Esegui il deployment di un certificato gestito da Google in più regioni con Certificate Authority Service

Questo tutorial mostra come utilizzare Certificate Manager per eseguire il deployment di un certificato globale gestito da Google con Certificate Authority Service in un bilanciatore del carico delle applicazioni interno multiregionale.

Se vuoi eseguire il deployment su bilanciatori del carico esterni globali o bilanciatori del carico regionali, consulta quanto segue:

Configura l'integrazione del servizio CA con Gestore certificati

Per integrare il servizio CA con Certificate Manager, segui questi passaggi:

  1. Nel progetto Google Cloud di destinazione, crea un account di servizio Certificate Manager:

    gcloud beta services identity create --service=certificatemanager.googleapis.com \
    --project=PROJECT_ID

    Sostituisci PROJECT_ID con l'ID del progettoGoogle Cloud di destinazione.

    Il comando restituisce il nome dell'identità del servizio creata. Vedi il seguente esempio:

    service-520498234@gcp-sa-certificatemanager.iam.gserviceaccount.com

  2. Concedi all'account di servizio Certificate Manager il ruolo CA Service Certificate Requester (roles/privateca.certificateRequester) all'interno del pool CA di destinazione:

    gcloud privateca pools add-iam-policy-binding CA_POOL \
    --location LOCATION \
    --member "serviceAccount:SERVICE_ACCOUNT" \
    --role roles/privateca.certificateRequester

    Sostituisci quanto segue:

    • CA_POOL: l'ID del pool di CA di destinazione.
    • LOCATION: la posizione Google Cloud di destinazione.
    • SERVICE_ACCOUNT: il nome completo del account di servizio che hai creato nel passaggio 1.

  3. Crea una risorsa di configurazione dell'emissione dei certificati per il tuo pool di CA:

    Console

    1. Nella console Google Cloud , vai alla scheda Configurazioni di emissione nella pagina Certificate Manager.

      Vai a Certificate Manager

    2. Fai clic su Crea. Viene visualizzata la pagina Crea una configurazione dell'emissione dei certificati.

    3. Nel campo Nome, inserisci un nome univoco per la configurazione di emissione del certificato.

    4. (Facoltativo) Nel campo Descrizione, inserisci una descrizione per la configurazione di emissione.

    5. Per Località, seleziona Globale.

    6. (Facoltativo) Nel campo Durata, specifica la durata del certificato emesso in giorni. Il valore deve essere compreso tra 21 e 30 giorni (inclusi).

    7. (Facoltativo) In Percentuale della finestra di rotazione, specifica la percentuale della durata del certificato in cui inizia la procedura di rinnovo. Per trovare l'intervallo di valori validi, consulta Percentuale della finestra di durata e rotazione.

    8. (Facoltativo) Dall'elenco Algoritmo chiave, seleziona l'algoritmo chiave da utilizzare durante la generazione della chiave privata.

    9. Nell'elenco Pool di CA, seleziona il nome del pool di CA da assegnare a questa risorsa di configurazione dell'emissione di certificati.

    10. Nel campo Etichette, specifica le etichette da associare al certificato. Per aggiungere un'etichetta, fai clic su Aggiungi etichetta e specifica una chiave e un valore per l'etichetta.

    11. Fai clic su Crea.

    gcloud 

    gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
    --ca-pool=CA_POOL

    Sostituisci quanto segue:

    • ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione dell'emissione di certificati.
    • CA_POOL: il percorso e il nome completi della risorsa del pool di CA che vuoi assegnare a questa risorsa di configurazione dell'emissione di certificati.

    Per saperne di più sulle risorse di configurazione dell'emissione dei certificati, consulta Gestire le risorse di configurazione dell'emissione dei certificati.

Crea un certificato gestito da Google emesso dall'istanza del servizio CA

Per creare un certificato gestito da Google emesso dalla tua istanza di CA Service:

Console

  1. Nella console Google Cloud , vai alla pagina Certificate Manager.

    Vai a Certificate Manager

  2. Nella scheda Certificati, fai clic su Aggiungi certificato.

  3. Nel campo Nome certificato, inserisci un nome univoco per il certificato.

  4. (Facoltativo) Nel campo Descrizione, inserisci una descrizione per il certificato. La descrizione ti consente di identificare il certificato.

  5. Per Località, seleziona Globale.

  6. Per Ambito, seleziona Tutte le regioni.

  7. In Tipo di certificato, seleziona Crea certificato gestito da Google.

  8. In Tipo di autorità di certificazione, seleziona Privata.

  9. Nel campo Nomi di dominio, specifica un elenco di nomi di dominio del certificato separati da virgole. Ogni nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.

  10. Per Seleziona una configurazione per l'emissione del certificato, seleziona il nome della risorsa di configurazione per l'emissione del certificato che fa riferimento al pool di CA di destinazione.

  11. Nel campo Etichette, specifica le etichette da associare al certificato. Per aggiungere un'etichetta, fai clic su Aggiungi etichetta e specifica una chiave e un valore per l'etichetta.

  12. Fai clic su Crea.

    Il nuovo certificato viene visualizzato nell'elenco dei certificati.

gcloud

Per creare un certificato gestito da Google multiregionale con Certificate Authority Service, utilizza il comando certificate-manager certificates create con i flag issuance-config e --scope:

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAMES" \
    --issuance-config=ISSUANCE_CONFIG_NAME \
    --scope=all-regions

Sostituisci quanto segue:

  • CERTIFICATE_NAME: il nome del certificato.
  • DOMAIN_NAME: il nome del dominio di destinazione. Il nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
  • ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione dell'emissione di certificati che fa riferimento al pool di CA di destinazione.

