Men-deploy sertifikat global yang dikelola Google dengan otorisasi DNS

Tutorial ini menunjukkan cara menggunakan Certificate Manager untuk men-deploy sertifikat global yang dikelola Google dengan otorisasi DNS.

Load balancer global berikut mendukung sertifikat yang dikelola Google dengan otorisasi DNS:

• Load Balancer Aplikasi eksternal global
• Load Balancer Aplikasi klasik
• Load Balancer Jaringan proxy eksternal global
• Load Balancer Jaringan proxy klasik

Jika Anda ingin men-deploy ke load balancer lintas region atau load balancer regional, lihat referensi berikut:

• Men-deploy sertifikat lintas region yang dikelola Google dengan otorisasi DNS
• Men-deploy sertifikat regional yang dikelola Google dengan otorisasi DNS

Tujuan

Tutorial ini menunjukkan kepada Anda cara menyelesaikan tugas-tugas berikut:

• Buat sertifikat yang dikelola Google yang diterbitkan oleh certificate authority tepercaya secara publik dengan otorisasi DNS menggunakan Certificate Manager.

• Deploy sertifikat ke load balancer yang didukung menggunakan proxy HTTPS target.

Sebelum memulai

Login ke akun Google Cloud Anda. Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

1. Buat zona DNS publik

Peran yang diperlukan

Pastikan Anda memiliki peran berikut untuk menyelesaikan tugas dalam tutorial ini:

• Certificate Manager Owner (roles/certificatemanager.owner)

  Diperlukan untuk membuat dan mengelola resource Certificate Manager.

• Compute Load Balancer Admin (roles/compute.loadBalancerAdmin) atau Compute Network Admin (roles/compute.networkAdmin)

  Diperlukan untuk membuat dan mengelola proxy target HTTPS.

• Administrator DNS (roles/dns.admin)

  Diperlukan jika Anda ingin menggunakan Cloud DNS sebagai solusi DNS Anda.

Untuk informasi selengkapnya, lihat referensi berikut:

• Peran dan izin untuk Certificate Manager.
• Peran dan izin IAM Compute Engine untuk Compute Engine.

• Peran dan izin untuk Cloud DNS.

Catatan: Jika Anda tidak diberi izin atau peran, minta peran yang tidak ada dari administrator Identity and Access Management (IAM) yang memiliki peran Project IAM Admin (roles/resourcemanager.projectIamAdmin).

Nama domain

Untuk membuat sertifikat, dapatkan nama domain yang sepenuhnya memenuhi syarat (FQDN) dari domain yang Anda miliki. Jika tidak memiliki domain, Anda dapat menggunakan Cloud Domains untuk mendaftarkan domain.

Membuat load balancer

Tutorial ini mengasumsikan bahwa Anda telah membuat dan mengonfigurasi backend, health check, layanan backend, dan peta URL load balancer. Jika Anda telah membuat Load Balancer Aplikasi eksternal, catat nama peta URL karena Anda akan memerlukannya nanti dalam tutorial ini.

Jika Anda belum membuat load balancer, lihat halaman berikut untuk membuatnya:

• Untuk membuat Load Balancer Aplikasi eksternal global, lihat Menyiapkan Load Balancer Aplikasi eksternal global dengan backend grup instance VM.

• Untuk membuat Load Balancer Aplikasi klasik, lihat Menyiapkan Load Balancer Aplikasi klasik dengan backend grup instance terkelola.

• Untuk membuat Load Balancer Jaringan proxy eksternal global (proxy SSL), lihat Menyiapkan Load Balancer Jaringan proxy eksternal global (proxy SSL) dengan backend grup instance VM.

• Untuk membuat Load Balancer Jaringan proxy klasik (proxy SSL), lihat Menyiapkan Load Balancer Jaringan proxy klasik (proxy SSL) dengan backend grup instance VM.

Membuat sertifikat yang dikelola Google dengan otorisasi DNS

Sebelum membuat sertifikat, buat zona DNS publik. Kemudian, buat otorisasi DNS dan tambahkan data CNAME ke zona DNS target.

Membuat otorisasi DNS

Otorisasi DNS hanya mencakup satu nama domain. Anda harus membuat otorisasi DNS terpisah untuk setiap nama domain yang ingin Anda gunakan dengan sertifikat target.

