Auf dieser Seite wird erläutert, wie Sie einen SSL-Port (Secure Sockets Layer) für die Bereitstellung des Extensible Service Proxys (ESP) mit Google Kubernetes Engine, Kubernetes oder Compute Engine aktivieren. Möglicherweise möchten Sie für einige Anwendungsfälle einen SSL-Port für den bereitgestellten Endpoints-Dienst aktivieren. Wenn Sie beispielsweise die Transcodierungsfunktion von gRPC verwenden, soll der Dienst HTTP 1.1- und gRPC-Anfragen an demselben Port empfangen.
Sie sollten jedoch die Anleitungen für den ausgewählten Diensttyp und die ausgewählte Umgebung gelesen haben und wissen, wie Sie ESP ohne SSL bereitstellen.
SSL-Schlüssel und -Zertifikate konfigurieren
So konfigurieren Sie den SSL-Port für die Bereitstellung von HTTPS-Anfragen:
Prüfen Sie, ob die SSL-Schlüsseldatei den Namen nginx.key hat und die Zertifikatdatei den Namen nginx.crt hat. Zu Testzwecken können Sie mithilfe von OpenSSL mit dem folgenden Befehl ein selbst signiertes nginx.key und nginx.cert generieren:
Geben Sie in Ihrem Serverzertifikat CN und subjectAltName an. Der Wert dieser Attribute sollte mit dem DNS oder der IP-Adresse übereinstimmen, die von Clients zum Aufrufen Ihres Dienstes verwendet wird. Andernfalls schlägt der SSL-Handshake fehl.
SSL für ESP in Kubernetes aktivieren
So aktivieren Sie den SSL-Port für den ESP in Kubernetes:
Erstellen Sie mit Ihrem SSL-Schlüssel und -Zertifikat ein Kubernetes-Secret:
Hinweis: Sie sehen in dem Konfigurationsbeispiel die zu bearbeitenden Zeilen. Zur Bereitstellung der Datei in Cloud Endpoints ist die vollständige Konfigurationsdatei erforderlich.
Stellen Sie die generierten Kubernetes-Schlüssel als Volumes bereit. Dabei können Sie sich an den Anweisungen zu Volumes auf der Kubernetes-Seite orientieren.
Starten Sie den ESP wie auf der Seite ESP-Startoptionen beschrieben. Achten Sie jedoch darauf, das Start-Flag --ssl_port zu setzen, um den SSL-Port zu aktivieren.
Der SSL-Standardport ist 443.
Starten Sie den Dienst mit der aktualisierten Kubernetes-Konfigurationsdatei über den Befehl kubectl.
kubectl apply -f esp_echo_gke.yaml
SSL-Zertifikate aktualisieren
SSL-Zertifikate sollten regelmäßig aktualisiert werden.
Zum Aktualisieren von SSL-Zertifikaten führen Sie die folgenden Schritte aus:
Erstellen Sie wie in Schritt 1 oben beschrieben neue Zertifikate.
Stellen Sie die neuen Zertifikate wie in Schritt 3 oben beschrieben für die Kubernetes-Secrets bereit.
Aktualisieren Sie das ESP-Kubernetes-Deployment wie in Schritt 5 oben beschrieben.
SSL für ESP in Compute Engine aktivieren
Zum Aktivieren von SSL in Compute Engine kopieren Sie zuerst die Dateien nginx.key und nginx.crt in den Ordner /etc/nginx/ssl der Compute Engine-Instanz. Gehen Sie dabei so vor:
Führen Sie den folgenden Befehl aus und ersetzen Sie INSTANCE_NAME durch den Namen Ihrer Compute Engine-Instanz:
gcloud compute scp nginx.* INSTANCE-NAME
Stellen Sie mit ssh eine Verbindung zur Instanz her.
gcloud compute ssh INSTANCE-NAME
Geben Sie im Feld für die Instanz-VM das Verzeichnis an und kopieren Sie die Dateien:
Im Vergleich zum Befehl docker run ohne SSL erstellt die SSL-Version des Befehls eine andere Konfiguration. Beispiel für den SSL-Befehl:
Der Ordner mit den Schlüssel- und CRT-Dateien wird mit --volume im Container bereitgestellt.
