Questo tutorial mostra come eseguire la migrazione dei certificati Cloud Load Balancing a Gestore certificati. Per ulteriori informazioni sui certificati Cloud Load Balancing, consulta la Panoramica dei certificati SSL nella documentazione di Cloud Load Balancing.
Per eseguire la migrazione dei certificati Cloud Load Balancing senza tempi di riposo, identificate innanzitutto i certificati di cui volete eseguire la migrazione. Quindi, crea lo stesso numero di certificati gestiti da Google dei certificati Cloud Load Balancing. Successivamente, raggruppa i certificati in un'unica mappa di certificati e testa la mappa di certificati in un altro bilanciatore del carico. Se i test hanno esito positivo, allega la mappa dei certificati al bilanciatore del carico target che ospita i certificati Cloud Load Balancing.
Per trovare l'elenco dei bilanciatori del carico supportati, consulta la Panoramica di Certificate Manager.
Obiettivi
Questo tutorial mostra come completare le seguenti attività:
- Identifica i certificati del bilanciatore del carico di destinazione di cui eseguire la migrazione.
- Crea certificati gestiti da Google.
- Crea una mappa di certificati e le relative voci.
- Testa la mappa dei certificati in un altro bilanciatore del carico.
- Collega la mappa dei certificati al bilanciatore del carico di destinazione.
Prima di iniziare
- Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
-
Enable the Compute Engine, Certificate Manager APIs.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
-
Enable the Compute Engine, Certificate Manager APIs.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
Ruoli obbligatori
Per completare le attività di questo tutorial, assicurati di disporre dei seguenti ruoli:
Proprietario di Certificate Manager (
roles/certificatemanager.owner
)Obbligatorio per creare e gestire le risorse di Certificate Manager.
Amministratore bilanciatore del carico Compute (
roles/compute.loadBalancerAdmin
) o Amministratore rete Compute (roles/compute.networkAdmin
)Obbligatorio per creare e gestire il proxy di destinazione HTTPS.
Amministratore DNS (
roles/dns.admin
)Obbligatorio se vuoi utilizzare Cloud DNS come soluzione DNS.
Per ulteriori informazioni, consulta le seguenti risorse:
- Ruoli e autorizzazioni per Certificate Manager.
- Ruoli e autorizzazioni IAM di Compute Engine per Compute Engine.
- Ruoli e autorizzazioni per Cloud DNS.
Identifica i certificati di cui eseguire la migrazione
Per identificare i certificati di cui vuoi eseguire la migrazione:
Sul bilanciatore del carico, identifica il nome del proxy di destinazione.
Identifica i certificati di cui vuoi eseguire la migrazione.
Per trovare i certificati allegati a un proxy target, esegui il seguente comando:
gcloud compute target-https-proxies describe TARGET_PROXY_NAME
Sostituisci
TARGET_PROXY_NAME
con il nome del proxy di destinazione.L'output è simile al seguente:
creationTimestamp: '2021-10-06T04:05:07.520-07:00' fingerprint: c9Txdx6AfcM= id: '365692570234384780' kind: compute#targetHttpsProxy name: my-proxy selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/targetHttpsProxies/my-proxy sslCertificates: - https://www.googleapis.com/compute/v1/projects/my-project/global/sslCertificates/my-first-certificate - https://www.googleapis.com/compute/v1/projects/my-project/global/sslCertificates/my-second-certificate urlMap: https://www.googleapis.com/compute/v1/projects/my-project/global/urlMaps/my-map
Prendi nota dei nomi dei certificati elencati nel campo
sslCertificates
. Per ulteriori informazioni, consulta la Panoramica dei proxy di destinazione.Visualizza i dettagli di ogni certificato:
gcloud compute ssl-certificates --project=PROJECT_ID describe LB_CERTIFICATE_NAME
Sostituisci quanto segue:
PROJECT_ID
: l'ID del progetto Google Cloud.LB_CERTIFICATE_NAME
: il nome del certificato del bilanciatore del carico.