Jika Anda membuat otorisasi DNS untuk sertifikat karakter pengganti, seperti *.myorg.example.com, konfigurasikan otorisasi DNS untuk domain induk—misalnya, myorg.example.com.

Konsol

Anda dapat membuat otorisasi DNS atau melampirkan otorisasi DNS yang ada saat membuat sertifikat. Untuk mengetahui informasi selengkapnya, lihat Membuat sertifikat yang dikelola Google yang merujuk pada otorisasi DNS.

gcloud

Anda dapat membuat dua jenis otorisasi DNS: FIXED_RECORD atau PER_PROJECT_RECORD. Untuk mengetahui informasi selengkapnya, lihat Otorisasi DNS.

Catatan: Sertifikat global yang dikelola Google menggunakan FIXED_RECORD sebagai jenis otorisasi DNS default.

Otorisasi DNS FIXED_RECORD

Untuk membuat otorisasi DNS FIXED_RECORD, gunakan perintah gcloud certificate-manager dns-authorizations create berikut:

gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
    --domain="DOMAIN_NAME" \
    --type=[FIXED_RECORD]

Ganti kode berikut:

• AUTHORIZATION_NAME: nama otorisasi DNS.
• DOMAIN_NAME: nama domain target tempat Anda membuat otorisasi DNS ini. Nama domain harus berupa nama domain yang sepenuhnya memenuhi syarat, seperti myorg.example.com.

Setelah membuat otorisasi DNS FIXED_RECORD, verifikasi dengan perintah gcloud certificate-manager dns-authorizations describe:

gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME

Outputnya mirip dengan yang berikut ini. Pada output, temukan bagian dnsResourceRecord. Temukan data CNAME dan tambahkan detail data (data,name, dan type) ke konfigurasi DNS Anda.

createTime: '2022-01-14T13:35:00.258409106Z'
dnsResourceRecord:
  data: 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog.
  name: _acme-challenge.myorg.example.com.
  type: CNAME
domain: myorg.example.com
name: projects/myProject/locations/global/dnsAuthorizations/myAuthorization
updateTime: '2022-01-14T13:35:01.571086137Z'

Otorisasi DNS PER_PROJECT_RECORD

Untuk membuat otorisasi DNS PER_PROJECT_RECORD, gunakan perintah gcloud certificate-manager dns-authorizations create berikut:

gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
    --domain="DOMAIN_NAME" \
    --type=PER_PROJECT_RECORD

Ganti kode berikut:

• AUTHORIZATION_NAME: nama otorisasi DNS.
• DOMAIN_NAME: nama domain target tempat Anda membuat otorisasi DNS ini. Nama domain harus berupa nama domain yang sepenuhnya memenuhi syarat, seperti myorg.example.com.

Setelah membuat otorisasi DNS PER_PROJECT_RECORD, verifikasi dengan perintah gcloud certificate-manager dns-authorizations describe:

gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME

Outputnya mirip dengan yang berikut ini. Pada output, temukan bagian dnsResourceRecord. Temukan data CNAME dan tambahkan detail data (data,name, dan type) ke konfigurasi DNS Anda.

createTime: '2022-01-14T13:35:00.258409106Z'
dnsResourceRecord:
  data: 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog.
  name: _acme-challenge_ujmmovf2vn55tgye.myorg.example.com
  type: CNAME
domain: myorg.example.com
name: projects/myProject/locations/global/dnsAuthorizations/myAuthorization
updateTime: '2022-01-14T13:35:01.571086137Z'

Catatan: Untuk otorisasi DNS PER_PROJECT_RECORD, Certificate Manager hanya mendukung sertifikat yang diterbitkan oleh Layanan Kepercayaan Google. Sertifikat yang dikeluarkan oleh otoritas lain, seperti Let's Encrypt CA, tidak didukung.

Terraform

Untuk membuat otorisasi DNS, Anda dapat menggunakan resource google_certificate_manager_dns_authorization.

resource "google_certificate_manager_dns_authorization" "default" {
  name        = "${local.name}-dnsauth-${random_id.tf_prefix.hex}"
  description = "The default dns auth"
  domain      = local.domain
  labels = {
    "terraform" : true
  }
}

Untuk mempelajari cara menerapkan atau menghapus konfigurasi Terraform, lihat Perintah dasar Terraform.

