配置 SSL (TLS) 证书

创建媒体 CDN 服务后 您可以颁发 SSL (TLS) 证书并将其附加到 支持在浏览器和移动应用中使用安全连接。

颁发托管式证书

创建托管式证书并将其附加到媒体 CDN 您必须执行以下操作：

1. 证明您对目标网域的所有权（“授权”） 通过创建质询令牌和添加 DNS 来颁发 记录。
2. 创建具有一个或多个基于域名的 EDGE_CACHE 类型的证书 有关该授权的信息
3. 将该证书附加到一个或多个边缘缓存服务。

您必须拥有以下 Identity and Access Management 权限才能授权、创建和 将证书附加到边缘缓存服务：

• certificatemanager.certs.create
• certificatemanager.certs.get
• certificatemanager.certs.list
• certificatemanager.certs.use
• certificatemanager.dnsauthorizations.create
• certificatemanager.dnsauthorizations.get
• certificatemanager.dnsauthorizations.list
• certificatemanager.dnsauthorizations.use

需要将现有证书附加到 Media CDN 服务的用户需要拥有 certificatemanager.certs.get、certificatemanager.certs.list 和 certificatemanager.certs.use IAM 权限。

准备工作

• 您必须拥有已注册的域名，才能更新公共 DNS 记录 。
• 阅读 SSL 证书概览。

创建 DNS 授权

首先，您必须创建 DNS 授权以证明您 然后才能为其颁发证书。DNS 授权使用 DNS-01 ACME 质询，可让您在将面向用户的流量定向到边缘缓存服务之前颁发证书。

将 domain 的值设置为您要创建证书的域名 如下所示：

注意 ：若要支持 Certificate Manager，Google Cloud CLI 需要 gcloud CLI 版本 392.0.0（对于 gcloud beta 支持，版本为 327.0.0）或更高版本。使用 gcloud version 和 gcloud components update 执行以下操作： 请检查版本并更新您安装的 Google Cloud CLI。

gcloud

使用 gcloud certificate-manager dns-authorizations 命令：

gcloud certificate-manager dns-authorizations create DOMAIN_NAME_AUTH \
    --domain="DOMAIN_NAME"
gcloud certificate-manager dns-authorizations describe DOMAIN_NAME_AUTH

gcloud CLI 会返回包含 DNS 记录详细信息的响应 您需要添加的所有文件

createTime: '2022-01-14T13:35:00.258409106Z'
dnsResourceRecord:
  data: 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog.
  name: _acme-challenge.example.com.
  type: CNAME
domain: example.com
name: projects/myProject/locations/global/dnsAuthorizations/myAuthorization
updateTime: '2022-01-14T13:35:01.571086137Z'

Terraform

resource "google_certificate_manager_dns_authorization" "default" {
  name        = "example-dns-auth"
  description = "example dns authorization "
  domain      = "test.example.com"
}

要点：必须在网域的权威 DNS 提供商处添加记录。Certificate Manager 会定期轮询网域以获取记录和更新 找到（有效）记录后的授权状态。

如果您的网域使用的是 Cloud DNS，请参阅 添加新记录的步骤 您的托管域。如果您使用的是其他 DNS 提供商，请参阅其文档了解如何添加 CNAME 记录。

• 您可以针对需要发出验证请求的每个网域重复此步骤。 证书。
• 证书可以包含多个网域，或者您也可以根据需要为每个网域颁发证书。获得对网域的授权后，您可以使用该授权颁发证书。
• 我们建议您创建的证书总数不要太多，每个证书都包含用于您的服务的所有域名。当出现以下情况时，这可提升客户端性能 使用多个网域，因为客户端可以更多地从 TLS 恢复中受益 。
• 每个边缘缓存服务最多可以引用 5 个证书。通过减少证书的签发次数，您可以保持在此限制范围内。