L'output è simile al seguente:
certificate: | -----BEGIN CERTIFICATE----- MIIFYjCCBEqgAwIBAgIQd70NbNs2+RrqIQ/E8FjTDTANBgkqhkiG9w0BAQsFADBX MQswCQYDVQQGEwJCRTEZMBcGA1UEChMQR2xvYmFsU2lnbiBudi1zYTEQMA4GA1UE CxMHUm9vdCBDQTEbMBkGA1UEAxMSR2xvYmFsU2lnbiBSb290IENBMB4XDTIwMDYx OTAwMDA0MloXDTI4MDEyODAwMDA0MlowRzELMAkGA1UEBhMCVVMxIjAgBgNVBAoT GUdvb2dsZSBUcnVzdCBTZXJ2aWNlcyBMTEMxFDASBgNVBAMTC0dUUyBSb290IFIx MIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEAthECix7joXebO9y/lD63 ladAPKH9gvl9MgaCcfb2jH/76Nu8ai6Xl6OMS/kr9rH5zoQdsfnFl97vufKj6bwS iV6nqlKr+CMny6SxnGPb15l+8Ape62im9MZaRw1NEDPjTrETo8gYbEvs/AmQ351k KSUjB6G00j0uYODP0gmHu81I8E3CwnqIiru6z1kZ1q+PsAewnjHxgsHA3y6mbWwZ DrXYfiYaRQM9sHmklCitD38m5agI/pboPGiUU+6DOogrFZYJsuB6jC511pzrp1Zk j5ZPaK49l8KEj8C8QMALXL32h7M1bKwYUH+E4EzNktMg6TO8UpmvMrUpsyUqtEj5 cuHKZPfmghCN6J3Cioj6OGaK/GP5Afl4/Xtcd/p2h/rs37EOeZVXtL0m79YB0esW CruOC7XFxYpVq9Os6pFLKcwZpDIlTirxZUTQAs6qzkm06p98g7BAe+dDq6dso499 iYH6TKX/1Y7DzkvgtdizjkXPdsDtQCv9Uw+wp9U7DbGKogPeMa3Md+pvez7W35Ei Eua++tgy/BBjFFFy3l3WFpO9KWgz7zpm7AeKJt8T11dleCfeXkkUAKIAf5qoIbap sZWwpbkNFhHax2xIPEDgfg1azVY80ZcFuctL7TlLnMQ/0lUTbiSw1nH69MG6zO0b 9f6BQdgAmD06yK56mDcYBZUCAwEAAaOCATgwggE0MA4GA1UdDwEB/wQEAwIBhjAP BgNVHRMBAf8EBTADAQH/MB0GA1UdDgQWBBTkrysmcRorSCeFL1JmLO/wiRNxPjAf BgNVHSMEGDAWgBRge2YaRQ2XyolQL30EzTSo//z9SzBgBggrBgEFBQcBAQRUMFIw JQYIKwYBBQUHMAGGGWh0dHA6Ly9vY3NwLnBraS5nb29nL2dzcjEwKQYIKwYBBQUH MAKGHWh0dHA6Ly9wa2kuZ29vZy9nc3IxL2dzcjEuY3J0MDIGA1UdHwQrMCkwJ6Al oCOGIWh0dHA6Ly9jcmwucGtpLmdvb2cvZ3NyMS9nc3IxLmNybDA7BgNVHSAENDAy MAgGBmeBDAECATAIBgZngQwBAgIwDQYLKwYBBAHWeQIFAwIwDQYLKwYBBAHWeQIF AwMwDQYJKoZIhvcNAQELBQADggEBADSkHrEoo9C0dhemMXoh6dFSPsjbdBZBiLg9 NR3t5P+T4Vxfq7vqfM/b5A3Ri1fyJm9bvhdGaJQ3b2t6yMAYN/olUazsaL+yyEn9 WprKASOshIArAoyZl+tJaox118fessmXn1hIVw41oeQa1v1vg4Fv74zPl6/AhSrw 9U5pCZEt4Wi4wStz6dTZ/CLANx8LZh1J7QJVj2fhMtfTJr9w4z30Z209fOU0iOMy +qduBmpvvYuR7hZL6Dupszfnw0Skfths18dG9ZKb59UhvmaSGZRVbNQpsg3BZlvi d0lIKO2d1xozclOzgjXPYovJJIultzkMu34qQb9Sz/yilrbCgj8= -----END CERTIFICATE----- creationTimestamp: '2021-05-06T04:39:21.736-07:00' expireTime: '2022-06-07T01:10:34.000-07:00' id: '6422259403966690822' kind: compute#sslCertificate managed: domainStatus: a.my-domain1.example.com: ACTIVE b.my-domain2.example.com: ACTIVE domains: - a.my-domain1.example.com - b.my-domain2.example.com status: ACTIVE name: my-certificate selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/sslCertificates/my-certificate subjectAlternativeNames: - a. my-domain1.example.com - b. my-domain2.example.com type: MANAGED
Creare certificati gestiti da Google
Crea lo stesso numero di certificati gestiti da Google dei certificati del bilanciatore del carico. Per un bilanciatore del carico globale o classico, crea certificati globali; per un bilanciatore del carico regionale, crea certificati regionali; per un bilanciatore del carico tra regioni, crea certificati tra regioni. Prima di creare i certificati, crea un'autorizzazione DNS e aggiungi il record CNAME alla zona DNS autorevole per il tuo dominio.
