Kernkomponenten des Zertifikatmanagers

Auf dieser Seite finden Sie eine Übersicht über die Kernkomponenten und -konzepte von Zertifikatmanager.

Zertifikate

Ein Zertifikat stellt ein einzelnes Zertifikat vom Typ X.509 Transport Layer Security (TLS) (SSL) dar, das für bestimmte Domainnamen oder Domainplatzhalter ausgestellt wird.

Zertifikatmanager unterstützt die folgenden Zertifikatstypen:

  • Von Google verwaltete Zertifikate: Zertifikate, die Google Cloud für Sie abruft und verwaltet. Wenn ein neues von Google verwaltetes Zertifikat ausgestellt oder verlängert wird, verwendet Zertifikatmanager einen neu generierten privaten Schlüssel für das Zertifikat.
  • Selbstverwaltete Zertifikate: Zertifikate, die Sie selbst beziehen, bereitstellen, und verlängern.

Von Google verwaltete Zertifikate

Von Google verwaltete Zertifikate sind TLS-Zertifikate, die Google Cloud abruft und verwaltet. Mit Zertifikatmanager können Sie von Google verwaltete Zertifikate erstellen, verwalten und automatisch verlängern. Mit Zertifikatmanager können Sie auch die Inhaberschaft von Domains entweder mit der Load-Balancer-basierten Autorisierung oder der DNS-basierten Autorisierung bestätigen.

Certificate Manager unterstützt Public Certificate Authority (Public CA) und die Let's Encrypt-Zertifizierungsstelle. Standardmäßig stellt Public CA von Google verwaltete Zertifikate aus. Wenn Sie für eine bestimmte Domain kein Zertifikat von Public CA erhalten können, greift Certificate Manager auf die Let's Encrypt-Zertifizierungsstelle zurück. Dies kann vorkommen, wenn Public CA die Ausstellung eines Zertifikats für eine Domain ablehnt oder Ihr CAA-Eintrag (Certificate Authority Authorization) Public CA ausdrücklich daran hindert, Zertifikate für diese Domain auszustellen. Weitere Informationen zum Einschränken der Zertifizierungsstellen , die Zertifikate für Ihre Domains ausstellen dürfen, finden Sie unter Zertifizierungsstellen angeben, die Ihr von Google verwaltetes Zertifikat ausstellen können.

Einige wichtige Punkte, die Sie bei der Verwendung von von Google verwalteten Zertifikaten mit Zertifikatmanager beachten sollten:

  • Zertifikatmanager unterstützt von Google verwaltete RSA-Zertifikate.
  • Regionale von Google verwaltete Zertifikate unterstützen nur die DNS-basierte Autorisierung und rufen Zertifikate von der öffentlichen Zertifizierungsstelle ab.
  • Die Verwendung von von Google verwalteten Zertifikaten als Clientzertifikate für gegenseitiges TLS wird nicht unterstützt.

  • Für alle Bereiche außer EDGE_CACHE mit einer Gültigkeit von 30 Tagen beträgt die Standardgültigkeit von öffentlichen von Google verwalteten Zertifikaten je nach ausstellender Zertifizierungsstelle entweder 45 oder 90 Tage:

    • Die Gültigkeitsdauer von Zertifikaten, die von Public CA ausgestellt wurden, wird schrittweise von 90 auf 45 Tage umgestellt. Vorhandene Zertifikate mit einer Gültigkeitsdauer von 90 Tagen bleiben bis zur nächsten Verlängerung 90 Tage lang gültig.
    • Zertifikate, die von der Let's Encrypt-Zertifizierungsstelle ausgestellt wurden, haben eine Gültigkeitsdauer von 90 Tagen.

    Sie können die Standardgültigkeitsdauer von öffentlich vertrauenswürdigen von Google verwalteten Zertifikaten nicht ändern.

Öffentliche und private Zertifikate

Zertifikatmanager kann sowohl öffentliche als auch private Zertifikate verwalten. Zertifikatmanager ruft öffentliche Zertifikate, mit denen häufig öffentliche Dienste geschützt werden, von Public CA ab. Die wichtigsten Browser, Betriebssysteme und Anwendungen erkennen die Public CA als Root of Trust. Zertifikatmanager ruft private Zertifikate, mit denen häufig private Dienste geschützt werden, vom CA Service ab.

Selbstverwaltete Zertifikate

Wenn Sie aufgrund Ihrer geschäftlichen Anforderungen keine von Google verwalteten Zertifikate verwenden können, können Sie Zertifikate hochladen, die von externen Zertifizierungsstellen ausgestellt wurden, zusammen mit den zugehörigen Schlüsseln. Sie müssen diese selbstverwalteten Zertifikate manuell ausstellen und verlängern.

