פריסת אישור גלובלי שמנוהל על ידי Google באמצעות Certificate Authority Service

במדריך הזה נסביר איך להשתמש ב-Certificate Manager כדי לפרוס אישור גלובלי שמנוהל על ידי Google באמצעות Certificate Authority Service.

מאזני העומסים הגלובליים הבאים תומכים באישורים בניהול Google עם Certificate Authority Service:

• מאזן עומסים גלובלי חיצוני של אפליקציות (ALB)
• מאזן עומסים קלאסי של אפליקציות (ALB)
• מאזן עומסי רשת גלובלי חיצוני בשרת proxy
• מאזן עומסי רשת קלאסי בשרת proxy

אם רוצים לפרוס למאזני עומסים חוצי-אזורים או למאזני עומסים אזוריים, אפשר לעיין במאמרים הבאים:

• פריסת אישור בניהול Google בכמה אזורים באמצעות Certificate Authority Service
• פריסת אישור אזורי שמנוהל על ידי Google באמצעות Certificate Authority Service

מטרות

במדריך הזה מוסבר איך לבצע את הפעולות הבאות:

• יוצרים אישור שמנוהל על ידי Google באמצעות CA Service דרך Certificate Manager.
• פורסים את האישור למאזן עומסים נתמך באמצעות proxy של HTTPS ליעד.

לפני שמתחילים

נכנסים לחשבון Google Cloud . אנחנו ממליצים למשתמשים חדשים ב- Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

1. מפעילים את CA Service API.
2. יוצרים מאגר רשויות אישורים. צריך ליצור ולהפעיל לפחות CA אחד במאגר ה-CA הזה.

לפני שמבצעים את השלבים במדריך הזה, חשוב לתעד את הפרטים הבאים:

• אישורים שיוצרים באמצעות Certificate Authority Service לא מהימנים באופן ציבורי. כדי להנפיק אישורים שמהימנים באופן ציבורי, צריך ליצור אישורים עם הרשאת DNS או הרשאה של איזון עומסים.

• אם מדיניות הנפקת אישורים בתוקף במאגר היעד של רשות האישורים, יכול להיות שהקצאת האישורים תיכשל בגלל אחת מהסיבות הבאות:

  • מדיניות הנפקת האישורים חסמה את האישור המבוקש. במקרה כזה, לא נחייב אתכם כי האישור לא הונפק.
  • המדיניות החילה שינויים באישור שלא נתמכים על ידי Certificate Manager. במקרה כזה, תחויבו כי האישור הונפק, גם אם הוא לא תואם באופן מלא ל-Certificate Manager.

• כדי להבטיח תאימות, צריך להגדיר את מדיניות הנפקת האישורים של מאגר ה-CA של היעד כך שתאפשר אישורי TLS של שרתים מסוג ישות קצה (עלה).

• אפשר להגדיר הנפקה של אישורי TLS גלובליים שמנוהלים על ידי Google ממאגר של רשויות אישורים בכל אזור.

התפקידים הנדרשים

כדי לבצע את המשימות במדריך הזה, צריך לוודא שיש לכם את התפקידים הבאים:

• בעלים של Certificate Manager‏ (roles/certificatemanager.owner)

  נדרשת כדי ליצור ולנהל משאבים של Certificate Manager.

• אדמין של איזון עומסים ב-Compute‏ (roles/compute.loadBalancerAdmin) או אדמין של רשת ב-Compute‏ (roles/compute.networkAdmin)

  נדרש כדי ליצור ולנהל שרת proxy לחלוקת העומס של HTTPS.

• אדמין של שירות CA‏ (roles/privateca.admin)

  נדרש כדי לבצע פעולות בשירות CA.

למידע נוסף, קראו את המאמרים הבאים:

• תפקידים והרשאות ב-Certificate Manager.
• תפקידים והרשאות ב-Compute Engine IAM ל-Compute Engine.

• בקרת גישה באמצעות IAM ל-CA Service.

