SSL 证书概览

传输层安全协议 (TLS) 用于对通过网络发送的信息进行加密，从而在客户端与服务器或负载均衡器之间提供隐私权。Google Cloud 代理负载均衡器的转发规则引用目标 HTTPS 代理，或者目标 SSL 代理需要私钥和 SSL 证书作为负载均衡器的目标代理配置的一部分。

证书配置方法

Google Cloud 提供了两种为 HTTP(S) 和 SSL 代理负载均衡器配置 SSL 证书的方法。这两种方法都支持自行管理和 Google 管理的 SSL 证书。

  • Compute Engine SSL 证书资源：通过此方法，全球外部应用负载均衡器、传统应用负载均衡器、外部代理网络负载均衡器、区域级外部应用负载均衡器或内部应用负载均衡器的目标代理配置为引用 Compute Engine SSL 证书资源。SSL 证书资源包含私钥、相应的证书和（可选）CA 证书。此方法支持负载均衡器支持的所有 Network Service Tiers。

  • Certificate Manager：使用此方法，将全球外部应用负载均衡器、传统应用负载均衡器或外部代理网络负载均衡器的目标代理配置为引用证书映射。证书映射包含一个或多个证书条目。每个证书条目都引用一个 Certificate Manager 证书资源，而每个证书资源都包含一个私钥和证书。借助 Certificate Manager，目标 HTTPS 代理或目标 SSL 代理可以引用具有数千个 SSL 证书条目的证书映射。只有在负载均衡器使用 Network Service Tiers 优质层级时，此方法才可用。

    对于跨区域内部应用负载均衡器、区域级内部应用负载均衡器和区域级外部应用负载均衡器，Certificate Manager 证书会附加到目标代理。不支持证书映射。

    如需了解详情，请参阅以下文档：

证书类型

您可以创建专属证书，也可以让 Google 为您管理：

  • 自行管理的 SSL 证书是您自行获取、预配和续订的证书。自行管理的证书可以是以下任何公钥证书类型：

    • 网域验证 (DV)
    • 组织验证 (OV)
    • 扩展验证 (EV) 证书

    如需详细了解自行管理的 Compute Engine SSL 证书，请参阅使用自行管理的 SSL 证书。

    如需详细了解自行管理的 SSL 证书和 Certificate Manager，请参阅 Certificate Manager 文档中的上传自行管理的证书或参阅部署自行管理的证书以获得端到端教程。

  • Google 管理的 SSL 证书是 Google Cloud 自动获取、管理和续订的证书。由 Google 管理的证书一律为网域验证 (DV) 证书。这类证书不会显示与证书相关联的组织或个人的身份，也不支持通配符公用名。

    如需详细了解 Google 管理的 Compute Engine SSL 证书，请参阅使用 Google 管理的 SSL 证书。

    Certificate Manager 使用负载均衡器授权、DNS 授权以及与 Certificate Authority Service 的集成来支持 Google 管理的 SSL 证书。如需详细了解 Google 管理的 SSL 证书 Certificate Manager，请参阅 Certificate Manager 文档中的部署概览。

证书和 Google Cloud 负载均衡器

下表显示了哪些 Google Cloud 负载均衡器支持自行管理的 Compute Engine SSL 证书和/或 Google 管理的 Compute Engine SSL 证书：

Compute Engine SSL 证书支持
负载均衡器 自行管理 由 Google 管理
全球外部应用负载均衡器 *
sslCertificates
sslCertificates
传统应用负载均衡器 *
sslCertificates
sslCertificates
区域级外部应用负载均衡器 †
regionSslCertificates
区域级内部应用负载均衡器 †
regionSslCertificates
跨区域内部应用负载均衡器 *
外部代理网络负载均衡器（使用 SSL 代理） ‡
sslCertificates
sslCertificates

* 全球外部应用负载均衡器、跨区域内部应用负载均衡器和传统应用负载均衡器使用全球目标 HTTPS 代理，即使传统应用负载均衡器使用标准层级时也是如此。

† 区域级外部应用负载均衡器和内部应用负载均衡器使用区域级目标 HTTPS 代理。

‡ 外部代理网络负载均衡器使用全球目标 SSL 代理，即使在标准层级中也是如此。

下表显示了哪些 Google Cloud 负载均衡器支持 Certificate Manager 自行管理的证书和/或 Google 管理的证书。

负载均衡器 Google 管理的证书 自行管理的证书
DNS 授权 负载均衡器授权 Certificate Authority Service (CA Service)
全球外部应用负载均衡器
info
info
info
info
传统应用负载均衡器
info
info
info
info
全局外部代理网络负载均衡器
info
info
info
info
跨区域内部应用负载均衡器
info
info
info
区域级外部应用负载均衡器
info
info
info
区域级内部应用负载均衡器
info
info
info

多个 SSL 证书

您可以使用相同的目标 HTTPS 代理或目标 SSL 代理来托管多个证书（当负载均衡器支持多个域名时，这很常见）。您可以配置单个转发规则（单个 IP 地址和端口）来引用公共目标代理，也可以配置多个转发规则（不同的 IP 地址和端口）以引用通用目标代理。

