בדף הזה מפורטת סקירה כללית של הרכיבים והמושגים העיקריים של Certificate Manager.
אישורים
אישור מייצג אישור יחיד של X.509 Transport Layer Security (TLS) (SSL) שמונפק לשמות דומיינים ספציפיים או לתווים כלליים של דומיינים.
Certificate Manager תומך בסוגי האישורים הבאים:
- אישורים שמנוהלים על ידי Google: אישורים ש- Google Cloudמקבלת ומנהלת בשבילכם. כשמונפק או מתחדש אישור חדש בניהול Google, הכלי Certificate Manager משתמש במפתח פרטי שנוצר לאחרונה בשביל האישור.
- אישורים בניהול עצמי: אישורים שאתם מקבלים, מספקים ומחדשים בעצמכם.
אישורים שמנוהלים על ידי Google
אישורים שמנוהלים על ידי Google הם אישורי TLS ש- Google Cloud מקבלת ומנהלת בשבילכם. בעזרת Certificate Manager אתם יכולים ליצור, לנהל ולחדש באופן אוטומטי את האישורים שמנוהלים על ידי Google. בנוסף, בעזרת Certificate Manager אתם יכולים לאמת את הבעלות על הדומיין באמצעות הרשאה שמבוססת על מאזן עומסים או הרשאה שמבוססת על DNS.
Certificate Manager תומך ב-Public Certificate Authority (CA) וברשות האישורים Let's Encrypt. כברירת מחדל, רשות האישורים הציבורית מנפיקה אישורים שמנוהלים על ידי Google. אם לא ניתן לקבל אישור מרשות האישורים הציבורית לדומיין מסוים, Certificate Manager חוזר לרשות האישורים Let's Encrypt. זה יכול לקרות אם רשות האישורים הציבורית מסרבת להנפיק אישור לדומיין, או אם רשומת ההרשאה ברשות האישורים (CAA) אוסרת במפורש על רשות האישורים הציבורית להנפיק אישורים לדומיין הזה. מידע נוסף על הגבלת רשויות האישורים שיכולות להנפיק אישורים לדומיינים שלכם זמין במאמר ציון רשויות האישורים שיכולות להנפיק את האישור בניהול Google.
ריכזנו כאן כמה נקודות חשובות שכדאי לזכור כשמשתמשים באישור דיגיטלי שמנוהל על ידי Google עם Certificate Manager:
- Certificate Manager תומך באישורי RSA שמנוהלים על ידי Google.
- אישורים אזוריים שמנוהלים על ידי Google תומכים רק בהרשאה מבוססת-DNS ומקבלים אישורים מרשות אישורים ציבורית.
- אי אפשר להשתמש באישורים בניהול Google כאישורי לקוח ל-Mutual TLS.
בכל ההיקפים, למעט
EDGE_CACHEשתוקפו הוא 30 יום, תוקף ברירת המחדל של אישורים ציבוריים בניהול Google הוא 45 יום או 90 יום, בהתאם לרשות האישורים המנפיקה:- תוקף האישורים שהונפקו על ידי רשות אישורים ציבורית משתנה בהדרגה מ-90 יום ל-45 יום. אישורים קיימים ל-90 יום יישארו בתוקף למשך 90 יום עד לחידוש הבא שלהם.
- תוקף האישורים שהונפקו על ידי רשות האישורים Let's Encrypt הוא 90 יום.
אי אפשר לשנות את תקופת התוקף שמוגדרת כברירת מחדל לאישורים ש-Google מנהלת ושיש להם אמון ציבורי.
אישורים ציבוריים ופרטיים
אפשר להשתמש ב-Certificate Manager כדי לנהל גם אישורים ציבוריים וגם אישורים פרטיים. Certificate Manager מקבל אישורים ציבוריים, שלרוב מאבטחים שירותים ציבוריים, מרשות אישורים ציבורית. דפדפנים, מערכות הפעלה ואפליקציות עיקריים מזהים את Public CA כ-root of trust. Certificate Manager מקבל אישורים פרטיים, שלרוב מאבטחים שירותים פרטיים, משירות ה-CA.
אישורים בניהול עצמי
אם אתם לא יכולים להשתמש באישורים בניהול Google בגלל הדרישות העסקיות שלכם, אתם יכולים להעלות אישורים שהונפקו על ידי רשויות אישורים חיצוניות, יחד עם המפתחות המשויכים אליהם. צריך להנפיק ולחדש את האישורים האלה שמנוהלים באופן עצמאי באופן ידני.