注意 ：请确保用于网域控制验证 (DCV) 的 DNS 记录 （即使在证书颁发后也是如此）。证书管理器 需要此记录来续订证书。如果您删除此记录， 证书管理器无法续订您的证书，这可能会导致停机 。

如果您日后需要检索 DNS 记录值，请针对您在创建 DNS 授权时提供的 authorizationName 发出请求：

创建证书

添加了证明您要为哪个/哪些网域创建证书的所有权的 DNS 记录后，您就可以发出证书创建请求了。

dnsAuthorizations 列表必须与现有名称一致 授权。如果您想添加多个 多个网域添加到同一个证书，请提供 domains[] 列表和匹配的 dnsAuthorizations[]。

使用名为 test.example.com 的授权创建证书 test-example-com:

gcloud

使用 gcloud certificate-manager certificates 命令：

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAME" \
    --dns-authorizations="DOMAIN_NAME_AUTH" \
    --scope=EDGE_CACHE

这会创建一个证书，其中每个 DNS 授权均处于 AUTHORIZING 状态，证书处于 PROVISIONING 状态：

Create request issued for: [DOMAIN_NAME]
Waiting for operation [projects/my-project/locations/global/operations/operatio
n-1613425627385-5bb66ed644e91-3e2a2f1f-71979cf8] to complete...done.
Created certificate [CERTIFICATE_NAME].

Terraform

resource "google_certificate_manager_certificate" "default" {
  name        = "example-dns-cert"
  description = "example dns certificate"
  scope       = "EDGE_CACHE"
  managed {
    domains = [
      google_certificate_manager_dns_authorization.default.domain,
    ]
    dns_authorizations = [
      google_certificate_manager_dns_authorization.default.id,
    ]
  }
}

证书创建过程可能需要几分钟（最长一个小时）的时间 具体取决于以下各项：

• DNS 提供商传播配置更改的速度。
• 您尝试为其验证和创建证书的网域数量。

state 字段会显示证书的当前状态：

• PROVISIONING - 证书仍在预配中。这可能是因为证书创建请求是最近才发出的。
• FAILED - 多次尝试验证网域后返回 或颁发证书。如需了解详情，请参阅《provisioning_issue》， authorization_attempt_info 和 failure_reason 字段。
• ACTIVE - 已成功验证网域和证书 都已预配

如需查看证书的状态，请执行以下操作：

gcloud

使用 gcloud certificate-manager certificates 命令：

gcloud certificate-manager certificates describe CERTIFICATE_NAME

在此示例中，DNS 授权为 AUTHORIZED，证书为 状态为 ACTIVE：

createTime: '2021-02-07T20:03:39.867762684Z'
expireTime: '2021-03-09T19:20:41Z'
managed:
  authorizationAttemptInfo:
  - domain: DOMAIN_NAME
    state: AUTHORIZED
  dnsAuthorizations:
  - projects/111111111111/locations/global/dnsAuthorizations/test-example-com
  domains:
  - DOMAIN_NAME
  state: ACTIVE
name: projects/my-project/locations/global/certificates/test-example-com
scope: EDGE_CACHE
subjectAlternativeNames:
- DOMAIN_NAME
updateTime: '2021-02-07T20:03:40.297242738Z'

证书 ACTIVE 后，您可以将其附加到 边缘缓存服务。

注意：Google Cloud（以及大多数其他证书提供商）颁发的所有证书都会记录到公开的证书透明度 (CT) 日志中。

将证书附加到服务

创建托管式证书后，您可以执行以下操作： 将其与一项或多项边缘缓存服务相关联。 您可以通过更新 服务中的 edgeSslCertificates 的列表。

您必须拥有以下 IAM 权限才能附加 证书传递给边缘缓存服务：

• certificatemanager.certs.get
• certificatemanager.certs.list
• certificatemanager.certs.use
• networkservices.edgeCacheServices.get
• networkservices.edgeCacheServices.list
• networkservices.edgeCacheServices.update