多个 Compute Engine SSL 证书资源

使用 Compute Engine SSL 证书资源时，每个目标代理资源最多可以引用“每个目标 HTTPS 或目标 SSL 代理的 SSL 证书数量上限”。如需了解详情，请参阅负载均衡配额和限制文档中的目标池和目标代理。

负载均衡器的目标代理引用的第一个 Compute Engine SSL 证书资源被视为负载均衡器的默认（主要）证书。

使用 Certificate Manager 的多个 SSL 证书

将 Certificate Manager 与负载均衡器上的证书映射搭配使用时，每个目标代理资源都会引用一个证书映射。 证书映射会引用一个或多个证书条目，您可以配置哪个证书条目是映射的默认（主要）证书。映射、条目和 Certificate Manager 证书的数量是可配置的每项目配额。如需了解详情，请参阅 Certificate Manager 文档中的资源配额。

如果您使用的是支持 Certificate Manager 的负载均衡器，并且需要为每个目标代理托管多个 SSL 证书，请确保您使用的是 Certificate Manager 而不是 Compute Engine SSL 证书资源。

证书选择方法

客户端连接到 HTTP(S) 或 SSL 代理负载均衡器后，客户端和负载均衡器会协商 TLS 会话。在 TLS 会话协商期间，客户端向负载均衡器发送其支持的 TLS 加密列表（在 ClientHello 中）。负载均衡器选择其公钥算法与客户端兼容的证书。作为此协商的一部分，客户端还可以向负载均衡器发送服务器名称指示 (SNI) 主机名。SNI 主机名数据有时用于帮助负载均衡器选择应发送到客户端的证书。

您可以对 Google Cloud 代理负载均衡器用于选择要发送到客户端的证书的过程进行建模，如下所示。在您的模型中，从目标 HTTPS 代理或目标 SSL 代理上配置的所有 SSL 证书开始，无论配置方法如何。

  1. 负载均衡器选择一个候选证书：

    • 如果负载均衡器的目标代理仅引用一个 Compute Engine SSL 证书资源，或者负载均衡器的目标代理引用了只有一个证书条目的 Certificate Manager 映射，则负载均衡器将使用配置的证书作为候选证书。SNI 主机名的值（如果提供的话）完全不会影响负载均衡器。继续执行步骤 2。

    • 如果负载均衡器的目标代理引用两个或更多 Compute Engine SSL 证书资源，或者负载均衡器的目标代理引用具有两个或更多证书条目的证书管理器映射，则负载均衡器会使用以下过程选择单个候选证书：

      • 如果客户端未在其 ClientHello 中发送任何 SNI 主机名，则负载均衡器使用默认（主要）SSL 证书作为候选证书。继续执行步骤 2。

      • 如果客户端发送的 SNI 主机名与任何证书通用名称 (CN) 不匹配，且与任何证书主题备用名称 (SAN) 都不匹配，则负载均衡器使用默认（主要）SSL 证书作为候选证书。继续执行步骤 2。

      • 负载均衡器选择与客户端发送的 SNI 主机名匹配的候选证书。通过通用名称 (CN) 和主题备用名称 (SAN) 证书特性的最长前缀完成匹配，优先选择 ECDSA 证书而非 RSA 证书。为了说明匹配的方法，设想目标代理引用一个其 CN 为 cats.pets.example.com 的证书以及另一个其 CN 为 dogs.pets.example.com 的证书。除了在其 SAN 中包含每个 CN 值之外，每个证书还在其 SAN 中包含 *.pets.example.com 和 *.example.com。

        • 如果提供的 SNI 主机名是 cats.pets.example.com，则负载均衡器使用 CN 为 cats.pets.example.com 的证书作为候选证书。继续执行步骤 2。
        • 如果提供的 SNI 主机名是 ferrets.pets.example.com，则负载均衡器使用两个中的一个证书作为证书候选证书，因为两个已配置的证书的 SAN 都包含 *.pets.example.com。在这种情况下，您无法控制两个证书中的哪个证书成为候选证书。继续执行步骤 2。

  2. 如果候选证书使用的公钥算法与客户端声明的任一加密兼容，则将向客户端发送候选证书。

    • 如果客户端不支持包含证书公钥算法（ECDSA 或 RSA）的加密套件，则 TLS 协商可能会失败。
    • 负载均衡器不使用证书的 notValidBefore 和 notValidAfter 特性作为候选证书选择方法的任何部分。例如，如果选择了过期证书作为候选证书，则负载均衡器可以提供过期的证书。

价格

使用 Google Cloud 负载均衡器时，会产生网络费用。如需了解详情，请参阅所有网络流量价格。 如需了解 Certificate Manager 的价格，请参阅 Certificate Manager 文档中的价格。使用 Compute Engine SSL 证书资源无需额外费用。

后续步骤

自行试用

如果您是 Google Cloud 新手，请创建一个账号来评估我们的产品在实际场景中的表现。新客户还可获享 $300 赠金，用于运行、测试和部署工作负载。

免费开始使用