使用自行管理的 SSL 证书

自行管理的 SSL 证书是您自行获取、预配和续订的证书。您可以使用此资源来确保客户端与负载均衡器之间的通信安全。

自行管理的证书可以是以下证书类型的任意组合：

网域验证 (DV)
组织验证 (OV)
扩展验证 (EV)

以下负载均衡器支持自行管理的证书：

全球证书
- 全球外部应用负载均衡器
- 传统应用负载均衡器
- 外部代理网络负载均衡器（使用目标 SSL 代理）
区域证书
- 区域外部应用负载均衡器
- 内部应用负载均衡器

本页介绍获取有效 Compute Engine 证书，然后上传证书以创建 Google Cloud SSL 证书资源的过程。

如需使用 Certificate Manager 创建 Google 管理的证书，请参阅部署概览。

须知事项

请确保您熟悉 SSL 证书概览。
请确保您拥有要用于自行管理的 SSL 证书的域名。如果您使用的是 Cloud Domains，请参阅第 1 步：使用 Cloud Domains 注册域名。

权限

如需执行本指南中的任务，您必须能够在项目中创建和修改 SSL 证书。如果存在以下任一情况，您可以执行此操作：

您是 Project Owner 或 Project Editor（roles/owner 或 roles/editor）。
您在项目中同时拥有 Compute Security Admin 角色 (compute.securityAdmin) 和 Compute Network Admin 角色 (compute.networkAdmin)。
您在项目中拥有自定义角色，该角色包含 compute.sslCertificates.* 权限以及 compute.targetHttpsProxies.* 和/或 compute.targetSslProxies.*，具体取决于您使用的负载均衡器类型。

第 1 步：创建私钥和证书

如果您已具有证书授权机构 (CA) 颁发的私钥和证书，请跳过此部分并转到创建 SSL 证书资源。

选择或创建私钥

Google Cloud SSL 证书同时包含私钥和证书本身，两者均采用 PEM 格式。您的私钥必须符合以下条件：

必须采用 PEM 格式。
无法通过密码进行保护。Google Cloud 以专属加密格式存储您的私钥。
其加密算法必须是 RSA-2048 或 ECDSA P-256。

如需创建新的私钥，请使用以下 OpenSSL 命令之一。

创建 RSA-2048 私钥：

openssl genrsa -out PRIVATE_KEY_FILE 2048

创建 ECDSA P-256 私钥：

openssl ecparam -name prime256v1 -genkey -noout -out PRIVATE_KEY_FILE

将 PRIVATE_KEY_FILE 替换为新私钥文件的路径和文件名。

创建证书签名请求 (CSR)

拥有私钥后，您便可以使用 OpenSSL 生成 PEM 格式的证书签名请求 (CSR)。您的 CSR 必须符合以下条件：

必须采用 PEM 格式。
必须具有公用名 (CN) 或主题备用名称 (SAN) 特性。实际上，您的证书应该同时包含 CN 和 SAN 特性（即使是用于单个网域），这是因为，现代的客户端（例如 macOS 和 iOS 的当前版本）不仅仅依赖于 CN 特性。

如需创建 CSR，请按照以下步骤操作：

创建一个 OpenSSL 配置文件。在以下示例中，主题备用名称是在 [sans_list] 中定义的。

cat <<'EOF' >CONFIG_FILE
[req]
default_bits              = 2048
req_extensions            = extension_requirements
distinguished_name        = dn_requirements
prompt                    = no

[extension_requirements]
basicConstraints          = CA:FALSE
keyUsage                  = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName            = @sans_list

[dn_requirements]
countryName               = Country Name (2 letter code)
stateOrProvinceName       = State or Province Name (full name)
localityName              = Locality Name (eg, city)
0.organizationName        = Organization Name (eg, company)
organizationalUnitName    = Organizational Unit Name (eg, section)
commonName                = Common Name (e.g. server FQDN or YOUR name)
emailAddress              = Email Address

[sans_list]
DNS.1                     = SUBJECT_ALTERNATIVE_NAME_1
DNS.2                     = SUBJECT_ALTERNATIVE_NAME_2

EOF

运行以下 OpenSSL 命令以创建证书签名请求 (CSR) 文件。该命令是交互式的；系统会提示您输入特性（主题备用名称除外，您已在上一步中在 CONFIG_FILE 的 [sans_list] 中定义了）。
```
openssl req -new -key PRIVATE_KEY_FILE \
    -out CSR_FILE \
    -config CONFIG_FILE
```