API

Crea il certificato inviando una richiesta POST al metodo certificates.create come segue:

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME"
{
 "managed": {
  "domains": ["DOMAIN_NAME"],
  "issuanceConfig": "ISSUANCE_CONFIG_NAME",
  "scope": "ALL_REGIONS"
 }
}

Sostituisci quanto segue:

  • PROJECT_ID: l'ID del Google Cloud progetto.
  • CERTIFICATE_NAME: il nome del certificato.
  • DOMAIN_NAME: il nome del dominio di destinazione. Il nome di dominio deve essere un nome di dominio completo, ad esempio myorg.example.com.
  • ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione dell'emissione di certificati che fa riferimento al pool di CA di destinazione.

Verifica lo stato del certificato

Prima di eseguire il deployment di un certificato in un bilanciatore del carico, verifica che sia attivo. Potrebbero essere necessari diversi minuti prima che lo stato del certificato diventi ACTIVE.

Console

  1. Nella console Google Cloud , vai alla pagina Certificate Manager.

    Vai a Certificate Manager

  2. Nella scheda Certificati, controlla la colonna Stato del certificato.

gcloud

Per verificare lo stato del certificato, esegui questo comando:

gcloud certificate-manager certificates describe CERTIFICATE_NAME

Sostituisci CERTIFICATE_NAME con il nome del certificato gestito da Google di destinazione.

L'output è simile al seguente:

createTime: '2021-10-20T12:19:53.370778666Z'
expireTime: '2022-05-07T05:03:49Z'
managed:
  domains:
  - myorg.example.com
  issuanceConfig: projects/myproject/locations/global/issuanceConfigs/myissuanceConfig
  state: ACTIVE
name: projects/myproject/locations/global/certificates/mycertificate
pemCertificate: |
  -----BEGIN CERTIFICATE-----
  [...]
  -----END CERTIFICATE-----
sanDnsnames:
  - myorg.example.com
updateTime: '2021-10-20T12:19:55.083385630Z'

Per ulteriori passaggi per la risoluzione dei problemi, consulta Risolvere i problemi di Certificate Manager.

Esegui il deployment del certificato in un bilanciatore del carico

Per eseguire il deployment del certificato globale gestito da Google, collegalo direttamente al proxy di destinazione.

Allega il certificato direttamente al proxy di destinazione

Puoi collegare il certificato a un nuovo proxy di destinazione o a uno esistente.

Per collegare il certificato a un nuovo proxy di destinazione, utilizza il comando gcloud compute target-https-proxies create:

gcloud compute target-https-proxies create PROXY_NAME \
    --url-map=URL_MAP \
    --certificate-manager-certificates=CERTIFICATE_NAME \
    --global

Sostituisci quanto segue:

  • PROXY_NAME: il nome del proxy di destinazione.
  • URL_MAP: il nome della mappa degli URL. Hai creato la mappa URL quando hai creato il bilanciatore del carico.
  • CERTIFICATE_NAME: il nome del certificato.

Per collegare il certificato a un proxy HTTPS di destinazione esistente, utilizza il comando gcloud compute target-https-proxies update. Se non conosci il nome del proxy di destinazione esistente, vai alla pagina Proxy di destinazione e annota il nome del proxy di destinazione.

gcloud compute target-https-proxies update PROXY_NAME \
    --global \
    --certificate-manager-certificates=CERTIFICATE_NAME

Dopo aver creato o aggiornato il proxy di destinazione, esegui questo comando per verificarlo:

gcloud compute target-https-proxies list

Risoluzione dei problemi relativi ai certificati emessi dal servizio CA

Per la procedura di risoluzione dei problemi, vedi Problemi relativi ai certificati emessi da un'istanza del servizio CA.

Esegui la pulizia

Per evitare che al tuo account Google Cloud vengano addebitati costi relativi alle risorse utilizzate in questo tutorial, eliminale.

  1. Elimina il bilanciatore del carico e le relative risorse.

    Vedi Pulizia della configurazione di un bilanciatore del carico.

  2. Elimina il certificato gestito da Google:

    Console

    1. Nella console Google Cloud , vai alla pagina Certificate Manager.

      Vai a Certificate Manager

    2. Nella scheda Certificati, seleziona la casella di controllo del certificato.

    3. Fai clic su Elimina.

    4. Nella finestra di dialogo visualizzata, fai clic su Elimina per confermare.

    gcloud 

    gcloud certificate-manager certificates delete CERTIFICATE_NAME

    Sostituisci CERTIFICATE_NAME con il nome del certificato di destinazione.

  3. Elimina la risorsa di configurazione dell'emissione dei certificati:

    Console

    1. Nella console Google Cloud , vai alla scheda Configurazioni di emissione nella pagina Certificate Manager.

      Vai a Certificate Manager

    2. Seleziona la casella di controllo della risorsa di configurazione dell'emissione che vuoi eliminare.

    3. Fai clic su Elimina.

    4. Nella finestra di dialogo visualizzata, fai clic su Elimina per confermare.

    gcloud 

    gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME

    Sostituisci ISSUANCE_CONFIG_NAME con il nome della risorsa di configurazione di emissione del certificato di destinazione.

  4. Elimina il pool di CA.

    Per eliminare il pool di CA o per disattivare l'ultima CA abilitata in un pool di CA a cui fa riferimento una risorsa di configurazione dell'emissione di certificati, elimina tutte le configurazioni di emissione di certificati che fanno riferimento al pool di CA. Per saperne di più, consulta la sezione Eliminare un pool di CA.