Puoi scegliere di creare certificati gestiti da Google con autorizzazione DNS (opzione consigliata) o certificati con gestione indipendente.
Questa sezione elenca i passaggi e i comandi per creare certificati globali gestiti da Google. Per creare un certificato gestito da Google a livello di regione o tra regioni, consulta Creare un certificato gestito da Google.
Crea un'autorizzazione DNS
Un'autorizzazione DNS copre un solo nome di dominio. Devi creare un'autorizzazione DNS distinta per ogni nome di dominio che vuoi utilizzare con il certificato di destinazione.
Se stai creando un'autorizzazione DNS per un certificato con caratteri jolly, ad esempio *.myorg.example.com
, configura l'autorizzazione DNS per il dominio principale, ad esempio myorg.example.com
.
Console
Puoi creare un'autorizzazione DNS o collegarne una esistente quando crei un certificato. Per ulteriori informazioni, consulta Creare un certificato gestito da Google che fa riferimento all'autorizzazione DNS.
gcloud
Per creare un'autorizzazione DNS, utilizza il comando certificate-manager
dns-authorizations create
:
gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \ --domain="DOMAIN_NAME"
Sostituisci quanto segue:
AUTHORIZATION_NAME
: il nome dell'autorizzazione DNS.DOMAIN_NAME
: il nome del dominio di destinazione per cui stai creando questa autorizzazione DNS. Il nome di dominio deve essere un nome di dominio completo, ad esempiomyorg.example.com
.
I certificati gestiti da Google a livello globale utilizzano FIXED_RECORD
come tipo di autorizzazione DNS predefinito. Per utilizzare l'autorizzazione DNS PER_PROJECT_RECORD
, esegui il seguente comando:
gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \ --domain="DOMAIN_NAME" \ --type="PER_PROJECT_RECORD"
Dopo aver creato l'autorizzazione DNS, verificala con il
comando certificate-manager dns-authorizations describe
:
gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME \
L'output è simile al seguente. Nell'output, trova la riga dnsResourceRecord
e recupera il record CNAME
(data
,
name
e type
) da
aggiungere alla configurazione DNS.
createTime: '2022-01-14T13:35:00.258409106Z' dnsResourceRecord: data: 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog. name: _acme-challenge.myorg.example.com. type: CNAME domain: myorg.example.com name: projects/myProject/locations/global/dnsAuthorizations/myAuthorization updateTime: '2022-01-14T13:35:01.571086137Z'
Terraform
Per creare un'autorizzazione DNS, puoi utilizzare una
risorsa google_certificate_manager_dns_authorization
.
Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base.
API
Per creare un'autorizzazione DNS, invia una richiesta POST
al metodo dnsAuthorizations.create
:
POST /v1/projects/PROJECT_ID/locations/global/dnsAuthorizations?dns_authorization_id=AUTHORIZATION_NAME" { "domain": "DOMAIN_NAME", "type": "PER_PROJECT_RECORD" //optional }
Sostituisci quanto segue:
PROJECT_ID
: l'ID del progetto Google Cloud.AUTHORIZATION_NAME
: il nome dell'autorizzazione DNS.DOMAIN_NAME
: il nome del dominio di destinazione per cui stai creando questa autorizzazione DNS. Il nome di dominio deve essere un nome di dominio completo, ad esempiomyorg.example.com
.