对于这两个步骤，请替换以下内容：

CONFIG_FILE：OpenSSL 配置文件的路径，包括文件名（您可以在完成此过程后删除该文件）
SUBJECT_ALTERNATIVE_NAME_1 和 SUBJECT_ALTERNATIVE_NAME_2：证书的主题备用名称

如果您的证书仅用于一个主机名，则仅应定义一个与公用名匹配的主题备用名称。如果您需要的主题备用名称超过两个，请将其添加到配置文件中，注意递增 DNS 后面的数字（DNS.3、DNS.4 等等）。
PRIVATE_KEY_FILE：私钥文件的路径
CSR_FILE：CSR 的路径，包括文件名

为 CSR 签名

当证书授权机构 (CA) 为您的 CSR 签名时，会使用其专属私钥来创建证书。使用以下任一方法为 CSR 签名：

使用受大众信任的 CA

如果您请求由受大众信任的 CA 为您的 CSR 签名，则所有信任该公共 CA 的客户端都会信任生成的证书。公共 CA 只需要您的 CSR 即可生成签名证书。

使用您自己的内部 CA

如果您管理着自己的 CA，则可以使用它来为 CSR 签名。如果您的客户端也已配置为信任您自己的 CA，则使用您的 CA 为 CSR 签名会创建内部信任的证书。

使用自签名证书

如果您使用用于创建 CSR 的同一私钥为 CSR 签名，则表示您已经创建了自签名证书。自签名证书只能用于测试用途。

Google Cloud 不支持自签名服务器证书的客户端验证。因此，您必须将客户端配置为跳过证书验证。例如，您可以创建一个网络浏览器客户端，该客户端显示一条消息，询问您是否要信任自签名证书。

如果您管理着自己的 CA，或者想要创建用于测试的自签名证书，则可以使用以下 OpenSSL 命令：

openssl x509 -req \
    -signkey PRIVATE_KEY_FILE \
    -in CSR_FILE \
    -out CERTIFICATE_FILE \
    -extfile CONFIG_FILE \
    -extensions extension_requirements \
    -days TERM

请替换以下内容：

PRIVATE_KEY_FILE：您的 CA 的私钥路径；如果创建用于测试的自签名证书，则此私钥与用于创建 CSR 的私钥为同一个。
CSR_FILE：CSR 的路径
CERTIFICATE_FILE：要创建的证书文件的路径
TERM：对证书进行验证的客户端认定该证书有效的天数（从现在起算）

公用名中的通配符

自行管理的 SSL 证书可在公用名中使用通配符。例如，公用名为 *.example.com. 的证书与主机名 www.example.com 和 foo.example.com 匹配，但与 a.b.example.com 或 example.com 不匹配。当负载均衡器选择证书时，它始终会先将主机名与不带通配符的证书进行匹配，然后再与带通配符的证书进行匹配。

带通配符片段（例如 f*.example.com）的证书不受支持。

第 2 步：创建自行管理的 SSL 证书资源

您必须拥有私钥和证书，然后才能创建 Google Cloud SSL 证书资源。如果您尚未创建或获得私钥和证书，请参阅创建私钥和证书。

创建证书后，您无法将其范围从全球更改为区域级，也无法将其范围从区域级更改为全球。

控制台

您可以在 Google Cloud 控制台中的经典证书标签页上使用全球 SSL 证书。无法在 Google Cloud 控制台中创建区域级 SSL 证书。使用 gcloud 或 REST API。

转到 Google Cloud 控制台中的经典证书标签页。
转到“经典证书”标签页
点击创建 SSL 证书。
为证书输入名称和可选说明。
选择上传我的证书。
粘贴您的证书，或点击上传以导航到您的证书文件。
您可以选择将 CA 证书链包含到证书所在的文件中。Google Cloud 不会为您验证证书链，您必须自行负责验证。
粘贴您的私钥，或点击上传以导航到您的私钥文件。
点击创建。

gcloud

如需创建全球 SSL 证书，请使用带有 --global 标志的 gcloud compute ssl-certificates create 命令：

gcloud compute ssl-certificates create CERTIFICATE_NAME \
    --certificate=CERTIFICATE_FILE \
    --private-key=PRIVATE_KEY_FILE \
    --global

如需创建区域级 SSL 证书，请使用带有 --region 标志的 gcloud compute ssl-certificates create 命令：

gcloud compute ssl-certificates create CERTIFICATE_NAME \
    --certificate=CERTIFICATE_FILE \
    --private-key=PRIVATE_KEY_FILE \
    --region=REGION

请替换以下内容：

CERTIFICATE_NAME：要创建的全球性证书资源的名称
CERTIFICATE_FILE：PEM 格式的证书文件的路径

您可以选择将 CA 证书链包含到证书所在的文件中。Google Cloud 不会为您验证证书链 - 您需要自行负责验证。
PRIVATE_KEY_FILE：PEM 格式的私钥的路径；私钥无法通过密码进行保护
REGION：区域性 SSL 证书的区域（如果适用）。