הערה: אם לא הוקצו לכם ההרשאות או התפקידים, אתם צריכים לבקש את התפקידים החסרים מהאדמין של ניהול הזהויות והרשאות הגישה (IAM) שיש לו את התפקיד 'אדמין IAM בפרויקט' (roles/resourcemanager.projectIamAdmin).

יצירת מאזן העומסים

במדריך הזה אנחנו מניחים שכבר יצרתם והגדרתם את הקצוות העורפיים של מאזן העומסים, את בדיקות התקינות, את השירותים לקצה העורפי ואת מיפוי כתובות ה-URL. אם יצרתם מאזן עומסים חיצוני של אפליקציות, שימו לב לשם של מפת כתובות ה-URL כי תצטרכו אותו בהמשך המדריך הזה.

אם לא יצרתם מאזן עומסים, תוכלו לעיין בדפים הבאים כדי ליצור אחד:

• כדי ליצור מאזן עומסים גלובלי חיצוני של אפליקציות (ALB), אפשר לעיין במאמר הגדרה של מאזן עומסים גלובלי חיצוני של אפליקציות עם מערכות בק-אנד של קבוצת מופעי מכונה (VM).

• כדי ליצור מאזן עומסים קלאסי של אפליקציות, אפשר לעיין במאמר הגדרה של מאזן עומסים קלאסי של אפליקציות עם קצה עורפי של קבוצת מופעי מכונה מנוהלים.

• כדי ליצור מאזן עומסי רשת גלובלי חיצוני בשרת proxy (שרת proxy של SSL), אפשר לעיין במאמר הגדרה של מאזן עומסי רשת גלובלי חיצוני בשרת proxy (שרת proxy של SSL) עם קבוצות של מופעי מכונות וירטואליות בתור בק-אנד.

• כדי ליצור מאזן עומסי רשת קלאסי של שרת proxy (שרת proxy של SSL), אפשר לעיין במאמר הגדרת מאזן עומסי רשת קלאסי של שרת proxy (שרת proxy של SSL) עם קצה עורפי של קבוצת מופעים של מכונות וירטואליות.

הגדרת שילוב של CA Service עם Certificate Manager

כדי לשלב את CA Service עם Certificate Manager, צריך לבצע את השלבים הבאים:

1. בפרויקט היעד Google Cloud , יוצרים חשבון שירות של Certificate Manager:

   gcloud beta services identity create --service=certificatemanager.googleapis.com \
       --project=PROJECT_ID
   

   מחליפים את PROJECT_ID במזהה של פרויקט היעדGoogle Cloud .

   הפקודה מחזירה את השם של הזהות בשירות שנוצרה. מקרה לדוגמה:

   [e-mail]
   

2. מקצים לחשבון השירות של Certificate Manager את התפקיד CA Service Certificate Requester (roles/privateca.certificateRequester) במאגר ה-CA של היעד:

   gcloud privateca pools add-iam-policy-binding CA_POOL \
       --location LOCATION \
       --member "serviceAccount:SERVICE_ACCOUNT" \
       --role roles/privateca.certificateRequester
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫CA_POOL: המזהה של מאגר רשויות האישורים (CA) של היעד.
   • ‫LOCATION: מיקום היעד. Google Cloud
   • ‫SERVICE_ACCOUNT: השם המלא של חשבון השירות שיצרתם בשלב 1.

3. יוצרים משאב של הגדרות הנפקת אישורים למאגר ה-CA:

   המסוף

   1. במסוף Google Cloud , עוברים לכרטיסייה Issuance configs בדף Certificate Manager.

      כניסה אל Certificate Manager

   2. לוחצים על יצירה. ייפתח הדף Create a Certificate Issuance Config.

   3. בשדה שם, מזינים שם ייחודי להגדרת הנפקת האישור.

   4. אופציונלי: בשדה Description, מזינים תיאור של הגדרת ההנפקה.

   5. בקטע מיקום, בוחרים באפשרות גלובלי.

   6. אופציונלי: בשדה Lifetime, מציינים את משך החיים של האישור שהונפק בימים. הערך חייב להיות בין 21 ל-30 ימים (כולל).