Crea un certificato gestito da Google che fa riferimento all'autorizzazione DNS
Per creare un certificato gestito da Google a livello globale che fa riferimento all'autorizzazione DNS che hai creato nei passaggi precedenti, svolgi i seguenti passaggi:
Console
Nella console Google Cloud, vai alla pagina Gestione certificati.
Nella scheda Certificati, fai clic su Aggiungi certificato.
Nel campo Nome certificato, inserisci un nome univoco per il certificato.
(Facoltativo) Nel campo Descrizione, inserisci una descrizione per il certificato. La descrizione ti consente di identificare il certificato.
Per Località, seleziona Globale.
In Ambito, seleziona Predefinito.
In Tipo di certificato, seleziona Crea un certificato gestito da Google.
In Tipo di autorità di certificazione, seleziona Pubblica.
Nel campo Nomi di dominio, specifica un elenco di nomi di dominio del certificato separati da virgole. Ogni nome di dominio deve essere un nome di dominio completo, ad esempio
myorg.example.com
. Il nome di dominio può anche essere un nome di dominio con caratteri jolly, ad esempio*.example.com
.In Tipo di autorizzazione, seleziona Autorizzazione DNS.
La pagina elenca le autorizzazioni DNS dei nomi di dominio. Se un nome di dominio non ha un'autorizzazione DNS associata, segui questi passaggi per crearne una:
- Fai clic su Crea autorizzazione DNS mancante.
- Nel campo Nome autorizzazione DNS, specifica il nome dell'autorizzazione DNS.
Il tipo di autorizzazione DNS predefinito è
FIXED_RECORD
. Per utilizzare l'autorizzazione DNS per progetto, seleziona la casella di controllo Autorizzazione per progetto. - Fai clic su Crea autorizzazione DNS.
Nel campo Etichette, specifica le etichette da associare al certificato. Per aggiungere un'etichetta, fai clic su
Aggiungi etichetta e specifica una chiave e un valore per l'etichetta.Fai clic su Crea.
Il nuovo certificato viene visualizzato nell'elenco dei certificati.
gcloud
Per creare un certificato gestito da Google globale con autorizzazione DNS, esegui il comando certificate-manager certificates create
con il flag dns-authorizations
:
gcloud certificate-manager certificates create CERTIFICATE_NAME \ --domains="DOMAIN_NAME, *.DOMAIN_NAME" \ --dns-authorizations="AUTHORIZATION_NAMES"
Sostituisci quanto segue:
CERTIFICATE_NAME
: il nome del certificato.DOMAIN_NAME
: il nome del dominio di destinazione. Il nome di dominio deve essere un nome di dominio completo, ad esempiomyorg.example.com
, o un dominio con carattere jolly, ad esempio*.myorg.example.com
. Il prefisso asterisco(*.)
indica un certificato jolly.AUTHORIZATION_NAMES
: un elenco separato da virgole dei nomi delle autorizzazioni DNS che hai creato per il certificato.
Terraform
Utilizza una risorsa google_certificate_manager_certificate
.
API
Crea il certificato inviando una richiesta POST
al metodo certificates.create
come segue:
POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME { "managed": { "domains": ["DOMAIN_NAME"], "dnsAuthorizations": [ "projects/PROJECT_ID/locations/global/dnsAuthorizations/AUTHORIZATION_NAME", ], } }
Sostituisci quanto segue:
PROJECT_ID
: l'ID del progetto Google Cloud.CERTIFICATE_NAME
: il nome del certificato.DOMAIN_NAME
: il nome del dominio di destinazione. Il nome di dominio deve essere un nome di dominio completo, ad esempiomyorg.example.com
, o un dominio con carattere jolly, ad esempio*.myorg.example.com
. Il prefisso asterisco con punto (*.) indica un certificato jolly.AUTHORIZATION_NAMES
: un elenco separato da virgole dei nomi delle autorizzazioni DNS.
Aggiungi il record CNAME alla configurazione DNS
Se utilizzi una soluzione DNS di terze parti per gestire il tuo DNS, consulta la relativa documentazione per aggiungere il record CNAME alla configurazione DNS. Se utilizzi Google Cloud per gestire il DNS, completa i passaggi descritti in questa sezione.
