Questa pagina fornisce una panoramica dei componenti e dei concetti principali di Certificate Manager.
Certificati
Un certificato rappresenta un singolo certificato X.509 Transport Layer Security (TLS) (SSL) emesso per nomi di dominio o caratteri jolly di dominio specifici.
Certificate Manager supporta i seguenti tipi di certificati:
- Certificati gestiti da Google: certificati che Google Cloud ottiene e gestisce per te. Quando viene emesso o rinnovato un nuovo certificato gestito da Google, Certificate Manager utilizza una chiave privata appena generata per il certificato.
- Certificati autogestiti: certificati che ottieni, di cui esegui il provisioning, e che rinnovi autonomamente.
Certificati gestiti da Google
I certificati gestiti da Google sono certificati TLS che Google Cloud ottiene e gestisce per te. Certificate Manager ti consente di creare, gestire e rinnovare automaticamente i certificati gestiti da Google. Certificate Manager ti consente anche di verificare la proprietà del dominio utilizzando l'autorizzazione basata sul bilanciatore del carico o l'autorizzazione basata su DNS.
Certificate Manager supporta la Public Certificate Authority (CA) e la CA Let's Encrypt. Per impostazione predefinita, la Public CA emette certificati gestiti da Google. Se non riesci a ottenere un certificato dalla Public CA per un determinato dominio, Certificate Manager esegue il fallback alla CA Let's Encrypt. Questo può accadere in situazioni in cui la Public CA si rifiuta di emettere un certificato per un dominio o il record di autorizzazione dell'autorità di certificazione (CAA) vieta esplicitamente alla Public CA di emettere certificati per quel dominio. Per saperne di più su come limitare le CA che potrebbero emettere certificati per i tuoi domini, consulta Specificare le CA che possono emettere il certificato gestito da Google.
Di seguito sono riportati alcuni punti importanti da tenere presente quando utilizzi i certificati gestiti da Google con Certificate Manager:
- Certificate Manager supporta i certificati gestiti da Google RSA.
- I certificati gestiti da Google a livello di regione supportano solo l'autorizzazione basata su DNS e ottengono i certificati dalla CA pubblica.
- L'utilizzo di certificati gestiti da Google come certificati client per mutual TLS non è supportato.
Per tutti gli ambiti tranne
EDGE_CACHE, che ha una validità di 30 giorni, la validità predefinita dei certificati gestiti da Google pubblici è di 45 o 90 giorni, a seconda della CA emittente:- I certificati emessi dalla Public CA stanno passando gradualmente da un periodo di validità di 90 giorni a un periodo di validità di 45 giorni. I certificati esistenti di 90 giorni rimangono validi per 90 giorni fino al rinnovo successivo.
- I certificati emessi dalla CA Let's Encrypt hanno un periodo di validità di 90 giorni.
Non puoi modificare il periodo di validità predefinito dei certificati gestiti da Google attendibili pubblicamente.
Certificati pubblici e privati
Certificate Manager può gestire sia i certificati pubblici che quelli privati. Certificate Manager ottiene i certificati pubblici, che spesso proteggono i servizi pubblici, dalla CA pubblica. I principali browser, sistemi operativi e applicazioni riconoscono la Public CA come radice di attendibilità. Certificate Manager ottiene i certificati privati, che spesso proteggono i servizi privati, dal servizio CA.
Certificati autogestiti
Se non puoi utilizzare i certificati gestiti da Google a causa dei requisiti aziendali, puoi caricare i certificati emessi da CA esterne insieme alle chiavi associate. Devi emettere e rinnovare manualmente questi certificati autogestiti.
La risorsa Certificate di un certificato autogestito deve includere il certificato e la relativa catena. La catena di certificati contiene
certificati intermedi, che contribuiscono a stabilire l'attendibilità del
certificato radice. Puoi aggiungere la catena di certificati come singolo file con codifica PEM o come blocco di testo.