Verwenden Sie --ssl_port=443, damit SSL von ESP auf Port 443 aktiviert wird.
Ändert das Flag --publish für die Portzuordnung.
SSL-Zertifikate aktualisieren
SSL-Zertifikate sollten regelmäßig aktualisiert werden.
Zum Aktualisieren von SSL-Zertifikaten führen Sie die folgenden Schritte aus:
Erstellen Sie neue Zertifikate und kopieren Sie sie wie in Schritt 1 oben beschrieben nach VM-Instanzen.
Kopieren Sie die neuen Zertifikate wie in Schritt 3 oben beschrieben in das Verzeichnis /etc/esp/ssl.
Beenden Sie den ESP-Container mithilfe des Befehls sudo docker run und starten Sie ihn neu, wie in Schritt 4 oben beschrieben.
SSL-Port testen
Legen Sie die folgenden Umgebungsvariablen fest, um die Tests zu vereinfachen:
Legen Sie für IP_ADDRESS die IP-Adresse der Compute Engine-Instanz mit dem neuen SSL-Zertifikat fest.
Legen Sie für ENDPOINTS_KEY einen gültigen API-Schlüssel fest.
Nachdem Sie den SSL-Port aktiviert haben, können Sie mithilfe von HTTPS Anfragen an den Extensible Service Proxy senden: Wenn Sie ein selbst signiertes Zertifikat verwenden, aktivieren Sie mit -k die unsichere Option in curl:
Alternativ können Sie das Zertifikat im Format pem generieren und das selbst signierte Zertifikat mithilfe der Option --cacert wie unten dargestellt in curl verwenden:
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-04 (UTC)."],[[["\u003cp\u003eThis document outlines how to enable a Secure Sockets Layer (SSL) port for services deployed with the Extensible Service Proxy (ESP) on Google Kubernetes Engine, Kubernetes, or Compute Engine, using self-managed SSL certificates.\u003c/p\u003e\n"],["\u003cp\u003eEnabling SSL requires configuring SSL keys and certificates, ensuring they are named \u003ccode\u003enginx.key\u003c/code\u003e and \u003ccode\u003enginx.crt\u003c/code\u003e, and that the server certificate includes both \u003ccode\u003eCN\u003c/code\u003e and \u003ccode\u003esubjectAltName\u003c/code\u003e attributes.\u003c/p\u003e\n"],["\u003cp\u003eOn Kubernetes, SSL is enabled by creating a secret with the SSL key and certificate, then editing the Kubernetes configuration files to mount these secrets as volumes and configuring ESP to use the \u003ccode\u003e--ssl_port\u003c/code\u003e flag.\u003c/p\u003e\n"],["\u003cp\u003eOn Compute Engine, SSL is enabled by copying the \u003ccode\u003enginx.key\u003c/code\u003e and \u003ccode\u003enginx.crt\u003c/code\u003e files to the \u003ccode\u003e/etc/esp/ssl\u003c/code\u003e folder on the instance and using a modified \u003ccode\u003edocker run\u003c/code\u003e command that mounts the SSL directory, uses \u003ccode\u003e--ssl_port=443\u003c/code\u003e, and adjusts port mapping.\u003c/p\u003e\n"],["\u003cp\u003eSSL certificates must be updated periodically by creating new certificates, mounting them to Kubernetes secrets or copying them to Compute Engine instances, and then updating the ESP deployment or restarting the ESP container, respectively.\u003c/p\u003e\n"]]],[],null,["# Enabling SSL for Cloud Endpoints with ESP\n\n[OpenAPI](/endpoints/docs/openapi/enabling-ssl \"View this page for the Cloud Endpoints OpenAPI docs\") \\| gRPC\n\n\u003cbr /\u003e\n\nThis page explains how to enable a Secure Sockets Layer (SSL) port when deploying the Extensible Service Proxy\n(ESP) with Google Kubernetes Engine, Kubernetes, or\nCompute Engine. You may want to enable an SSL port for your deployed Endpoints service for some use cases. For example, if you are using gRPC's transcoding feature, you might want your service to receive both HTTP 1.1 and gRPC requests on the same port.