如果此证书资源用于内部应用负载均衡器或区域外部应用负载均衡器，则该区域必须与负载均衡器所在的区域相同。

API

如需使用 API 方法，您必须先读取证书和私钥文件，因为 API 请求必须发送这些文件的内容。

读取证书和私钥文件，然后创建 SSL 证书。以下示例显示了如何使用 Python 执行此操作。

对于全球 SSL 证书，请使用 sslCertificates.insert API 方法：

from pathlib import Path
from pprint import pprint
from typing import Union

from googleapiclient import discovery


def create_certificate(
    project_id: str,
    certificate_file: Union[str, Path],
    private_key_file: Union[str, Path],
    certificate_name: str,
    description: str = "Certificate created from a code sample.",
) -> dict:
    """
    Create a global SSL self-signed certificate within your Google Cloud project.

    Args:
        project_id: project ID or project number of the Cloud project you want to use.
        certificate_file: path to the file with the certificate you want to create in your project.
        private_key_file: path to the private key you used to sign the certificate with.
        certificate_name: name for the certificate once it's created in your project.
        description: description of the certificate.

    Returns:
        Dictionary with information about the new global SSL self-signed certificate.
    """
    service = discovery.build("compute", "v1")

    # Read the cert into memory
    with open(certificate_file) as f:
        _temp_cert = f.read()

    # Read the private_key into memory
    with open(private_key_file) as f:
        _temp_key = f.read()

    # Now that the certificate and private key are in memory, you can create the
    # certificate resource
    ssl_certificate_body = {
        "name": certificate_name,
        "description": description,
        "certificate": _temp_cert,
        "privateKey": _temp_key,
    }
    request = service.sslCertificates().insert(
        project=project_id, body=ssl_certificate_body
    )
    response = request.execute()
    pprint(response)
    return response

对于区域级 SSL 证书，请使用 regionSslCertificates.insert API 方法：

from pathlib import Path
from pprint import pprint
from typing import Union

from googleapiclient import discovery


def create_regional_certificate(
    project_id: str,
    region: str,
    certificate_file: Union[str, Path],
    private_key_file: Union[str, Path],
    certificate_name: str,
    description: str = "Certificate created from a code sample.",
) -> dict:
    """
    Create a regional SSL self-signed certificate within your Google Cloud project.

    Args:
        project_id: project ID or project number of the Cloud project you want to use.
        region: name of the region you want to use.
        certificate_file: path to the file with the certificate you want to create in your project.
        private_key_file: path to the private key you used to sign the certificate with.
        certificate_name: name for the certificate once it's created in your project.
        description: description of the certificate.

        Returns:
        Dictionary with information about the new regional SSL self-signed certificate.
    """
    service = discovery.build("compute", "v1")

    # Read the cert into memory
    with open(certificate_file) as f:
        _temp_cert = f.read()

    # Read the private_key into memory
    with open(private_key_file) as f:
        _temp_key = f.read()

    # Now that the certificate and private key are in memory, you can create the
    # certificate resource
    ssl_certificate_body = {
        "name": certificate_name,
        "description": description,
        "certificate": _temp_cert,
        "privateKey": _temp_key,
    }
    request = service.regionSslCertificates().insert(
        project=project_id, region=region, body=ssl_certificate_body
    )
    response = request.execute()
    pprint(response)

    return response

如需查看其他代码示例，请参阅 API 参考页面。

第 3 步：将 SSL 证书与目标代理相关联

您必须将至少一个 SSL 证书与每个目标 HTTPS 或 SSL 代理相关联。您可以为目标代理配置多个 SSL 证书，但总数量不能超过每个目标 HTTPS 或目标 SSL 代理的 SSL 证书数量上限。您可以在同一个目标代理上引用多个自行管理的证书。

控制台

使用 Google Cloud 控制台修改现有负载均衡器时，SSL 证书会自动与相应的目标代理相关联。

gcloud

如需将全球 SSL 证书与目标 HTTPS 代理相关联，请使用带 --global 和 --global-ssl-certificates 标志的 gcloud compute target-https-proxies update 命令：

gcloud compute target-https-proxies update TARGET_PROXY_NAME \
    --global \
    --ssl-certificates=SSL_CERTIFICATE_LIST \
    --global-ssl-certificates

如需将全球 SSL 证书与目标 SSL 代理相关联，请使用 gcloud compute target-ssl-proxies update 命令：

gcloud compute target-ssl-proxies update TARGET_PROXY_NAME \
    --ssl-certificates=SSL_CERTIFICATE_LIST