注意： 请确保您的 routing.hostRules[].hosts[] 条目与 附加证书上的至少一个网域。如果没有要匹配的主机名，Media CDN 会向客户端返回 HTTP 404。

如需将证书附加到服务，请完成以下步骤。

gcloud

运行 gcloud edge-cache services export 命令以导出服务的 YAML 文件：

gcloud edge-cache services export MY_SERVICE \
    --destination=my-service.yaml

修改导出的 YAML 文件以添加证书：

name: MY_SERVICE
edgeSslCertificates:
- projects/PROJECT_ID/locations/global/certificates/CERTIFICATE_NAME

运行 gcloud edge-cache services import 命令：

gcloud edge-cache services import MY_SERVICE \
    --source=my-service.yaml

输出：

Request issued for: [MY_SERVICE]
Updated service [MY_SERVICE]

该命令会返回服务的说明，包括当前关联的 edgeSslCertificates 列表：

  name: MY_SERVICE
  edgeSslCertificates:
  - projects/PROJECT_ID/locations/global/certificates/CERTIFICATE_NAME

更新配置后，证书会在几分钟内传播到所有边缘位置。要测试该证书是否与您的 更改 DNS 前的边缘缓存服务， 与您的服务关联的 IPv4 或 IPv6 地址。

替换和移除证书

您可以通过更新证书列表来添加和移除证书。

使用 gcloud CLI 的 --edge-ssl-certificate 标志时， 证书只会附加到现有证书列表中 已替换。这样可以防止您意外移除有效的有效证书。

如需从我们的服务中移除 test-example-com 证书，请按以下步骤操作 你可以使用 导入和导出命令

  name: my-service
  edgeSslCertificates:
  - projects/PROJECT_ID/locations/global/certificates/test-example-com
  - projects/PROJECT_ID/locations/global/certificates/CERTIFICATE_NAME

以下命令展示了如何导出服务、移除证书引用并导入更新后的服务。

gcloud

使用 gcloud edge-cache services 命令：

gcloud edge-cache services export MY_SERVICE --destination=my-service.yaml

Exported [projects/my-project/locations/global/edgeCacheServices/MY_SERVICE] to 'my-service.yaml'.

使用 首选文本编辑器：

  name: MY_SERVICE
  edgeSslCertificates:
  - projects/PROJECT_ID/locations/global/certificates/CERTIFICATE_NAME

保存修改后的文件，然后导入更新后的服务：

gcloud

使用 gcloud edge-cache services 命令：

gcloud edge-cache services import MY_SERVICE --source=my-service.yaml

Request issued for: [MY_SERVICE]
Updated service [MY_SERVICE].

证书可关联的服务数量不受限制 每个边缘缓存服务最多可以引用五个证书

自行管理的证书

注意 ：我们强烈建议您使用代管式证书， 以避免证书意外过期的风险。

如果您有需要上传自有证书的特定用例，可以将自有证书上传到媒体 CDN。

如需将证书及其关联的密钥上传到 Certificate Manager，请执行以下操作：

gcloud

使用 gcloud certificate-manager certificates 命令。请务必为与媒体 CDN 关联的证书指定 --scope=EDGE_CACHE。

gcloud certificate-manager certificates create stream-example-com \
    --certificate-file=CERT.pem \
    --private-key-file=PRIVATE_KEY.pem \
    --scope=EDGE_CACHE

Create request issued for: [stream-example-com]
Created certificate [stream-example-com].

上传证书后，您可以像管理证书一样将其附加到 EdgeCacheService。

排查证书颁发问题

如需了解如何解决常见的证书授权和签发错误，请参阅问题排查指南。

后续步骤

• 将所有 HTTP 请求重定向到 HTTPS，以默认加密通信
• 使用 Logging 查看请求日志
• 配置已签名的请求 以保护您的内容
• 优化缓存键和 TTL，以提高缓存命中率
• 配置高级路由匹配 并添加更多来源