   7. אופציונלי: בשדה אחוז חלון הרוטציה, מציינים את האחוז ממשך החיים של האישור שבו מתחיל תהליך החידוש שלו. כדי לראות את טווח הערכים התקינים, אפשר לעיין במאמר בנושא אחוז חלון הזמן של מחזור החיים והרוטציה.

   8. אופציונלי: מהרשימה Key algorithm, בוחרים את אלגוריתם המפתח שבו רוצים להשתמש כשיוצרים את המפתח הפרטי.

   9. ברשימה CA pool (מאגר רשויות אישורים), בוחרים את השם של מאגר רשויות האישורים שרוצים להקצות למשאב הזה של הגדרת הנפקת האישורים.

   10. בשדה Labels (תוויות), מציינים את התוויות שרוצים לשייך לאישור. כדי להוסיף תווית, לוחצים על Add label ומציינים מפתח וערך לתווית.

   11. לוחצים על יצירה.

   gcloud

   gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
       --ca-pool=CA_POOL
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫ISSUANCE_CONFIG_NAME: השם של משאב הגדרות הנפקת האישורים.
   • ‫CA_POOL: שם המשאב והנתיב המלאים של מאגר רשויות האישורים שרוצים להקצות למשאב הזה של הגדרת הנפקת האישורים.

   הערה: כברירת מחדל, משך החיים של האישור הוא 30 ימים, אלגוריתם המפתח הוא rsa-2048, ואחוז חלון הרוטציה הוא 66%. אם רוצים לשנות את ערכי ברירת המחדל, מוסיפים את הדגלים lifetime, key-algorithm ו-rotation-window-percentage לפקודה ומציינים את הערכים.

   מידע נוסף על משאבי הגדרת הנפקת אישורים זמין במאמר ניהול משאבי הגדרת הנפקת אישורים.

יצירת אישור שמנוהל על ידי Google שהונפק על ידי מופע CA Service

כדי ליצור אישור שמנוהל על ידי Google ומונפק על ידי מופע CA Service שלכם:

המסוף

1. נכנסים לדף Certificate Manager במסוף Google Cloud .

   כניסה אל Certificate Manager

2. בכרטיסייה אישורים, לוחצים על הוספת אישור.

3. בשדה שם האישור, מזינים שם ייחודי לאישור.

4. אופציונלי: בשדה Description, מזינים תיאור של האישור. התיאור מאפשר לכם לזהות את האישור.

5. בקטע מיקום, בוחרים באפשרות גלובלי.

6. בקטע היקף, בוחרים באפשרות ברירת מחדל.

7. בשדה Certificate type (סוג האישור), בוחרים באפשרות Create Google-managed certificate (יצירת אישור בניהול Google).

8. בשדה Certificate Authority type, בוחרים באפשרות Private.

9. בשדה שמות דומיין, מציינים רשימה של שמות דומיין של האישור, כשהם מופרדים בפסיקים. כל שם דומיין צריך להיות שם דומיין שמוגדר במלואו, כמו myorg.example.com.

10. בקטע Select a certificate issuance config (בחירת הגדרת הנפקת אישורים), בוחרים את השם של משאב הגדרת הנפקת האישורים שמפנה למאגר היעד של רשות האישורים.

11. בשדה Labels (תוויות), מציינים את התוויות שרוצים לשייך לאישור. כדי להוסיף תווית, לוחצים על Add label ומציינים מפתח וערך לתווית.

12. לוחצים על יצירה.

    האישור החדש מופיע ברשימת האישורים.

gcloud

כדי ליצור אישור גלובלי מנוהל על ידי Google באמצעות Certificate Authority Service, משתמשים בפקודה certificate-manager certificates create עם הדגל issuance-config:

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAMES" \
    --issuance-config=ISSUANCE_CONFIG_NAME

מחליפים את מה שכתוב בשדות הבאים:

• ‫CERTIFICATE_NAME: שם האישור.
• ‫DOMAIN_NAME: השם של דומיין היעד. שם הדומיין חייב להיות שם דומיין שמוגדר במלואו, כמו myorg.example.com.
• ‫ISSUANCE_CONFIG_NAME: השם של משאב הגדרות הנפקת האישורים שמפנה למאגר היעד של רשות האישורים.