Assicurati di specificare la catena di certificati nel seguente ordine:
- Certificato end-entity
- Tutti i certificati intermedi
Tipi di chiavi supportati
I bilanciatori del carico supportano i certificati che utilizzano chiavi private di diversi tipi. La tabella seguente mostra il supporto dei tipi di chiavi a seconda che i certificati siano autogestiti o gestiti da Google.|
SSL certificate type arrow_forward Key type arrow_downward |
Certificati SSL di Certificate Manager | ||
|---|---|---|---|
| Livello globale e di regione | |||
| Autogestito | Gestito da Google e attendibile pubblicamente | Gestito da Google e attendibile privatamente | |
| RSA-2048 | |||
| RSA-3072 | |||
| RSA-4096 | |||
| ECDSA P-256 | |||
| ECDSA P-384 | |||
Autorizzazioni di dominio
Certificate Manager ti consente di dimostrare la proprietà dei domini per i quali vuoi emettere certificati gestiti da Google in uno dei seguenti modi:
Autorizzazione del bilanciatore del carico: esegui il deployment del certificato direttamente su un bilanciatore del carico supportato senza creare un record DNS.
Autorizzazione DNS: esegui il deployment del certificato direttamente su un bilanciatore del carico supportato dopo aver creato record DNS dedicati per la verifica della proprietà del dominio.
Per saperne di più, consulta Tipi di autorizzazione di dominio per i certificati gestiti da Google.
Non hai bisogno di autorizzazioni di dominio per i certificati autogestiti.
Mappe di certificati
Una mappa dei certificati fa riferimento a una o più voci della mappa dei certificati che assegnano certificati specifici a nomi host specifici. Le voci della mappa dei certificati definiscono anche la logica di selezione che il bilanciatore del carico segue quando stabilisce le connessioni client. Puoi associare una mappa dei certificati a più proxy di destinazione per riutilizzarla con più bilanciatori del carico.
Se un client richiede un nome host specificato in una mappa di certificati, il bilanciatore del carico fornisce i certificati mappati a quel nome host. In caso contrario, il bilanciatore del carico fornisce il certificato principale, ovvero il primo certificato elencato per un proxy di destinazione. Per saperne di più, consulta Come funziona Certificate Manager.
I seguenti bilanciatori del carico supportano le mappe di certificati:
- Bilanciatore del carico delle applicazioni esterno globale
- Bilanciatore del carico di rete proxy esterno globale
Per saperne di più sulla creazione e sulla gestione delle mappe di certificati, consulta Gestire le mappe di certificati.
Voci della mappa dei certificati
Una voce della mappa dei certificati è un elenco di certificati forniti per un nome di dominio specifico. Puoi definire diversi set di certificati per lo stesso dominio. Ad esempio, puoi caricare un certificato ECDSA e un certificato RSA e mapparli allo stesso nome di dominio.
Quando un client si connette a un nome di dominio, il bilanciatore del carico negozia il tipo di certificato da fornire al client durante l'handshake.
Puoi associare un massimo di quattro certificati a una singola voce della mappa dei certificati.
Per saperne di più sulla creazione e sulla gestione delle voci della mappa dei certificati, consulta Gestire le voci della mappa dei certificati.
Configurazioni di attendibilità
Una configurazione di attendibilità è una risorsa che rappresenta la configurazione dell'infrastruttura a chiave pubblica (PKI) in Certificate Manager. Puoi utilizzare le configurazioni di attendibilità negli scenari di autenticazione mutual TLS (mTLS) e di ispezione TLS. Una configurazione di attendibilità incapsula un singolo archivio di attendibilità, che a sua volta incapsula uno o più trust anchor e, facoltativamente, uno o più certificati intermedi.
Puoi utilizzare le configurazioni di attendibilità nei seguenti scenari mutual TLS per i bilanciatori del carico delle applicazioni:
- mTLS frontend: per autenticare le connessioni tra i client e il bilanciatore del carico, dove il bilanciatore del carico verifica l'identità del client utilizzando la configurazione di attendibilità. Per saperne di più, consulta Mutual TLS overview.
