Media CDN es compatible con la entrega de encriptación TLS (HTTPS) de primer nivel. tráfico proveniente de tu propio nombre de dominio, así como la compatibilidad solicitudes firmadas. Media CDN se entrega desde tu propio dominio (trae tu propio dominio o Media CDN con tu propio dominio) y no es necesario que se entregue desde un dominio alojado por Google.
- No hay cargos adicionales asociados con la entrega de tráfico SSL (TLS) o la obtención de certificados administrados por Google: la protección del tráfico del usuario final no debe ser prémium.
- Media CDN admite certificados administrados por Google, para que Google administre la rotación, las claves y la distribución segura a miles de nodos perimetrales, así como certificados autoadministrados (subidos).
- Cada servicio puede admitir hasta 5 certificados SSL.
- Cada certificado administrado puede tener hasta 100 nombres (Subject Alternative Nombres).
Te recomendamos entregar tu servicio de caché perimetral desde nombres de host dedicados (subdominios) y usar certificados administrados independientes para tus dominios de medios, como una buena práctica de seguridad.
Crea y emite certificados
Para validar, emitir y adjuntar un certificado SSL (TLS) administrado a un servicio de Media CDN, consulta cómo configurar certificados SSL.
Tipos de certificados
Media CDN admite dos tipos de certificados:
- Certificados administrados, que Google puede aprovisionar en tu nombre para los nombres de dominio que posees. No necesitas claves seguras, y los certificados se renuevan automáticamente.
- Certificados autoadministrados, que se suben al Administrador de certificados directamente. Eres responsable de subir un certificado válido y de confianza pública, así como de reemplazarlo antes de que venza.
Debido a que los certificados administrados se pueden autorizar y emitir antes de dirigir tráfico en Media CDN, puedes aprovisionar certificados antes lo que ayuda a reducir el tráfico de producción y a evitar el tiempo de inactividad.
En algunos casos, como cuando necesitas la fijación de claves en aplicaciones para dispositivos móviles o la compatibilidad con dispositivos heredados con almacenes de confianza desactualizados, es posible que debas usar certificados administrados por el usuario. También puedes usar tanto recursos autoadministrados certificados en el mismo servicio si tienes nombres de dominio específicos (hosts) que requieren certificados autoadministrados.
Autoriza la emisión de certificados
Si deseas que tus certificados administrados por Google estén listos para usarse antes de que tu
entorno de producción esté completamente configurado, por ejemplo, antes de iniciar una migración de
otro proveedor a Google Cloud, puedes aprovisionarlos con autorizaciones de DNS. En esta situación, el Administrador de certificados usa
validación basada en DNS. Cada autorización de DNS almacena información sobre el
registro que necesitas configurar y abarca un solo dominio más su comodín, para
Por ejemplo, myorg.example.com
y *.myorg.example.com
.
Cuando creas un certificado administrado por Google, puedes especificar uno o más DNS autorizaciones para usar en el aprovisionamiento y la renovación de ese certificado. Si usan varios certificados para un solo dominio, puedes especificar misma autorización de DNS en cada uno de esos certificados. Tus autorizaciones de DNS Debe abarcar todos los dominios especificados en el certificado. De lo contrario, el certificado la creación y las renovaciones fallan.
Puedes administrar los certificados de cada proyecto por separado mediante la autorización de DNS por proyecto. Esto significa que el Administrador de certificados puede emitir y administrar certificados para cada proyecto de forma independiente en Google Cloud. Las autorizaciones y los certificados de DNS que usas en un proyecto son independientes y no interactúan con los de otros proyectos.
Para configurar una autorización de DNS, debes agregar un registro CNAME
para un subdominio de validación anidado en tu dominio de destino a la configuración de DNS.
Este registro CNAME
apunta a un dominio especial de Google Cloud que el Administrador de certificados usa para verificar la propiedad del dominio.
El Administrador de certificados muestra el registro CNAME
cuando creas una
autorización de DNS para el dominio de destino.
El registro CNAME
también le otorga al Administrador de certificados el
permisos para el aprovisionamiento y la renovación de certificados para ese dominio en
el proyecto de Google Cloud de destino. Para revocar estos permisos, quita CNAME
.
de tu configuración de DNS.
Para habilitar la autorización de DNS por proyecto, selecciona PER_PROJECT_RECORD
durante el proceso de creación de la autorización de DNS. Una vez que lo hagas, recibirás un registro CNAME
único que incluye el subdominio y el objetivo, y que está personalizado para el proyecto específico.
Agrega el registro CNAME
a la zona del DNS del dominio relevante.
Varios dominios por certificado
Los certificados emitidos por el Administrador de certificados te permiten especificar varios nombres de dominio (nombres de host) en el mismo certificado como Nombres alternativos de sujeto.