API

כדי ליצור את האישור, שולחים בקשת POST ל-method‏ certificates.create באופן הבא:

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME"
{
 "managed": {
  "domains": ["DOMAIN_NAME"],
  "issuanceConfig": "ISSUANCE_CONFIG_NAME",
 }
}

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
• ‫CERTIFICATE_NAME: שם האישור.
• ‫DOMAIN_NAME: השם של דומיין היעד. שם הדומיין חייב להיות שם דומיין שמוגדר במלואו, כמו myorg.example.com.
• ‫ISSUANCE_CONFIG_NAME: השם של משאב הגדרות הנפקת האישורים שמפנה למאגר היעד של רשות האישורים.

אימות הסטטוס של האישור

לפני שמקצים אישור למאזן עומסים, צריך לוודא שהוא פעיל. יכול להיות שיחלפו כמה דקות עד שמצב האישור ישתנה לACTIVE.

המסוף

1. נכנסים לדף Certificate Manager במסוף Google Cloud .

   כניסה אל Certificate Manager

2. בכרטיסייה Certificates (אישורים), בודקים את העמודה Status (סטטוס) של האישור.

gcloud

כדי לבדוק את סטטוס האישור, מריצים את הפקודה הבאה:

gcloud certificate-manager certificates describe CERTIFICATE_NAME

מחליפים את CERTIFICATE_NAME בשם של אישור מנוהל על ידי Google.

הפלט אמור להיראות כך:

createTime: '2021-10-20T12:19:53.370778666Z'
expireTime: '2022-05-07T05:03:49Z'
managed:
  domains:
  - myorg.example.com
  issuanceConfig: projects/myproject/locations/global/issuanceConfigs/myissuanceConfig
  state: ACTIVE
name: projects/myproject/locations/global/certificates/mycertificate
pemCertificate: |
  -----BEGIN CERTIFICATE-----
  [...]
  -----END CERTIFICATE-----
sanDnsnames:
  - myorg.example.com
updateTime: '2021-10-20T12:19:55.083385630Z'

שלבים נוספים לפתרון בעיות מופיעים במאמר פתרון בעיות ב-Certificate Manager.

פריסת האישור במאזן עומסים

כדי לפרוס את האישור הגלובלי שמנוהל על ידי Google, צריך להשתמש במיפוי אישורים.

יצירת מפת אישורים

יוצרים מפת אישורים שמפנה לרשומת מיפוי לאישורים שמשויכת לאישור שלכם:

gcloud

כדי ליצור מיפוי אישורים, משתמשים בפקודה gcloud certificate-manager maps create:

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

מחליפים את CERTIFICATE_MAP_NAME בשם של מיפוי האישורים של היעד.

Terraform

כדי ליצור מיפוי אישורים, אפשר להשתמש במשאב google_certificate_manager_certificate_map.

resource "google_certificate_manager_certificate_map" "certificate_map" {
  name        = "${local.name}-certmap-${random_id.tf_prefix.hex}"
  description = "${local.domain} certificate map"
  labels = {
    "terraform" : true
  }
}

יצירת רשומת מיפוי לאישורים

יוצרים רשומת מיפוי לאישורים ומשייכים אותה לאישור ולמפת האישורים:

gcloud

כדי ליצור רשומה במפת האישורים, משתמשים בפקודה gcloud certificate-manager maps entries create:

gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME" \
    --certificates="CERTIFICATE_NAME" \
    --hostname="HOSTNAME"

מחליפים את מה שכתוב בשדות הבאים:

• ‫CERTIFICATE_MAP_ENTRY_NAME: השם של רשומת המיפוי לאישורים.
• ‫CERTIFICATE_MAP_NAME: השם של מיפוי האישורים שאליו משויכת רשומת מיפוי האישורים.
• ‫CERTIFICATE_NAME: השם של האישור שרוצים לשייך לרשומה במפת האישורים.

• ‫HOSTNAME: שם המארח שרוצים לשייך לרשומה במפת האישורים.