API

Untuk membuat otorisasi DNS, buat permintaan POST ke metode dnsAuthorizations.create:

POST /v1/projects/PROJECT_ID/locations/global/dnsAuthorizations?dns_authorization_id=AUTHORIZATION_NAME
{
  "domain": "DOMAIN_NAME",
  "type": "PER_PROJECT_RECORD" //optional
}

Ganti kode berikut:

• PROJECT_ID: ID project Google Cloud Anda.
• AUTHORIZATION_NAME: nama otorisasi DNS.
• DOMAIN_NAME: nama domain target tempat Anda membuat otorisasi DNS ini. Nama domain harus berupa nama domain yang sepenuhnya memenuhi syarat, seperti myorg.example.com.

Buat sertifikat yang dikelola Google yang merujuk pada otorisasi DNS

Untuk membuat sertifikat yang dikelola Google yang merujuk ke otorisasi DNS yang Anda buat pada langkah sebelumnya, lakukan hal berikut:

Konsol

1. Di konsol Google Cloud , buka halaman Certificate Manager.

   Buka Certificate Manager

2. Di tab Certificates, klik Add Certificate.

3. Di kolom Certificate name, masukkan nama unik untuk sertifikat.

4. Opsional: Di kolom Description, masukkan deskripsi untuk sertifikat. Deskripsi ini memungkinkan Anda mengidentifikasi sertifikat.

5. Untuk Location, pilih Global.

6. Untuk Scope, pilih Default.

7. Untuk Certificate type, pilih Create Google-managed certificate.

8. Untuk Certificate Authority type, pilih Public.

9. Di kolom Domain Names, tentukan daftar nama domain sertifikat yang dipisahkan koma. Setiap nama domain harus berupa nama domain yang sepenuhnya memenuhi syarat, seperti myorg.example.com. Nama domain juga dapat berupa nama domain karakter pengganti, seperti *.example.com.

10. Untuk Authorization type, pilih DNS authorization.

    Halaman ini mencantumkan otorisasi DNS nama domain. Jika nama domain tidak memiliki otorisasi DNS terkait, ikuti langkah-langkah berikut untuk membuatnya:

    1. Klik Create missing DNS authorization.
    2. Di kolom DNS authorization name, tentukan nama otorisasi DNS. Jenis otorisasi DNS default adalah FIXED_RECORD. Untuk mengelola sertifikat secara independen di beberapa project, pilih kotak centang Per project authorization.
    3. Klik Create DNS authorization.

11. Di kolom Labels, tentukan label yang akan dikaitkan dengan sertifikat. Untuk menambahkan label, klik Tambahkan label, lalu tentukan kunci dan nilai untuk label Anda.

12. Klik Create.

    Sertifikat baru akan muncul dalam daftar sertifikat.

gcloud

Untuk membuat sertifikat global yang dikelola Google dengan otorisasi DNS, jalankan perintah certificate-manager certificates create dengan flag dns-authorizations:

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAME,*.DOMAIN_NAME" \
    --dns-authorizations="AUTHORIZATION_NAMES"

Ganti kode berikut:

• CERTIFICATE_NAME: nama sertifikat.
• DOMAIN_NAME: nama domain target. Nama domain harus berupa nama domain yang sepenuhnya memenuhi syarat, seperti myorg.example.com, atau domain karakter pengganti, seperti *.myorg.example.com. Awalan titik tanda bintang (*.) menandakan sertifikat karakter pengganti.
• AUTHORIZATION_NAMES: daftar yang dipisahkan koma berisi nama otorisasi DNS yang Anda buat untuk sertifikat.

Terraform

Gunakan resource google_certificate_manager_certificate.

resource "google_certificate_manager_certificate" "root_cert" {
  name        = "${local.name}-rootcert-${random_id.tf_prefix.hex}"
  description = "The wildcard cert"
  managed {
    domains = [local.domain, "*.${local.domain}"]
    dns_authorizations = [
      google_certificate_manager_dns_authorization.default.id
    ]
  }
  labels = {
    "terraform" : true
  }
}

API

Buat sertifikat dengan membuat permintaan POST ke metode certificates.create sebagai berikut:

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME
{
 "managed": {
  "domains": ["DOMAIN_NAME"],
  "dnsAuthorizations": [
   "projects/PROJECT_ID/locations/global/dnsAuthorizations/AUTHORIZATION_NAME",
  ],
 }
}

Ganti kode berikut:

• PROJECT_ID: ID project Google Cloud Anda.
• CERTIFICATE_NAME: nama sertifikat.
• DOMAIN_NAME: nama domain target. Nama domain harus berupa nama domain yang sepenuhnya memenuhi syarat, seperti myorg.example.com, atau domain karakter pengganti, seperti *.myorg.example.com. Awalan titik tanda bintang (*.) menandakan sertifikat karakter pengganti.
• AUTHORIZATION_NAMES: daftar nama otorisasi DNS yang dipisahkan koma.