Console
Per creare un insieme di record:
Nella console Google Cloud, vai alla pagina Zone DNS.
Fai clic sul nome della zona DNS in cui vuoi aggiungere il record.
Nella pagina Dettagli zona, fai clic su Aggiungi standard.
Nella pagina Crea set di record, inserisci il sottodominio della zona DNS nel campo Nome DNS.
Quando inserisci il nome del sottodominio, assicurati che il nome del sottodominio, incluso il testo disattivato visualizzato nel campo Nome DNS, corrisponda al valore completo del campo
dnsResourceRecord.name
visualizzato nell'output del comandogcloud certificate-manager dns-authorizations describe
.Vedi i seguenti esempi:
Se il valore del campo
dnsResourceRecord.name
è_acme-challenge.myorg.example.com.
e il testo non selezionabile nel nome DNS è.example.com.
, inserisci_acme-challenge.myorg
.Se il valore del campo
dnsResourceRecord.name
è_acme-challenge.myorg.example.com.
e il testo non selezionabile nel nome DNS è.myorg.example.com.
, inserisci_acme-challenge
.Se il valore del campo
dnsResourceRecord.name
è_acme-challenge_ujmmovf2vn55tgye.myorg.example.com.
e il testo disattivato nel campo Nome DNS è.myorg.example.com.
, inserisci_acme-challenge_ujmmovf2vn55tgye
.
Nel campo Tipo di record risorsa, seleziona CNAME.
Nel campo TTL, inserisci un valore numerico positivo per la durata del record della risorsa, ovvero per quanto tempo può essere memorizzato nella cache.
Nell'elenco Unità TTL, seleziona l'unità di tempo, ad esempio
30 minutes
.Nel campo Nome canonico, inserisci il valore completo del campo
dnsResourceRecord.data
visualizzato nell'output del comandogcloud certificate-manager dns-authorizations describe
.Per inserire ulteriori informazioni, fai clic su Aggiungi elemento.
Fai clic su Crea.
gcloud
Quando crei un'autorizzazione DNS, il comando gcloud CLI restituisce il record CNAME corrispondente. Per aggiungere il record CNAME alla configurazione DNS nella zona DNS del dominio di destinazione, segui questi passaggi:
Avvia la transazione del record DNS:
gcloud dns record-sets transaction start --zone="DNS_ZONE_NAME"
Sostituisci
DNS_ZONE_NAME
con il nome della zona DNS di destinazione.Aggiungi il record CNAME alla zona DNS di destinazione:
gcloud dns record-sets transaction add CNAME_RECORD \ --name="VALIDATION_SUBDOMAIN_NAME.DOMAIN_NAME." \ --ttl="30" \ --type="CNAME" \ --zone="DNS_ZONE_NAME"
Sostituisci quanto segue:
CNAME_RECORD
: il valore dei dati completo del record CNAME restituito dal comando Google Cloud CLI che ha creato l'autorizzazione DNS corrispondente.VALIDATION_SUBDOMAIN_NAME
: il prefisso del sottodominio della zona DNS, ad esempio_acme-challenge
. Puoi copiare il nome dal log dei comandigcloud certificate-manager dns-authorizations describe
, come descritto in Creare un'autorizzazione DNS.DOMAIN_NAME
: il nome del dominio di destinazione.Il nome di dominio deve essere un nome di dominio completo, ad esempiomyorg.example.com
. Devi anche includere il punto finale dopo il nome di dominio di destinazione.DNS_ZONE_NAME
: il nome della zona DNS di destinazione.
Vedi il seguente esempio:
gcloud dns record-sets transaction add 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog. \ --name="_acme-challenge.myorg.example.com." \ --ttl="30" \ --type="CNAME" \ --zone="myorg-example-com"
Esegui la transazione del record DNS per salvare le modifiche:
gcloud dns record-sets transaction execute --zone="DNS_ZONE_NAME"
Sostituisci
DNS_ZONE_NAME
con il nome della zona DNS di destinazione.
Terraform
Per aggiungere il record CNAME alla configurazione DNS, puoi utilizzare una
risorsa google_dns_record_set
.