המשאב Certificate של אישור בניהול עצמי חייב לכלול את האישור ואת השרשרת שלו. שרשרת האישורים מכילה אישורי ביניים, שעוזרים לבסס את האמון באישור הבסיס. אפשר להוסיף את שרשרת האישורים כקובץ יחיד בקידוד PEM או כבלוק טקסט.
חשוב לציין את שרשרת האישורים בסדר הבא:
- אישור קצה
- כל אישורי הביניים
סוגי המפתחות הנתמכים
מאזני עומסים תומכים באישורים שמשתמשים במפתחות פרטיים מסוגים שונים. בטבלה הבאה מוצגת התמיכה בסוגי מפתחות, בהתאם לאישורים בניהול עצמי או בניהול Google.|
סוג אישור SSL arrow_forward סוג מפתח arrow_downward |
אישורי SSL של Certificate Manager | ||
|---|---|---|---|
| גלובלי ואזורי | |||
| נהלו את הכל בעצמכם | אישורים שמנוהלים על ידי Google ומהימנים באופן ציבורי | בניהול Google, מהימן באופן פרטי | |
| RSA-2048 | |||
| RSA-3072 | |||
| RSA-4096 | |||
| ECDSA P-256 | |||
| ECDSA P-384 | |||
הרשאות לדומיינים
בעזרת Certificate Manager אפשר להוכיח בעלות על דומיינים שרוצים להנפיק להם אישורים שמנוהלים על ידי Google, באחת מהדרכים הבאות:
הרשאה למאזן עומסים: פריסת האישור ישירות למאזן עומסים נתמך בלי ליצור רשומת DNS.
הרשאת DNS: אפשר לפרוס את האישור ישירות למאזן עומסים נתמך אחרי שיוצרים רשומות DNS ייעודיות לאימות הבעלות על הדומיין.
מידע נוסף זמין במאמר סוגי הרשאות דומיין לאישורים בניהול Google.
לא צריך הרשאות דומיין לאישורים בניהול עצמי.
מפות אישורים
מפת אישורים מפנה לרשומת מיפוי אחת או יותר שמקצות אישורים ספציפיים לשמות מארחים ספציפיים. רשומות המיפוי לאישורים גם מגדירות את לוגיקת הבחירה שמאזן העומסים פועל לפיה כשהוא יוצר חיבורים ללקוחות. אפשר לשייך מיפוי אישורים לכמה שרתי proxy של יעד כדי לעשות בו שימוש חוזר בכמה מאזני עומסים.
אם לקוח מבקש שם מארח שצוין במפת אישורים, מאזן העומסים מציג את האישורים שממופים לשם המארח הזה. אחרת, מאזן העומסים מציג את האישור הראשי, שהוא האישור הראשון שמופיע ברשימה של שרת proxy יעד. למידע נוסף, קראו את המאמר איך פועל Certificate Manager.
מפות אישורים נתמכות במאזני העומסים הבאים:
- מאזן עומסים גלובלי חיצוני של אפליקציות (ALB)
- מאזן עומסי רשת גלובלי חיצוני בשרת proxy
מידע נוסף על יצירה וניהול של מפות אישורים זמין במאמר ניהול מפות אישורים.
רשומות מיפוי לאישורים
רשומת מיפוי לאישורים היא רשימה של אישורים שמוצגים לשם דומיין ספציפי. אפשר להגדיר קבוצות שונות של אישורים לאותו דומיין. לדוגמה, אתם יכולים להעלות אישור ECDSA ואישור RSA ולמפות אותם לאותו שם דומיין.
כשלקוח מתחבר לשם דומיין, מאזן העומסים מנהל משא ומתן על סוג האישור שיוצג ללקוח במהלך לחיצת היד.
אפשר לשייך עד ארבעה אישורים לרשומת מיפוי לאישורים אחת.
למידע נוסף על יצירה וניהול של רשומות מיפוי לאישורים, ראו ניהול רשומות מיפוי לאישורים.
הגדרות של אמון
הגדרת אמון היא משאב שמייצג את ההגדרה של תשתית של מפתח ציבורי (PKI) ב-Certificate Manager. אפשר להשתמש ב-trust configs בתרחישים של אימות TLS הדדי (mTLS) ובדיקת TLS. הגדרת האמון כוללת מאגר אישורים אחד, שכולל ישות עוגן אמינה אחת או יותר, ואופציונלית, אישור ביניים אחד או יותר.
אפשר להשתמש בהגדרות אמון בתרחישי TLS הדדיים הבאים עבור מאזני עומסים של אפליקציות:
- mTLS קצה קדמי: כדי לאמת חיבורים בין הלקוחות לבין מאזן העומסים, שבו מאזן העומסים מאמת את זהות הלקוח באמצעות הגדרת האמון. מידע נוסף מופיע במאמר בנושא סקירה כללית על TLS דו-צדדי.