Catatan: Untuk menentukan beberapa domain atau otorisasi DNS, berikan comma separated list dari nilai di kolom masing-masing.

Tambahkan data CNAME ke konfigurasi DNS Anda

Jika Anda menggunakan solusi DNS pihak ketiga untuk mengelola DNS, lihat dokumentasinya untuk menambahkan data CNAME ke konfigurasi DNS. Jika Anda menggunakan Google Cloud untuk mengelola DNS, selesaikan langkah-langkah di bagian ini.

Penting: Anda harus memastikan bahwa CNAME adalah satu-satunya data resource untuk nama DNS tertentu. Meskipun beberapa penyedia DNS mengizinkan Anda mengonfigurasi data resource CNAME dan TXT untuk nama DNS yang sama, jenis konfigurasi ini salah dan dapat menyebabkan konflik, sehingga mencegah penerbitan atau perpanjangan sertifikat yang andal. Jika konflik tersebut terjadi, Anda dapat menghapus data TXT atau menggunakan metode otorisasi DNS per project.

Konsol

Untuk membuat set data, ikuti langkah-langkah berikut:

1. Di konsol Google Cloud , buka halaman zona DNS.

   Buka Cloud DNS zones

2. Klik nama zona DNS tempat Anda ingin menambahkan data.

3. Di halaman Zone details, klik Add standard.

4. Di halaman Create record set, di kolom DNS name, masukkan subdomain zona DNS.

   Saat memasukkan nama subdomain, pastikan nama subdomain, termasuk teks berwarna abu-abu yang ditampilkan di kolom DNS name, cocok dengan nilai lengkap kolom dnsResourceRecord.name seperti yang ditampilkan dalam output perintah gcloud certificate-manager dns-authorizations describe.

   Lihat contoh berikut:

   • Jika nilai kolom dnsResourceRecord.name adalah _acme-challenge.myorg.example.com., dan teks berwarna abu-abu di kolom DNS name adalah .example.com., masukkan _acme-challenge.myorg.

   • Jika nilai kolom dnsResourceRecord.name adalah _acme-challenge.myorg.example.com. , dan teks berwarna abu-abu di kolom DNS name adalah .myorg.example.com., masukkan _acme-challenge.

   • Jika nilai kolom dnsResourceRecord.name adalah _acme-challenge_ujmmovf2vn55tgye.myorg.example.com., dan teks berwarna abu-abu di kolom DNS name adalah .myorg.example.com., masukkan _acme-challenge_ujmmovf2vn55tgye.

     Catatan: Menambahkan simbol @ dalam kolom ini akan menyebabkan kegagalan data.

5. Di kolom Jenis Data Resource, pilih CNAME.

6. Di kolom TTL, masukkan nilai numerik positif untuk time to live (TTL) data resource, yaitu durasi waktu bagi data tersebut untuk di-cache.

7. Dari daftar TTL unit, pilih satuan waktu—misalnya, 30 minutes.

8. Di kolom Canonical name, masukkan nilai lengkap kolom dnsResourceRecord.data seperti yang ditampilkan dalam output perintah gcloud certificate-manager dns-authorizations describe.

9. Untuk memasukkan informasi tambahan, klik Add item.

10. Klik Create.

gcloud

Saat Anda membuat otorisasi DNS, perintah gcloud CLI akan menampilkan data CNAME yang sesuai. Untuk menambahkan data CNAME ke konfigurasi DNS di zona DNS domain target, ikuti langkah-langkah berikut:

1. Mulai transaksi data DNS:

   gcloud dns record-sets transaction start --zone="DNS_ZONE_NAME"
   

   Ganti DNS_ZONE_NAME dengan nama zona DNS target.