如需将区域级 SSL 证书与目标 HTTPS 代理相关联，请使用带有 --region 和 --ssl-certificates-region 标志的 gcloud compute target-https-proxies update 命令：

gcloud compute target-https-proxies update TARGET_PROXY_NAME \
    --region=REGION \
    --ssl-certificates=SSL_CERTIFICATE_LIST \
    --ssl-certificates-region=REGION

请替换以下内容：

TARGET_PROXY_NAME：负载均衡器的目标代理名称
REGION（如果适用）：区域性目标代理和区域性 SSL 证书的区域；区域必须匹配
SSL_CERTIFICATE_LIST：以英文逗号分隔的 Google Cloud SSL 证书名称列表

确保引用的证书列表包含所有旧的有效 SSL 证书，以及新的 SSL 证书。gcloud compute target-ssl-proxies update 命令会使用新值替换 --ssl-certificates 的原始值。

API

如需将全球 SSL 证书与目标 HTTPS 代理相关联，请向 targetHttpsProxies.insert 方法发出 POST 请求，并将 PROJECT_ID 替换为您的项目 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/targetHttpsProxy

{
"name": "l7-xlb-proxy",
"urlMap": "projects/PROJECT_ID/global/urlMaps/l7-xlb-map",
"sslCertificates": /projectsPROJECT_IDglobal/sslCertificates/SSL_CERT_NAME
}

如需将全球 SSL 证书与目标 HTTPS 代理相关联，请向 targetSslProxies.insert 方法发出 POST 请求，并将 PROJECT_ID 替换为您的项目 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/targetSslProxy

{
"name": "l7-ssl-proxy",
"sslCertificates": /projectsPROJECT_IDglobal/sslCertificates/SSL_CERT_NAME
}

如需将区域 SSL 证书与目标 HTTPS 代理相关联，请向 targetHttpsProxies.insert 方法发出 POST 请求，并将 PROJECT_ID 替换为您的项目 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/targetHttpsProxy

{
"name": "l7-xlb-proxy",
"urlMap": "projects/PROJECT_ID/global/urlMaps/l7-ilb-map",
"region": "us-west1"
"sslCertificates": /projectsPROJECT_IDregions/us-west1/sslCertificates/SSL_CERT_NAME
}

第 4 步：更新 DNS A 和 AAAA 记录以指向负载均衡器的 IP 地址

在您的注册商网站、DNS 主机或 ISP（管理 DNS 记录的任何位置）上，为您的网域和任何子网域添加或更新 DNS A 记录（对于 IPv4）和 DNS AAAA 记录（对于 IPv6），使其指向与负载均衡器的一条或多条转发规则关联的 IP 地址。

如果您使用的是 Cloud DNS 和 Cloud Domains，请设置您的域名并更新您的域名服务器。

如果您对单个证书使用多个网域，则必须为所有网域和任何子网域添加或更新 DNS 记录，以使其全部指向负载均衡器的 IP 地址。

等待 DNS 传播完成后，您可以通过运行 dig 命令来验证设置。例如，假设您的网域是 www.example.com。运行以下 dig 命令：

dig www.example.com

; <<>> DiG 9.10.6 <<>> www.example.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 31748
;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;www.example.com.           IN  A

;; ANSWER SECTION:
www.example.com.        1742    IN  CNAME   www.example.com.edgekey.net.
www.example.com.edgekey.net. 21330 IN   CNAME   www.example.com.edgekey.net.globalredir.akadns.net.
www.example.com.edgekey.net.globalredir.akadns.net. 3356 IN CNAME   e6858.dsce9.akamaiedge.net.
e6858.dsce9.akamaiedge.net. 19  IN  A   203.0.113.5

;; Query time: 43 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Wed Jun 03 16:54:44 PDT 2020
;; MSG SIZE  rcvd: 193

在此示例中，203.0.113.5 是您的负载均衡器的 IP 地址。

第 5 步：使用 OpenSSL 进行测试

负载均衡器最多可能需要 30 分钟才会开始使用自行管理的 SSL 证书。

如需进行测试，请运行以下 OpenSSL 命令，注意将 DOMAIN 替换为您的 DNS 名称，并将 IP_ADDRESS 替换为您的负载均衡器的 IP 地址。

echo | openssl s_client -showcerts -servername DOMAIN -connect IP_ADDRESS:443 -verify 99 -verify_return_error

此命令会输出负载均衡器提供给客户端的证书。输出应包含证书链和 Verify return code: 0 (ok) 以及其他详细信息。