- mTLS backend: per autenticare le connessioni tra il bilanciatore del carico e i workload di backend, come le istanze di macchine virtuali (VM). In questo scenario, il bilanciatore del carico utilizza la configurazione di attendibilità per convalidare i certificati presentati dal backend. Per saperne di più, consulta Panoramica di TLS autenticato dal backend e mTLS del backend.
Puoi anche utilizzare le configurazioni di attendibilità per il seguente caso d'uso con Cloud Next Generation Firewall (Cloud NGFW):
- Ispezione TLS: per convalidare i certificati di backend firmati privatamente. Puoi aggiungere le configurazioni del pool di autorità di certificazione (CA) e di attendibilità a un criterio di ispezione TLS, che puoi poi collegare a un endpoint firewall per decriptare e ispezionare il traffico. Per saperne di più, consulta Panoramica dell'ispezione TLS e Configurare l'ispezione TLS.
Per saperne di più sulle configurazioni di attendibilità e sui relativi componenti, consulta Gestire le configurazioni di attendibilità.
Archivi di attendibilità
Un archivio di attendibilità rappresenta la configurazione del secret di attendibilità in Certificate Manager da utilizzare negli scenari di autenticazione TLS reciproca (mTLS). Un archivio di attendibilità incapsula un singolo trust anchor e, facoltativamente, uno o più certificati intermedi.
Le seguenti limitazioni si applicano alle risorse di configurazione di attendibilità:
- Una risorsa di configurazione di attendibilità può contenere un singolo archivio di attendibilità.
- Un archivio di attendibilità può contenere fino a 100 certificati CA intermedi. La dimensione totale dei trust anchor, dei certificati intermedi e dei certificati nella lista consentita è regolata da il calcolo delle dimensioni della configurazione di attendibilità del progetto.
Trust anchor
Un trust anchor rappresenta un singolo certificato radice da utilizzare negli scenari di autenticazione mutual TLS. Un trust anchor è incapsulato all'interno di un archivio di attendibilità.
Certificati intermedi
Un certificato intermedio è un certificato firmato da un certificato radice o da un altro certificato intermedio nell'archivio di attendibilità. I certificati intermedi vengono utilizzati per autenticazione TLS reciproca (mTLS).
Se hai certificati intermedi, uno o più certificati intermedi possono essere incapsulati all'interno di un archivio di attendibilità, a seconda della configurazione PKI. Oltre ai certificati intermedi esistenti, la configurazione di attendibilità include tutti i certificati intermedi come parte della valutazione dell'attendibilità per tutte le richieste di connessione.
Certificati che richiedono una lista consentita
Per consentire ai client di eseguire l'autenticazione con un certificato autofirmato, scaduto o non valido, aggiungi il certificato al campo allowlistedCertificates della configurazione di attendibilità. Puoi anche aggiungere il certificato se non hai accesso ai certificati radice e intermedi.
Non hai bisogno di un archivio di attendibilità per aggiungere un certificato a una lista consentita.
Quando aggiungi un certificato alla lista consentita, Certificate Manager lo considera valido se soddisfa le seguenti condizioni:
- Il certificato è analizzabile.
- Il client dimostra di possedere la chiave privata del certificato.
- I vincoli sul campo Nome alternativo del soggetto (SAN) sono soddisfatti.
Configurazioni di emissione dei certificati
Una configurazione di emissione di certificati è una risorsa che consente a Certificate Manager di utilizzare un pool CA dalla tua istanza di Certificate Authority Service per emettere certificati gestiti da Google. Una configurazione di emissione di certificati consente di specificare i parametri per l'emissione e la scadenza dei certificati, nonché l'algoritmo della chiave per i certificati emessi.
Per saperne di più sulla creazione e sulla gestione delle configurazioni di emissione dei certificati, consulta Gestire le risorse di configurazione di emissione dei certificati.