Para agregar varios dominios a un certificado, especifica una lista de dominios cuando crees un certificado, así como las autorizaciones coincidentes necesarias.
Cada autorización solo abarca el dominio exacto (por ejemplo,
video.example.com
) y el comodín (*.example.com
). No abarca
subdominios explícitos. Si quieres un certificado para eu.video.example.com
,
Por ejemplo, debes configurar otra autorización de DNS para el
eu.video.example.com
.
En los siguientes ejemplos se muestra cómo adjuntar una autorización a
video.example.com
y eu.video.example.com
:
gcloud
Usa el comando gcloud certificate-manager certificates
:
gcloud certificate-manager certificates create video-example-com \ --domains="video.example.com,eu.video.example.com" \ --dns-authorizations="video-example-com-auth,eu-video-example-com-auth" \ --scope=EDGE_CACHE
Esto crea un certificado con la autorización de DNS en el estado AUTHORIZING
y el certificado en el estado PROVISIONING
:
managed: authorizationAttemptInfo: - domain: video.example.com state: AUTHORIZED dnsAuthorizations: - projects/123456/locations/global/dnsAuthorizations/video-example-com-auth - projects/123456/locations/global/dnsAuthorizations/eu-video-example-com-auth domains: - video.example.com state: PROVISIONING scope: EDGE_CACHE subjectAlternativeNames: - video.example.com
Los dominios no pueden compartir una autorización de DNS. Debes especificar varios dominios y autorizaciones. Administrador de certificados determina qué dominios requieren qué autorizaciones.
Para obtener información sobre cómo se emiten y activan los certificados, consulta Configurar SSL (TLS) certificados.
Renovación del certificado
El Administrador de certificados renueva automáticamente los certificados administrados. Los certificados renovados se envían automáticamente al perímetro global de Google por cada servicio activo que configuraste.
EDGE_CACHE
certificados tienen un período de validez corto (30 días) para mejorar la seguridad y el cumplimiento, en comparación con la industria actual estándar de 90 días (con un intervalo de renovación de 60 días).- Por lo general, la renovación del certificado se inicia cuando el certificado es 10 días de vencimiento.
- No es necesario que realices ninguna acción cuando se renueva un certificado. el nuevo certificado reemplaza automáticamente el certificado existente la fecha de vencimiento sin afectar el tráfico en vivo.
Debido a que la canalización de emisión revalida el control del dominio antes de la renovación, asegúrate de no borrar los registros DNS configurados para autorización. Si borras el registro que se usa para demostrar la DCV (validación del control de dominio), no podrás renovar tus certificados y se impedirá que los clientes se conecten a través de HTTPS (TLS) cuando venza el certificado.
Registros de CAA y raíces
Para verificar la compatibilidad con dispositivos cliente, incluidos los televisores inteligentes, los smartphones y los decodificadores más antiguos, puedes encontrar el conjunto completo de CA raíz que usa Google en pki.goog.
Para permitir que el Administrador de certificados y Media CDN
emite certificados para un dominio con registros de CAA existentes, agrega el pki.goog
Registro CAA:
DOMAIN_NAME. CAA 0 issue "pki.goog"
Los dominios que no tienen registros de CAA existentes no necesitan agregar este registro, pero te recomendamos que lo hagas.
Obtén más información sobre los registros de CAA.
Límites de certificados
Puedes emitir hasta 1,000 certificados administrados y 1,000 autorizaciones de DNS por en un proyecto final. Para conocer otros límites y cuotas, consulta la documentación Cuotas y límites.
Versiones de TLS compatibles
Media CDN admite las siguientes versiones de TLS:
Versión de TLS | Se admite | Algoritmos de cifrado incluidos |
---|---|---|
SSL 3.0 | No | N/A: No admitido |
TLS 1.0 | No | N/A: No admitido |
TLS 1.1 | No | N/A: No admitido |
TLS 1.2 | ✔ | TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256, TLS_RSA_WITH_3DES_EDE_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_AES_256_GCM_SHA384 |
TLS 1.3 | ✔ | TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256 |
Tenga en cuenta estos datos:
- Dispositivos que no admiten las versiones modernas de TLS (como TLS 1.3) negociar automáticamente una versión de TLS compatible.
- TLS 1.2 es la versión mínima compatible de TLS para Media CDN.
- Media CDN no admite adjuntar políticas de SSL a un servicio.
Solucionar problemas relacionados con la emisión de certificados
Si tienes algún error con la emisión de certificados, consulta cómo solucionar problemas de emisión de certificados.
¿Qué sigue?
- Consulta Configurar certificados SSL.
- Comprende la conectividad del cliente y la compatibilidad con los protocolos.
- Revisa cómo se realizan las conexiones SSL (TLS) a tus orígenes.