Die Certificate-Ressource eines selbstverwalteten Zertifikats muss das Zertifikat und seine Kette enthalten. Die Zertifikatskette enthält Zwischenzertifikate, die dazu beitragen, Vertrauen zu dem Root-Zertifikat aufzubauen. Sie können die Zertifikatskette entweder als einzelne PEM-codierte Datei oder als Textblock hinzufügen.

Geben Sie Ihre Zertifikatskette in der folgenden Reihenfolge an:

  1. Untergeordnetes Zertifikat
  2. Alle Zwischenzertifikate

Unterstützte Schlüsseltypen

Load-Balancer unterstützen Zertifikate, die private Schlüssel verschiedener Schlüsseltypen verwenden. In der folgenden Tabelle sehen Sie die Unterstützung für Schlüsseltypen je nachdem, ob die Zertifikate selbstverwaltet oder von Google verwaltet sind.
SSL-Zertifikattyp arrow_forward

Schlüsseltyp arrow_downward 		Zertifikatmanager-SSL-Zertifikate
Global und regional
Selbstverwaltet Öffentlich vertrauenswürdige von Google verwaltete Zertifikate Privat vertrauenswürdige von Google verwaltete Zertifikate
RSA-2048
RSA-3072
RSA-4096
ECDSA P-256
ECDSA P-384

Domainautorisierungen

Mit Zertifikatmanager können Sie die Inhaberschaft von Domains, für die Sie von Google verwaltete Zertifikate ausstellen möchten, auf eine der folgenden Arten nachweisen:

  • Load-Balancer-Autorisierung: Stellen Sie das Zertifikat direkt auf einem unterstützten Load-Balancer bereit, ohne einen DNS-Eintrag zu erstellen.

  • DNS-Autorisierung: Stellen Sie das Zertifikat direkt auf einem unterstützten Load Balancer bereit, nachdem Sie spezielle DNS-Einträge zur Bestätigung der Domain inhaberschaft erstellt haben.

Weitere Informationen finden Sie unter Domainautorisierungstypen für von Google verwaltete Zertifikate.

Für selbstverwaltete Zertifikate sind keine Domainautorisierungen erforderlich.

Zertifikatszuordnungen

Eine Zertifikatszuordnung verweist auf einen oder mehrere Zertifikatszuordnungseinträge, die bestimmte Zertifikate bestimmten Hostnamen zuweisen. Zertifikatszuordnungseinträge definieren auch die Auswahllogik, die der Load Balancer beim Herstellen von Clientverbindungen verwendet. Sie können eine Zertifikatszuordnung mit mehreren Ziel-Proxys verknüpfen, um sie in mehreren Load Balancern wiederzuverwenden.

Wenn ein Client einen in einer Zertifikatszuordnung angegebenen Hostnamen anfordert, stellt der Load Balancer die diesem Hostnamen zugeordneten Zertifikate bereit. Andernfalls stellt der Load Balancer das primäre Zertifikat bereit. Das ist das erste Zertifikat, das für einen Ziel-Proxy aufgeführt ist. Weitere Informationen finden Sie unter Funktionsweise von Certificate Manager.

Die folgenden Load-Balancer unterstützen Zertifikatszuordnungen:

  • Globaler externer Application Load Balancer
  • Globaler externer Proxy-Network Load Balancer

Weitere Informationen zum Erstellen und Verwalten von Zertifikatszuordnungen finden Sie unter Zertifikatszuordnungen verwalten.

Zertifikatszuordnungseinträge

Ein Zertifikatszuordnungseintrag ist eine Liste von Zertifikaten, die für einen bestimmten Domainnamen bereitgestellt werden. Sie können verschiedene Zertifikatsgruppen für dieselbe Domain definieren. Sie können beispielsweise ein ECDSA- und ein RSA-Zertifikat hochladen und sie demselben Domainnamen zuordnen.

Wenn ein Client eine Verbindung zu einem Domainnamen herstellt, verhandelt der Load Balancer während des Handshakes den Zertifikatstyp, der dem Client bereitgestellt werden soll.

Sie können maximal vier Zertifikate mit einem einzelnen Eintrag zu einer Zertifikatszuordnung verknüpfen.

Weitere Informationen zum Erstellen und Verwalten von Zertifikatszuordnungseinträgen finden Sie unter Zertifikatszuordnungseinträge verwalten.

Konfigurationen von Vertrauensstellungen

Eine Vertrauenskonfiguration ist eine Ressource, die Ihre Konfiguration der Public-Key-Infrastruktur (PKI) in Zertifikatmanager darstellt. Sie können Vertrauenskonfigurationen in Szenarien mit gegenseitiger TLS-Authentifizierung (mTLS) und TLS-Prüfung verwenden. Eine Vertrauenskonfiguration enthält einen einzelnen Trust Store, der wiederum einen oder mehrere Trust-Anchor und optional ein oder mehrere Zwischenzertifikate enthält.