Verificare lo stato del certificato
Prima di implementare un certificato in un bilanciatore del carico, verifica che sia attivo. Potrebbero essere necessari alcuni minuti prima che lo stato del certificato passi a ACTIVE
.
Console
Nella console Google Cloud, vai alla pagina Gestione certificati.
Nella scheda Certificati, controlla la colonna Stato del certificato.
gcloud
Per verificare lo stato del certificato, esegui il seguente comando:
gcloud certificate-manager certificates describe CERTIFICATE_NAME
Sostituisci CERTIFICATE_NAME
con il nome del certificato gestito da Google di destinazione.
L'output è simile al seguente:
createTime: '2021-10-20T12:19:53.370778666Z' expireTime: '2022-05-07T05:03:49Z' managed: authorizationAttemptInfo: - domain: myorg.example.com state: AUTHORIZED dnsAuthorizations: - projects/myProject/locations/global/dnsAuthorizations/myCert domains: - myorg.example.com state: ACTIVE name: projects/myProject/locations/global/certificates/myCert pemCertificate: | -----BEGIN CERTIFICATE----- [...] -----END CERTIFICATE----- sanDnsnames: - myorg.example.com updateTime: '2021-10-20T12:19:55.083385630Z'
Se lo stato del certificato non è ACTIVE
dopo diverse ore, verifica di aver aggiunto correttamente il record CNAME
alla configurazione DNS.
Per ulteriori passaggi per la risoluzione dei problemi, consulta Risolvere i problemi di Gestore dei certificati.
Crea la mappa dei certificati
Per eseguire il deployment di un certificato in un bilanciatore del carico delle applicazioni esterno globale, crea una mappa dei certificati.
gcloud certificate-manager maps create CERTIFICATE_MAP_NAME
Sostituisci quanto segue:
CERTIFICATE_MAP_NAME
: il nome della mappa di certificati.
Crea le voci della mappa dei certificati
Per eseguire il deployment di un certificato in un bilanciatore del carico delle applicazioni esterno globale, crea una voce della mappa dei certificati.
Per ogni certificato di cui vuoi eseguire la migrazione, crea voci della mappa di certificati che fanno riferimento ai certificati come segue:
Visualizza i dettagli del certificato.
Nel log, per ogni dominio elencato nel campo
subjectAlternativeNames
, crea una voce della mappa dei certificati che copra quel dominio. Se più di un certificato copre un singolo dominio, devi solo creare una voce della mappa dei certificati e utilizzare qualsiasi certificato valido che copra quel dominio.gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \ --map="CERTIFICATE_MAP_NAME" \ --certificates="CERTIFICATE_NAMES" \ --hostname="HOSTNAME"
Sostituisci quanto segue:
CERTIFICATE_MAP_ENTRY_NAME
: il nome della voce della mappa di certificati.CERTIFICATE_MAP_NAME
: il nome della mappa di certificati a cui è associata la voce della mappa di certificati.CERTIFICATE_NAMES
: un elenco separato da virgole dei nomi dei certificati da associare a questa voce della mappa di certificati.HOSTNAME
: il nome host da associare alla voce della mappa dei certificati.
(Facoltativo) Crea un'entrata della mappa dei certificati principali che fa riferimento al certificato corrispondente al primo certificato dell'elenco dei certificati originariamente allegati al proxy.
gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \ --map="CERTIFICATE_MAP_NAME" \ --certificates="CERTIFICATE_NAMES" \ --set-primary
Sostituisci quanto segue:
CERTIFICATE_MAP_ENTRY_NAME
: il nome della voce della mappa di certificati.CERTIFICATE_MAP_NAME
: il nome della mappa di certificati a cui è associata la voce della mappa di certificati.CERTIFICATE_NAMES
: un elenco separato da virgole dei nomi dei certificati da associare a questa voce della mappa di certificati.
Per verificare lo stato attivo di ogni voce della mappa dei certificati che hai creato, esegui il seguente comando:
gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \ --map="CERTIFICATE_MAP_NAME"
Sostituisci quanto segue:
CERTIFICATE_MAP_ENTRY_NAME
: il nome della voce della mappa di certificati.CERTIFICATE_MAP_NAME
: il nome della mappa di certificati a cui è associata la voce della mappa di certificati.