- mTLS בקצה העורפי: כדי לאמת חיבורים בין מאזן העומסים לבין עומסי העבודה בקצה העורפי, כמו מכונות וירטואליות (VM). בתרחיש הזה, מאזן העומסים משתמש בהגדרת האמון כדי לאמת את האישורים שמוצגים על ידי הקצה העורפי. מידע נוסף זמין במאמר בנושא סקירה כללית על TLS מאומת בשרת העורפי ו-mTLS בשרת העורפי.
אפשר גם להשתמש בהגדרות אמון לתרחיש השימוש הבא עם Cloud Next Generation Firewall (Cloud NGFW):
- בדיקת TLS: כדי לאמת אישורי קצה עורפי שנחתמו באופן פרטי. אפשר להוסיף את הגדרות האמון ואת ההגדרות של מאגר רשויות האישורים (CA) למדיניות בדיקת TLS, ואז לצרף אותה לנקודת קצה של חומת אש כדי לפענח את התנועה ולבדוק אותה. מידע נוסף זמין במאמרים בנושא סקירה כללית על בדיקת TLS והגדרת בדיקת TLS.
מידע נוסף על הגדרות אמון ועל הרכיבים שלהן זמין במאמר ניהול הגדרות אמון.
מאגרי אישורים
מאגר אישורים מייצג את הגדרת סודות האמון ב-Certificate Manager לשימוש בתרחישי אימות TLS בו-זמני (mTLS). מאגר אישורים מכיל ישות עוגן אמינה יחידה, ובאופן אופציונלי, אישור ביניים אחד או יותר.
המגבלות הבאות חלות על משאבי תצורת אמון:
- משאב של הגדרת אמינות יכול להכיל מאגר אישורים מהימנים אחד.
- מאגר אישורים מהימנים יכול להכיל עד 100 אישורי CA ביניים. הגודל הכולל של ישויות עוגן אמינות, אישורי ביניים ותעודות ברשימת ההיתרים כפוף לחישוב גודל הגדרות המהימנות של הפרויקט.
ישויות עוגן אמינות
ישות עוגן אמינה מייצגת אישור בסיס יחיד לשימוש בתרחישי אימות הדדי של TLS. ישויות עוגן אמינות מוכללות במאגר ישויות אמינות.
אישורי ביניים
אישור ביניים הוא אישור שנחתם על ידי אישור בסיס או על ידי אישור ביניים אחר במאגר האישורים המהימנים. אישורים ביניים משמשים לאימות TLS בו-זמני (mTLS).
אם יש לכם אישורי ביניים, אפשר להכיל אישור ביניים אחד או יותר במאגר ישויות אמינות, בהתאם להגדרות ה-PKI שלכם. בנוסף לאישורי הביניים הקיימים, הגדרת האמון כוללת את כל אישורי הביניים כחלק מהערכת האמון לכל בקשות החיבור.
אישורים שנדרשת לגביהם הוספה לרשימת ההיתרים
כדי לאפשר ללקוחות לבצע אימות באמצעות אישור עם חתימה עצמית, אישור שתוקפו פג או אישור לא תקף, מוסיפים את האישור לשדה allowlistedCertificates של הגדרת האמון. אפשר גם להוסיף את האישור אם אין לכם גישה לאישורים של הבסיס ושל הביניים.
לא צריך מאגר אישורים כדי להוסיף אישור לרשימת היתרים.
כשמוסיפים אישור לרשימת ההיתרים, Certificate Manager מחשיב את האישור כתקף אם הוא עומד בתנאים הבאים:
- אפשר לנתח את האישור.
- הלקוח מוכיח שהמפתח הפרטי של האישור נמצא ברשותו.
- ההגבלות על השדה Subject Alternative Name (SAN) מתקיימות.
הגדרות של הנפקת אישורים
הגדרת הנפקת אישורים היא משאב שמאפשר ל-Certificate Manager להשתמש במאגר רשויות להנפקת אישורים (CA) ממכונה משלכם של Certificate Authority Service כדי להנפיק אישורים בניהול Google. הגדרת הנפקת אישורים מאפשרת לציין פרמטרים להנפקה ולתפוגה של אישורים, וגם את אלגוריתם המפתח לאישורים שמונפקים.
מידע נוסף על יצירה וניהול של הגדרות הנפקת תעודות זמין במאמר בנושא ניהול משאבי הגדרות הנפקת תעודות.