the target proxy is ready to serve\n network traffic.\n\nDomain authorization doesn't apply to Google-managed certificates issued by\nCertificate Authority Service. For more information about such certificates, see [Deploy a\nglobal Google-managed certificate with Certificate Authority Service](/certificate-manager/docs/deploy-google-managed-cas).\n\nLoad balancer authorization\n---------------------------\n\nLoad balancer authorization is the simplest method for issuing a Google-managed\ncertificate. This method minimizes changes to your DNS configuration, but only\nprovisions the TLS (SSL) certificate after the load balancer configuration is\ncomplete. This method also makes load balancer authorization ideal for new\nenvironments with no existing production traffic.\n\nTo create Google-managed certificates with load balancer authorization, your\ndeployment must meet the following requirements:\n\n- The Google-managed certificate must be accessible on port 443 from all IP addresses serving the target domain; otherwise, provisioning fails. For example, if you have separate load balancers for IPv4 and IPv6, you must assign the same Google-managed certificate to each of them.\n- You must explicitly specify the IP addresses of your load balancers in your DNS configuration, which prevents [multi-perspective domain validation\n failures](/certificate-manager/docs/troubleshooting#multi-perspective-domain-validation). Intermediate layers, such as CDN, can cause unpredictable behavior.\n- The target domain must be openly resolvable from the Internet. Split-horizon or DNS firewall environments can interfere with certificate provisioning.\n\nDNS authorization\n-----------------\n\nDNS authorization lets you verify domain ownership and provision Google-managed\ncertificates even before your production environment is fully set up. This is\nparticularly useful when you're migrating certificates to Google Cloud.\n\nCertificate Manager verifies domain ownership through DNS\nrecords. Each DNS authorization stores information about a DNS record, and\ncovers a single domain and its wildcard (for example, both `myorg.example.com`\nand `*.myorg.example.com`). A wildcard covers only the first subdomain level, and\ndoesn't cover deeper subdomain levels. For example, `*.myorg.example.com` doesn't cover\n`sub.subdomain.myorg.example.com`.\n\nWhen creating a Google-managed certificate, you can use one or more DNS\nauthorizations to provision and renew certificates. If you have\nmultiple certificates for a single domain, then you can use the same DNS\nauthorization for all the certificates. However, your DNS authorizations must cover all\ndomains listed in the certificate; if they don't, creating and renewing\ncertificates will fail.\n\nTo set up DNS authorization, you must add a `CNAME` record to your DNS\nconfiguration. You can use this record to validate the subdomain under your\ntarget domain. The `CNAME` record points to a special Google Cloud domain\nthat Certificate Manager uses to verify your domain ownership.\nWhen you create a DNS authorization, Certificate Manager returns\nthis `CNAME` record and verifies your ownership.\n\nRemember, the `CNAME` record also grants Certificate Manager\nthe permission to provision and renew certificates for the target domain within your\nGoogle Cloud project. To revoke these permissions, remove the CNAME record\nfrom your DNS configuration.\n| **Note:** The validation sub-domain must be openly resolvable from the internet. Split-horizon or DNS firewall environments can interfere with certificate provisioning.\n\n### Per-project DNS authorization\n\nPer-project DNS authorization lets you manage certificates independently within\neach Google Cloud project. Using per-project DNS authorization,\nCertificate Manager can issue and handle certificates for each\nproject separately. The DNS authorizations and certificates used within a\nproject are self-contained and don't interact with artifacts from other\nprojects.\n\nTo activate per-project DNS authorization, choose the `PER_PROJECT_RECORD`\noption when creating a DNS authorization. You will then receive a unique `CNAME`\nrecord that includes both a subdomain and a target specific to that project.\nYou shoud add this `CNAME` record to the DNS zone of the relevant domain.\n| **Note:** Due to ongoing IETF standardization efforts for account-based DNS authorization, Google uses a custom implementation of account-based DNS authorization for per-project DNS authorizations.\n\nCompare load balancer authorization with DNS authorization\n----------------------------------------------------------\n\nCertificate Manager lets you prove ownership of domains for which\nyou want to issue Google-managed certificates as described in the following\ntable.\n\nWhat's next\n-----------\n\n- [Manage DNS authorizations](/certificate-manager/docs/dns-authorizations)\n- [Deploy a global Google-managed certificate with load balancer\n authorization](/certificate-manager/docs/deploy-google-managed-lb-auth)\n- [Deploy a global Google-managed certificate with DNS authorization](/certificate-manager/docs/deploy-google-managed-dns-auth)"]]