Sie können Vertrauenskonfigurationen in den folgenden Szenarien mit gegenseitigem TLS für Application Load Balancer verwenden:

  • Frontend-mTLS: zur Authentifizierung von Verbindungen zwischen Ihren Clients und dem Load Balancer. Der Load Balancer überprüft die Identität des Clients mithilfe der Vertrauenskonfiguration. Weitere Informationen finden Sie unter Gegenseitiges TLS Übersicht.
  • Backend-mTLS: zur Authentifizierung von Verbindungen zwischen dem Load Balancer und Ihren Backend-Arbeitslasten, z. B. VM-Instanzen. In diesem Szenario verwendet der Load Balancer die Vertrauenskonfiguration, um Zertifikate zu validieren, die vom Backend präsentiert werden. Weitere Informationen finden Sie unter Backend authentifiziertes TLS und Backend-mTLS Übersicht.

Sie können Vertrauenskonfigurationen auch für den folgenden Anwendungsfall mit Cloud Next Generation Firewall (Cloud NGFW) verwenden:

  • TLS-Prüfung: zum Validieren privat signierter Backend-Zertifikate. Sie können die Vertrauenskonfiguration und die CA-Pool-Konfigurationen (Zertifizierungsstelle) einer TLS-Prüfungsrichtlinie hinzufügen, die Sie dann an einen Firewall-Endpunkt anhängen können, um den Traffic zu entschlüsseln und zu prüfen. Weitere Informationen finden Sie unter Übersicht über die TLS-Prüfung und TLS-Prüfung einrichten.

Weitere Informationen zu Vertrauenskonfigurationen und ihren Komponenten finden Sie unter Vertrauens konfigurationen verwalten.

Trust Stores

Ein Trust Store stellt die Konfiguration des Vertrauens-Secrets im Zertifikatmanager zur Verwendung in Szenarien mit gegenseitiger TLS-Authentifizierung dar. Ein Trust Store enthält einen einzelnen Trust-Anchor und optional ein oder mehrere Zwischenzertifikate.

Für Vertrauenskonfigurationsressourcen gelten die folgenden Einschränkungen:

Trust-Anchors

Ein Trust-Anchor stellt ein einzelnes Root-Zertifikat zur Verwendung in Szenarien mit gegenseitiger TLS-Authentifizierung dar. Ein Trust-Anchor ist in einem Trust Store enthalten.

Zwischenzertifikate

Ein Zwischenzertifikat ist ein Zertifikat, das von einem Root-Zertifikat oder einem anderen Zwischenzertifikat im Trust Store signiert wurde. Zwischenzertifikate werden für die gegenseitige TLS-Authentifizierung verwendet.

Wenn Sie Zwischenzertifikate haben, können je nach PKI-Konfiguration ein oder mehrere Zwischenzertifikate in einem Trust Store enthalten sein. Zusätzlich zu den vorhandenen Zwischenzertifikaten enthält die Vertrauenskonfiguration alle Zwischenzertifikate als Teil der Vertrauensbewertung für alle Verbindungsanfragen.

Zertifikate, für die eine Zulassungsliste erforderlich ist

Wenn Clients sich mit einem selbst signierten, abgelaufenen oder ungültigen Zertifikat authentifizieren dürfen, fügen Sie das Zertifikat dem Feld allowlistedCertificates der Vertrauenskonfiguration hinzu. Sie können das Zertifikat auch hinzufügen, wenn Sie keinen Zugriff auf die Root- und Zwischenzertifikate haben. Sie benötigen keinen Trust Store, um ein Zertifikat einer Zulassungsliste hinzuzufügen.

Wenn Sie ein Zertifikat der Zulassungsliste hinzufügen, betrachtet Zertifikatmanager das Zertifikat als gültig, wenn es die folgenden Bedingungen erfüllt:

  • Das Zertifikat kann geparst werden.
  • Der Client weist nach, dass er den privaten Schlüssel des Zertifikats besitzt.
  • Die Einschränkungen für das Feld „Alternativer Antragstellername“ (SAN) werden erfüllt.

Konfigurationen von Zertifikatsausstellungen

Eine Konfiguration der Zertifikatsausstellung ist eine Ressource, mit der Zertifikatmanager einen CA-Pool aus Ihrer eigenen Certificate Authority Service Instanz verwenden kann, um von Google verwaltete Zertifikate auszustellen. Mit einer Konfiguration der Zertifikatsausstellung können Sie Parameter für die Ausstellung und den Ablauf von Zertifikaten sowie den Schlüsselalgorithmus für ausgestellte Zertifikate angeben.

Weitere Informationen zum Erstellen und Verwalten von Konfigurationen der Zertifikatsausstellung finden Sie unter siehe Ressourcen für die Konfiguration der Zertifikatsausstellung verwalten.

Nächste Schritte