L'output è simile al seguente:
certificates: - projects/my-project/locations/global/certificates/my-certificate createTime: '2021-09-06T10:01:56.229472109Z' hostname: example.com name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/my-map-entry state: ACTIVE updateTime: '2021-09-06T10:01:58.277031787Z'
(Facoltativo) Testa la configurazione su un nuovo bilanciatore del carico
Per ridurre al minimo i tempi di riposo, ti consigliamo di testare le mappe dei certificati appena configurate su un nuovo bilanciatore del carico che non gestisce il traffico di produzione. In questo modo, potrai rilevare e risolvere eventuali errori prima di procedere con la migrazione nel tuo ambiente di produzione.
Testa la configurazione nel seguente modo:
Crea un bilanciatore del carico globale con un nuovo proxy di destinazione. Per creare un bilanciatore del carico, consulta le seguenti pagine:
Per creare un bilanciatore del carico delle applicazioni esterno globale, consulta Configurare un bilanciatore del carico delle applicazioni esterno globale con backend di gruppi di istanze VM.
Per creare un bilanciatore del carico di rete proxy esterno globale (proxy SSL), consulta Configurare un bilanciatore del carico di rete proxy esterno globale (proxy SSL) con backend di gruppi di istanze VM.
Per creare un bilanciatore del carico di rete proxy esterno globale (proxy TCP), consulta Configurare un bilanciatore del carico di rete proxy esterno globale (proxy TCP) con backend di gruppi di istanze VM.
Allega la mappa dei certificati al proxy di destinazione del nuovo bilanciatore del carico.
gcloud compute target-https-proxies create TEST_PROXY_NAME \ --certificate-map="CERTIFICATE_MAP_NAME" \ --global
Sostituisci quanto segue:
TEST_PROXY_NAME
: il nome del proxy di destinazione del test.CERTIFICATE_MAP_NAME
: il nome della mappa di certificati che fa riferimento alla voce della mappa di certificati e al certificato associato.
Per ogni dominio di destinazione incluso nella migrazione, verifica la connettività al dominio sull'indirizzo IP del nuovo bilanciatore del carico:
openssl s_client -showcerts -servername DOMAIN_NAME -connect IP_ADDRESS:443
Sostituisci quanto segue:
DOMAIN_NAME
: il nome del dominio di destinazione.IP_ADDRESS
: l'indirizzo IP del nuovo bilanciatore del carico.
Per ulteriori informazioni sul test della connettività, consulta Eseguire test con OpenSSL
Ripulisci l'ambiente di test
Ripulisci l'ambiente di test creato nei passaggi precedenti.
Elimina il bilanciatore del carico di test come descritto in Eliminare il bilanciatore del carico.
Non eliminare i certificati, la mappa dei certificati o le voci della mappa dei certificati che hai creato nei passaggi precedenti.
Applica la nuova mappa dei certificati al bilanciatore del carico di destinazione
Dopo aver testato la nuova configurazione del certificato e aver verificato che sia valida, applica la nuova mappa dei certificati al bilanciatore del carico di destinazione (il bilanciatore del carico che ospita i certificati) seguendo questi passaggi.
Se utilizzi un bilanciatore del carico globale, collega la mappa dei certificati al proxy di destinazione del nuovo bilanciatore del carico:
gcloud compute target-https-proxies update TARGET_PROXY_NAME \ --certificate-map="CERTIFICATE_MAP_NAME" \ --global
Sostituisci quanto segue:
TARGET_PROXY_NAME
: il nome del proxy di destinazione.CERTIFICATE_MAP_NAME
: il nome della mappa di certificati che fa riferimento alla voce della mappa di certificati e al certificato associato.
Attendi che la modifica alla configurazione sia stata applicata e che il bilanciatore del carico abbia iniziato a pubblicare il nuovo certificato. Di solito occorrono pochi minuti, ma l'operazione può richiedere fino a 30 minuti.
È stata eseguita la migrazione dei certificati. Se noti problemi con il traffico, scollega la nuova mappa dei certificati dal proxy di destinazione. In questo modo, il bilanciatore del carico torna alla configurazione originale.