\n\nBefore you begin, make sure that you have already reviewed the [tutorials](/endpoints/docs/grpc/tutorials) for your chosen service type and environment, and know how to deploy ESP without\nSSL.\n| **Note:** This tutorial describes how to use *self-managed SSL certificates* with ESP. Google-managed SSL certificates aren't currently supported by ESP.\n\nConfiguring your SSL keys and certificates\n------------------------------------------\n\nTo configure your SSL port to serve HTTPS requests, follow the steps below:\n\n1. Check to ensure that your SSL key file is named `nginx.key` and your certificate file is named `nginx.crt`. For testing, you can generate a self-signed `nginx.key` and\n `nginx.cert` using OpenSSL with the following command:\n\n ```\n openssl req -x509 -nodes -days 365 -newkey rsa:2048 \\\n -keyout ./nginx.key -out ./nginx.crt\n ```\n2. Specify both `CN` and `subjectAltName` in your server certificate. The value of these attributes\n should match the DNS or IP used by clients to call your service; otherwise, the\n SSL handshake will fail.\n\nEnabling SSL for ESP on Kubernetes\n----------------------------------\n\nTo enable the SSL port for ESP on Kubernetes:\n\n1. Create a Kubernetes secret with your SSL key and certificate:\n\n ```\n kubectl create secret generic nginx-ssl \\\n --from-file=./nginx.crt --from-file=./nginx.key\n ```\n2. Edit the Kubernetes configuration files, for example, `esp_echo_gke.yaml`,\n as shown in the following snippet:\n\n template:\n metadata:\n labels:\n app: esp-echo\n spec:\n volumes:\n - name: nginx-ssl\n secret:\n secretName: nginx-ssl\n containers:\n - name: esp\n image: gcr.io/endpoints-release/endpoints-runtime:1\n args: [\n \"--http_port\", \"8080\",\n \"--ssl_port\", \"443\",\n \"--backend\", \"127.0.0.1:8081\",\n \"--service\", \"SERVICE_NAME\",\n \"--rollout_strategy\", \"managed\",\n ]\n ports:\n - containerPort: 8080\n - containerPort: 443\n volumeMounts:\n - mountPath: /etc/nginx/ssl\n name: nginx-ssl\n readOnly: true\n - name: echo\n image: gcr.io/endpoints-release/echo:latest\n ports:\n - containerPort: 8081\n\n\n **Note**: The configuration sample displays the lines that need to be edited. To deploy the file to Cloud Endpoints, the complete configuration file is required.\n3. Mount the Kubernetes secrets you created as volumes, following the\n directions in the [Kubernetes volumes\n page](http://kubernetes.io/docs/user-guide/volumes/).\n\n4. Start up ESP as described in\n [Specifying startup options for ESP](/endpoints/docs/grpc/specify-proxy-startup-options),\n but make sure you add the startup flag `--ssl_port` to enable the SSL port.\n (Note that the default SSL port is 443.)\n\n5. Start the service with the updated Kubernetes configuration file by using `kubectl`.\n\n ```\n kubectl apply -f esp_echo_gke.yaml\n ```\n | **Note:** If you already have an existing [Kubernetes\n | deployment](http://kubernetes.io/docs/user-guide/deployments/), you can [update the deployment](http://kubernetes.io/docs/user-guide/deployments/#updating-a-deployment) directly.\n\n### Update SSL certificates\n\nIt is important to update your SSL certificates periodically.\nTo update your SSL certificates, you must perform the following steps:\n\n- Create new certificates, as described in Step 1 above.\n- Mount the new certificates to the Kubernetes secrets, as described in Step 3 above.\n- Update the ESP Kubernetes deployment, as described in Step 5 above.