2. Tambahkan data CNAME ke zona DNS target:

   gcloud dns record-sets transaction add CNAME_RECORD \
       --name="VALIDATION_SUBDOMAIN_NAME.DOMAIN_NAME." \
       --ttl="30" \
       --type="CNAME" \
       --zone="DNS_ZONE_NAME"
   

   Ganti kode berikut:

   • CNAME_RECORD: nilai data lengkap data CNAME yang ditampilkan oleh perintah Google Cloud CLI yang membuat otorisasi DNS yang sesuai.
   • VALIDATION_SUBDOMAIN_NAME: subdomain awalan zona DNS, seperti _acme-challenge. Anda dapat menyalin nama dari log perintah gcloud certificate-manager dns-authorizations describe, seperti yang dijelaskan dalam Membuat otorisasi DNS.
   • DOMAIN_NAME: nama domain target.Nama domain harus berupa nama domain yang sepenuhnya memenuhi syarat, seperti myorg.example.com. Anda juga harus menyertakan titik di akhir setelah nama domain target.
   • DNS_ZONE_NAME: nama zona DNS target.

   Untuk mengetahui informasi selengkapnya tentang perbedaan antara otorisasi DNS FIXED_RECORD dan PER_PROJECT_RECORD, lihat contoh berikut. Satu-satunya perbedaan antara kedua contoh tersebut adalah nilai flag --name.

   Otorisasi DNS FIXED_RECORD

   gcloud dns record-sets transaction add 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog. \
       --name="_acme-challenge.myorg.example.com." \
       --ttl="30" \
       --type="CNAME" \
       --zone="myorg-example-com"
   

   Otorisasi DNS PER_PROJECT_RECORD

   gcloud dns record-sets transaction add 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog. \
       --name="_acme-challenge_ujmmovf2vn55tgye.myorg.example.com." \
       --ttl="30" \
       --type="CNAME" \
       --zone="myorg-example-com"
   

3. Jalankan transaksi data DNS untuk menyimpan perubahan:

   gcloud dns record-sets transaction execute --zone="DNS_ZONE_NAME"
   

   Ganti DNS_ZONE_NAME dengan nama zona DNS target.

Terraform

Untuk menambahkan data CNAME ke konfigurasi DNS, Anda dapat menggunakan resource google_dns_record_set.

resource "google_dns_record_set" "cname" {
  name         = google_certificate_manager_dns_authorization.default.dns_resource_record[0].name
  managed_zone = google_dns_managed_zone.default.name
  type         = google_certificate_manager_dns_authorization.default.dns_resource_record[0].type
  ttl          = 300
  rrdatas      = [google_certificate_manager_dns_authorization.default.dns_resource_record[0].data]
}

Memverifikasi status sertifikat

Sebelum men-deploy sertifikat ke load balancer, pastikan sertifikat tersebut aktif. Diperlukan waktu beberapa menit agar status sertifikat berubah menjadi ACTIVE.

Konsol

1. Di konsol Google Cloud , buka halaman Certificate Manager.

   Buka Certificate Manager

2. Di tab Sertifikat, periksa kolom Status untuk sertifikat.

gcloud

Untuk memverifikasi status sertifikat, jalankan perintah berikut:

gcloud certificate-manager certificates describe CERTIFICATE_NAME

Ganti CERTIFICATE_NAME dengan nama sertifikat target yang dikelola Google.

Outputnya mirip dengan hal berikut ini:

createTime: '2021-10-20T12:19:53.370778666Z'
expireTime: '2022-05-07T05:03:49Z'
managed:
  authorizationAttemptInfo:
  - domain: myorg.example.com
    state: AUTHORIZED
  dnsAuthorizations:
    - projects/myProject/locations/global/dnsAuthorizations/myCert
  domains:
  - myorg.example.com
  state: ACTIVE
name: projects/myProject/locations/global/certificates/myCert
pemCertificate: |
  -----BEGIN CERTIFICATE-----
  [...]
  -----END CERTIFICATE-----
sanDnsnames:
  -   myorg.example.com
updateTime: '2021-10-20T12:19:55.083385630Z'

Jika status sertifikat bukan ACTIVE setelah beberapa jam, pastikan Anda telah menambahkan data CNAME dengan benar ke konfigurasi DNS.

Untuk mengetahui langkah pemecahan masalah lainnya, lihat Memecahkan masalah Certificate Manager.

Men-deploy sertifikat ke load balancer

Untuk men-deploy sertifikat global yang dikelola Google, deploy sertifikat menggunakan peta sertifikat.