  אם רוצים ליצור אישור שמכסה גם דומיין עם תו כללי וגם דומיין בסיסי, צריך לציין את שם המארח עם דומיין בסיסי ותו כללי, כמו example.com ו-*.example.com. בנוסף, צריך לציין שני רשומות של מיפוי אישורים – אחת ל-example.com והשנייה ל-*.example.com.

Terraform

כדי ליצור רשומה במפת האישורים עם דומיין בסיסי, משתמשים במשאב google_certificate_manager_certificate_map_entry.

resource "google_certificate_manager_certificate_map_entry" "first_entry" {
  name        = "${local.name}-first-entry-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = local.domain
}

כדי ליצור רשומה במיפוי האישורים עם דומיין עם תו כללי, משתמשים בgoogle_certificate_manager_certificate_map_entry resource.

resource "google_certificate_manager_certificate_map_entry" "second_entry" {
  name        = "${local.name}-second-entity-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = "*.${local.domain}"
}

אימות שרשומת מיפוי האישורים פעילה

לפני שמצרפים את מפת האישורים המתאימה לשרת proxy לחלוקת העומס, צריך לוודא שרשומת מיפוי לאישורים פעילה.

כדי לאמת את רשומת מיפוי האישורים, משתמשים בפקודה gcloud certificate-manager maps entries describe:

gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"

מחליפים את מה שכתוב בשדות הבאים:

• ‫CERTIFICATE_MAP_ENTRY_NAME: השם של רשומת המיפוי לאישורים.
• ‫CERTIFICATE_NAME: השם של האישור שרוצים לשייך לרשומה במפת האישורים.

הפלט אמור להיראות כך:

certificates:
createTime: '2021-09-06T10:01:56.229472109Z'
hostname: example.com
name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/myCertMapEntry
state: ACTIVE
updateTime: '2021-09-06T10:01:58.277031787Z'

צירוף מפת האישורים לשרת proxy לחלוקת העומס

אפשר לצרף את מפת האישורים לפרוקסי יעד חדש או לפרוקסי יעד קיים.

gcloud

כדי לצרף את מפת האישורים לשרת proxy לחלוקת העומס חדש, משתמשים בפקודה gcloud compute target-https-proxies create:

gcloud compute target-https-proxies create PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --url-map="URL_MAP" \
    --global

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROXY_NAME: השם של שרת ה-proxy ליעד.
• ‫CERTIFICATE_MAP_NAME: שם מפת האישורים שמפנה לרשומת המיפוי לאישורים ולאישור המשויך.
• ‫URL_MAP: השם של מפת URL

כדי לצרף את מיפוי האישורים לשרת proxy קיים של HTTPS, משתמשים בפקודה gcloud compute target-https-proxies update. אם אינכם יודעים את השם של שרת ה-proxy הקיים לחלוקת העומס, עברו לדף Target proxies ורשמו את השם של שרת ה-proxy לחלוקת העומס.

gcloud compute target-https-proxies update PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --global

אחרי שיוצרים או מעדכנים את שרת proxy לחלוקת העומס, מריצים את הפקודה הבאה כדי לוודא שהוא תקין:

gcloud compute target-https-proxies list

Terraform

כדי לצרף את מפת האישורים לשרת proxy לחלוקת העומס, אפשר להשתמש במשאב google_compute_target_https_proxy.

כשמגדירים שרת proxy לחלוקת העומס, אם מצרפים אישורי TLS (SSL) ישירות וגם דרך מפת אישורים, שרת ה-proxy משתמש באישורים שמקושרים למפת האישורים ומתעלם מאישורי ה-TLS (SSL) שצורפו ישירות.

פתרון בעיות שקשורות לאישורים שהונפקו על ידי CA Service

שלבים לפתרון בעיות מפורטים במאמר בעיות שקשורות לאישורים שהונפקו על ידי מופע של שירות רשות אישורים.

הסרת המשאבים

כדי להימנע מחיובים בחשבון Google Cloud על המשאבים שבהם השתמשתם במדריך הזה, מוחקים אותם.