\n\nEnabling SSL for ESP on Compute Engine\n--------------------------------------\n\nTo enable SSL on Compute Engine, first copy the `nginx.key` and `nginx.crt` files to\nyour Compute Engine instance's `/etc/nginx/ssl` folder, using the following steps:\n\n1. Run the following command and replace \u003cvar translate=\"no\"\u003eINSTANCE_NAME\u003c/var\u003e\n with the name of your Compute Engine instance:\n\n ```\n gcloud compute scp nginx.* INSTANCE-NAME\n ```\n2. Connect to the instance using `ssh`.\n\n ```\n gcloud compute ssh INSTANCE-NAME\n ```\n3. In the instance VM box, make the directory and copy in the files:\n\n sudo mkdir -p /etc/esp/ssl\n sudo cp server.* /etc/esp/ssl/\n\n4. Follow the instructions for your service type to deploy with Docker. When you\n run the ESP Docker container, use this command:\n\n ```\n sudo docker run --name=esp \\\n --detach \\\n --publish=443:443 \\\n --net=esp_net \\\n --volume=/etc/nginx/ssl:/etc/nginx/ssl \\\n --link=echo:echo \\\n gcr.io/endpoints-release/endpoints-runtime:1 \\\n --service=SERVICE_NAME \\\n --rollout_strategy=managed \\\n --backend=echo:8080 \\\n --ssl_port=443\n ```\n\n As compared to the non-SSL `docker run` command, the SSL version of the\n command creates a different configuration. For example, the SSL command:\n - Mounts the folder with the key and CRT files to the container by using `--volume`\n - Uses `--ssl_port=443` to tell ESP to enable SSL on port `443`.\n - Changes the port mapping flag `--publish`.\n\n### Update SSL certificates\n\nIt is important to update your SSL certificates periodically.\nTo update your SSL certificates, you must perform the following steps:\n\n- Create new certificates and copy them into VM instances, as described in Step 1 above.\n- Copy the new certificates into the `/etc/esp/ssl` directory, as described in Step 3 above.\n- Stop and restart the ESP container using the `sudo docker run` command, as described in Step 4 above.\n\nTesting the SSL port\n--------------------\n\nTo make the testing easier, set the following environment variables:\n\n1. Set \u003cvar translate=\"no\"\u003eIP_ADDRESS\u003c/var\u003e to the IP address of the Compute Engine instance with the new SSL certificate.\n\n | **Note:** The example test commands below assume that the server does not yet have a fully qualified domain name (FQDN) and that \u003cvar translate=\"no\"\u003eIP_ADDRESS\u003c/var\u003e has been used as the FQDN when generating the self-signed certificate. When the server does get an FQDN, use the FQDN to generate the certificate. Then, replace \u003cvar translate=\"no\"\u003eIP_ADDRESS\u003c/var\u003e with the FQDN in the example commands below.\n2. Set \u003cvar translate=\"no\"\u003eENDPOINTS_KEY\u003c/var\u003e to a valid [API key](https://console.cloud.google.com/apis/credentials).\n\nOnce the SSL port is enabled, you can use HTTPS to send requests to the\nExtensible Service Proxy. If your certificate is self-signed, use `-k` to turn on the insecure option in `curl`: \n\n```\ncurl -k -d '{\"message\":\"hello world\"}' -H \"content-type:application/json\" \\\nhttps://IP_ADDRESS:443/echo?key=ENDPOINTS_KEY\n```\n\nAlternatively, generate the certificate in `pem` format and use the `--cacert` option to use the self-signed certificate in `curl`, as shown below: \n\n openssl x509 -in nginx.crt -out nginx.pem -outform PEM\n curl --cacert \"./nginx.pem\" -d '{\"message\":\"hello world\"}' -H \"content-type:application/json\" \\\n https://\u003cvar translate=\"no\"\u003eIP_ADDRESS\u003c/var\u003e:443/echo?key=\u003cvar translate=\"no\"\u003eENDPOINTS_KEY\u003c/var\u003e"]]