Buat peta sertifikat

Buat peta sertifikat yang merujuk ke entri peta sertifikat yang terkait dengan sertifikat Anda:

gcloud

Untuk membuat peta sertifikat, gunakan perintah gcloud certificate-manager maps create:

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

Ganti CERTIFICATE_MAP_NAME dengan nama peta sertifikat target.

Terraform

Untuk membuat peta sertifikat, Anda dapat menggunakan resource google_certificate_manager_certificate_map.

resource "google_certificate_manager_certificate_map" "certificate_map" {
  name        = "${local.name}-certmap-${random_id.tf_prefix.hex}"
  description = "${local.domain} certificate map"
  labels = {
    "terraform" : true
  }
}

Membuat entri peta sertifikat

Buat entri peta sertifikat, lalu kaitkan dengan sertifikat dan peta sertifikat Anda:

gcloud

Untuk membuat entri peta sertifikat, gunakan perintah gcloud certificate-manager maps entries create:

gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME" \
    --certificates="CERTIFICATE_NAME" \
    --hostname="HOSTNAME"

Ganti kode berikut:

• CERTIFICATE_MAP_ENTRY_NAME: nama entri peta sertifikat.
• CERTIFICATE_MAP_NAME: nama peta sertifikat yang terkait dengan entri peta sertifikat.
• CERTIFICATE_NAME: nama sertifikat yang ingin Anda kaitkan dengan entri peta sertifikat.

• HOSTNAME: nama host yang ingin Anda kaitkan dengan entri peta sertifikat.

  Jika Anda ingin membuat sertifikat yang mencakup domain karakter pengganti dan domain root, tentukan nama host dengan root dan karakter pengganti, seperti example.com dan *.example.com. Selain itu, Anda harus menentukan dua entri peta sertifikat - satu untuk example.com dan satu lagi untuk *.example.com.

Terraform

Untuk membuat entri peta sertifikat dengan domain root, gunakan resource google_certificate_manager_certificate_map_entry.

resource "google_certificate_manager_certificate_map_entry" "first_entry" {
  name        = "${local.name}-first-entry-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = local.domain
}

Untuk membuat entri peta sertifikat dengan domain karakter pengganti, gunakan resource google_certificate_manager_certificate_map_entry.

resource "google_certificate_manager_certificate_map_entry" "second_entry" {
  name        = "${local.name}-second-entity-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = "*.${local.domain}"
}

Memastikan bahwa entri peta sertifikat aktif

Pastikan entri peta sertifikat aktif sebelum melampirkan peta sertifikat yang sesuai ke proxy target.

Untuk memverifikasi entri peta sertifikat, gunakan perintah gcloud certificate-manager maps entries describe:

gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"

Ganti kode berikut:

• CERTIFICATE_MAP_ENTRY_NAME: nama entri peta sertifikat.
• CERTIFICATE_NAME: nama sertifikat yang ingin Anda kaitkan dengan entri peta sertifikat.

Outputnya mirip dengan hal berikut ini:

certificates:
createTime: '2021-09-06T10:01:56.229472109Z'
hostname: example.com
name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/myCertMapEntry
state: ACTIVE
updateTime: '2021-09-06T10:01:58.277031787Z'

Melampirkan peta sertifikat ke proxy target

Anda dapat melampirkan peta sertifikat ke proxy target baru atau proxy target yang sudah ada.

Konsol

Catatan: Jika proxy target bukan bagian dari load balancer, Anda tidak dapat menggunakan konsol Google Cloud untuk melampirkan peta sertifikat ke proxy tersebut. Untuk melakukan langkah ini, gunakan gcloud CLI atau Terraform.

Jika proxy target adalah bagian dari load balancer yang ada, Anda dapat melampirkan peta sertifikat dengan mengedit konfigurasi frontend load balancer.