1. מחיקת מאזן העומסים והמשאבים שלו.

   איך מנקים את ההגדרות של איזון עומסים

2. מוחקים את מיפוי האישורים מהפרוקסי או מנתקים אותו ממנו.

   כדי למחוק את מיפוי האישורים, מריצים את הפקודה הבאה:

   gcloud compute target-https-proxies delete PROXY_NAME
   

   אם רוצים להשאיר את שרת ה-proxy של HTTPS, צריך לנתק את מיפוי האישורים משרת ה-proxy.

   שימו לב: לפני שמנתקים את מיפוי האישורים, חשוב לקרוא את השיקולים הבאים.
   • אם יש אישורי TLS ‏ (SSL) שמצורפים ישירות ל-proxy, ניתוק מפת האישורים גורם ל-proxy להמשיך להשתמש באישורי ה-TLS ‏ (SSL) שמצורפים ישירות.
   • אם אין אישורי TLS ‏ (SSL) שמצורפים ישירות ל-proxy, אי אפשר לנתק את מיפוי האישורים מה-proxy. קודם צריך לצרף לפחות אישור TLS ‏ (SSL) אחד ישירות לשרת ה-proxy, ורק אחר כך אפשר לנתק את מיפוי האישורים.

   כדי לנתק את מיפוי האישורים, מריצים את הפקודה הבאה:

   gcloud compute target-https-proxies update PROXY_NAME \
       --clear-certificate-map
   

   מחליפים את PROXY_NAME בשם של שרת proxy היעד.

3. מוחקים את הרשומה של מיפוי האישורים ממפת האישורים:

   gcloud certificate-manager maps entries delete CERTIFICATE_MAP_ENTRY_NAME \
       --map="CERTIFICATE_MAP_NAME"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫CERTIFICATE_MAP_ENTRY_NAME: השם של רשומת המיפוי לאישורים.
   • CERTIFICATE_MAP_NAME: שם מיפוי האישורים.

4. מחיקת מיפוי האישורים:

   gcloud certificate-manager maps delete CERTIFICATE_MAP_NAME
   

   מחליפים את CERTIFICATE_MAP_NAME בשם של מיפוי האישורים.

5. מחיקת האישור שמנוהל על ידי Google:

   המסוף

   1. נכנסים לדף Certificate Manager במסוף Google Cloud .

      כניסה אל Certificate Manager

   2. בכרטיסייה אישורים, מסמנים את תיבת הסימון של האישור.

   3. לוחצים על Delete.

   4. בתיבת הדו-שיח שמופיעה, לוחצים על מחיקה כדי לאשר.

   gcloud

   gcloud certificate-manager certificates delete CERTIFICATE_NAME
   

   מחליפים את CERTIFICATE_NAME בשם של אישור היעד.

6. מחיקת משאב ההגדרה של הנפקת אישורים:

   המסוף

   1. במסוף Google Cloud , עוברים לכרטיסייה Issuance configs בדף Certificate Manager.

      כניסה אל Certificate Manager

   2. מסמנים את התיבה של משאב הגדרת ההנפקה שרוצים למחוק.

   3. לוחצים על Delete.

   4. בתיבת הדו-שיח שמופיעה, לוחצים על מחיקה כדי לאשר.

   gcloud

    gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME
    

   מחליפים את ISSUANCE_CONFIG_NAME בשם של משאב היעד של הגדרת הנפקת האישור.

7. מוחקים את מאגר רשויות האישורים.

   כדי למחוק את מאגר ה-CA, או כדי להשבית את ה-CA האחרון שמופעל במאגר CA שאליו מתייחס משאב של הגדרת הנפקת אישורים, צריך למחוק את כל משאבי הגדרת הנפקת האישורים שמתייחסים למאגר ה-CA. מידע נוסף זמין במאמר בנושא מחיקת מאגר של רשויות אישורים.

המאמרים הבאים

• ניהול אישורים
• ניהול מיפוי אישורים
• ניהול של רשומות במפת האישורים
• ניהול משאבים של הגדרת הנפקת אישורים