1. Di konsol Google Cloud , buka halaman Load balancing.

   Buka Load balancing

2. Klik nama load balancer yang ingin Anda perbarui, lalu klik Edit.

3. Klik Frontend configuration, lalu pilih konfigurasi alamat IP dan port frontend yang ingin Anda edit.

4. Jika Choose certificate repository muncul, pilih Use certificate map.

5. Dalam daftar Select a certificate map, pilih peta sertifikat Anda.

6. Klik Done, lalu klik Update.

gcloud

Untuk melampirkan peta sertifikat ke proxy target baru, gunakan perintah gcloud compute target-https-proxies create:

gcloud compute target-https-proxies create PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --url-map="URL_MAP" \
    --global

Ganti kode berikut:

• PROXY_NAME: nama proxy target.
• CERTIFICATE_MAP_NAME: nama peta sertifikat yang merujuk pada entri peta sertifikat dan sertifikat terkait.
• URL_MAP: nama peta URL

Untuk melampirkan peta sertifikat ke proxy HTTPS target yang ada, gunakan perintah gcloud compute target-https-proxies update. Jika Anda tidak mengetahui nama proxy target yang ada, buka halaman Target proxies dan catat nama proxy target.

gcloud compute target-https-proxies update PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --global

Setelah membuat atau mengupdate proxy target, jalankan perintah berikut untuk memverifikasinya:

gcloud compute target-https-proxies list

Terraform

Untuk melampirkan peta sertifikat ke proxy target, Anda dapat menggunakan resource google_compute_target_https_proxy.

Saat mengonfigurasi proxy target, jika Anda melampirkan sertifikat TLS (SSL) secara langsung dan juga melalui peta sertifikat, proxy akan menggunakan sertifikat yang direferensikan oleh peta sertifikat dan mengabaikan sertifikat TLS (SSL) yang dilampirkan secara langsung.

Pembersihan

Agar akun Google Cloud Anda tidak dikenai biaya untuk resource yang digunakan dalam tutorial ini, hapus resource tersebut.

1. Hapus load balancer dan resource-nya.

   Lihat Membersihkan penyiapan load balancing.

2. Hapus atau lepaskan peta sertifikat dari proxy.

   Untuk menghapus peta sertifikat, jalankan perintah berikut:

   gcloud compute target-https-proxies delete PROXY_NAME
   

   Jika Anda ingin mempertahankan proxy HTTPS target, lepaskan peta sertifikat dari proxy.

   Perhatian: Sebelum melepaskan peta sertifikat, perhatikan pertimbangan berikut.
   • Jika ada sertifikat TLS (SSL) yang terpasang langsung ke proxy, melepas peta sertifikat akan menyebabkan proxy kembali menggunakan sertifikat TLS (SSL) yang terpasang langsung tersebut.
   • Jika tidak ada sertifikat TLS (SSL) yang dilampirkan langsung ke proxy, peta sertifikat tidak dapat dilepas dari proxy. Anda harus melampirkan setidaknya satu sertifikat TLS (SSL) langsung ke proxy terlebih dahulu sebelum dapat melepaskan peta sertifikat.

   Untuk melepaskan peta sertifikat, jalankan perintah berikut:

   gcloud compute target-https-proxies update PROXY_NAME \
       --clear-certificate-map
   

   Ganti PROXY_NAME dengan nama proxy target.

3. Hapus entri peta sertifikat dari peta sertifikat:

   gcloud certificate-manager maps entries delete CERTIFICATE_MAP_ENTRY_NAME \
       --map="CERTIFICATE_MAP_NAME"
   

   Ganti kode berikut:

   • CERTIFICATE_MAP_ENTRY_NAME: nama entri peta sertifikat.
   • CERTIFICATE_MAP_NAME: nama peta sertifikat.

4. Hapus peta sertifikat:

   gcloud certificate-manager maps delete CERTIFICATE_MAP_NAME
   

   Ganti CERTIFICATE_MAP_NAME dengan nama peta sertifikat.

5. Hapus sertifikat yang dikelola Google:

   Konsol

   1. Di konsol Google Cloud , buka halaman Certificate Manager.

      Buka Certificate Manager

   2. Di tab Certificates, centang kotak sertifikat.

   3. Klik Hapus.

   4. Pada dialog yang muncul, klik Hapus untuk mengonfirmasi.

   gcloud

   gcloud certificate-manager certificates delete CERTIFICATE_NAME
   

   Ganti CERTIFICATE_NAME dengan nama sertifikat target.

6. Hapus otorisasi DNS:

   gcloud certificate-manager dns-authorizations delete AUTHORIZATION_NAME
   

   Ganti AUTHORIZATION_NAME dengan nama otorisasi DNS.

Langkah berikutnya

• Mengelola sertifikat
• Mengelola peta sertifikat
• Mengelola entri peta sertifikat
• Mengelola otorisasi DNS