‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

פריסת אישור גלובלי שמנוהל על ידי Google עם הרשאת DNS

במדריך הזה נסביר איך להשתמש ב-Certificate Manager כדי לפרוס אישור גלובלי בניהול Google עם הרשאה של DNS.

מאזני העומסים הגלובליים הבאים תומכים באישורים שמנוהלים על ידי Google עם הרשאת DNS:

מאזן עומסים גלובלי חיצוני של אפליקציות (ALB)
מאזן עומסים קלאסי של אפליקציות (ALB)
מאזן עומסי רשת גלובלי חיצוני בשרת proxy
מאזן עומסי רשת קלאסי בשרת proxy

אם רוצים לפרוס למאזני עומסים חוצי-אזורים או למאזני עומסים אזוריים, אפשר לעיין במאמרים הבאים:

מטרות

במדריך הזה מוסבר איך לבצע את הפעולות הבאות:

יוצרים אישור בניהול Google שהונפק על ידי רשות אישורים מהימנה לציבור עם הרשאת DNS באמצעות Certificate Manager.

פורסים את האישור למאזן עומסים נתמך באמצעות proxy של HTTPS ליעד.

לפני שמתחילים

נכנסים לחשבון Google Cloud . אנחנו ממליצים למשתמשים חדשים ב- Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager APIs, if any are not already enabled.

Roles required to enable APIs

Enable the APIs

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

יצירת תחום DNS ציבורי

התפקידים הנדרשים

כדי לבצע את המשימות במדריך הזה, צריך לוודא שיש לכם את התפקידים הבאים:

בעלים של Certificate Manager‏ (roles/certificatemanager.owner)

נדרשת כדי ליצור ולנהל משאבים של Certificate Manager.
אדמין של איזון עומסים ב-Compute‏ (roles/compute.loadBalancerAdmin) או אדמין של רשת ב-Compute‏ (roles/compute.networkAdmin)

נדרש כדי ליצור ולנהל שרת proxy לחלוקת העומס של HTTPS.

אדמין DNS‏ (roles/dns.admin)

נדרש אם רוצים להשתמש ב-Cloud DNS כפתרון DNS.

למידע נוסף, קראו את המאמרים הבאים:

תפקידים והרשאות ב-Certificate Manager.
תפקידים והרשאות ב-Compute Engine IAM ל-Compute Engine.

תפקידים והרשאות ל-Cloud DNS.

שמות דומיין

כדי ליצור אישורים, צריך לקבל את שמות הדומיין שמוגדרים במלואם (FQDN) של הדומיינים שבבעלותכם. אם אין לכם דומיין, אתם יכולים להשתמש ב-Cloud Domains כדי לרשום דומיין.

יצירת מאזן העומסים

במדריך הזה אנחנו מניחים שכבר יצרתם והגדרתם את הקצוות העורפיים של מאזן העומסים, את בדיקות התקינות, את השירותים לקצה העורפי ואת מיפוי כתובות ה-URL. אם יצרתם מאזן עומסים חיצוני של אפליקציות, שימו לב לשם של מפת כתובות ה-URL כי תצטרכו אותו בהמשך המדריך הזה.

אם לא יצרתם מאזן עומסים, תוכלו לעיין בדפים הבאים כדי ליצור אחד:

כדי ליצור מאזן עומסים גלובלי חיצוני של אפליקציות (ALB), אפשר לעיין במאמר הגדרה של מאזן עומסים גלובלי חיצוני של אפליקציות עם מערכות בק-אנד של קבוצת מופעי מכונה (VM).
כדי ליצור מאזן עומסים קלאסי של אפליקציות, אפשר לעיין במאמר הגדרה של מאזן עומסים קלאסי של אפליקציות עם קצה עורפי של קבוצת מופעי מכונה מנוהלים.
כדי ליצור מאזן עומסי רשת גלובלי חיצוני בשרת proxy (שרת proxy של SSL), אפשר לעיין במאמר הגדרה של מאזן עומסי רשת גלובלי חיצוני בשרת proxy (שרת proxy של SSL) עם קבוצות של מופעי מכונות וירטואליות בתור בק-אנד.
כדי ליצור מאזן עומסי רשת קלאסי של שרת proxy (שרת proxy של SSL), אפשר לעיין במאמר הגדרת מאזן עומסי רשת קלאסי של שרת proxy (שרת proxy של SSL) עם קצה עורפי של קבוצת מופעים של מכונות וירטואליות.

יצירת אישור שמנוהל על ידי Google עם אימות DNS

לפני שיוצרים את האישור, צריך ליצור תחום DNS ציבורי. לאחר מכן, יוצרים הרשאה ל-DNS ומוסיפים את רשומת ה-CNAME לאזור ה-DNS של היעד.

יצירת הרשאה ל-DNS

הרשאה ב-DNS מכסה רק שם דומיין אחד. צריך ליצור הרשאת DNS נפרדת לכל שם דומיין שרוצים להשתמש בו עם אישור היעד.

אם אתם יוצרים אישור DNS לתעודת wildcard, כמו *.myorg.example.com, צריך להגדיר את אישור ה-DNS לדומיין האב – לדוגמה, myorg.example.com.

המסוף

כשיוצרים אישור, אפשר ליצור הרשאה ל-DNS או לצרף הרשאה קיימת ל-DNS. מידע נוסף זמין במאמר בנושא יצירת אישור בניהול Google עם הפניה לאישור DNS.

gcloud

אפשר ליצור שני סוגים של הרשאות DNS: ‏ FIXED_RECORD או PER_PROJECT_RECORD. מידע נוסף זמין במאמר בנושא אימות DNS.

הרשאת DNS מסוג FIXED_RECORD

כדי ליצור FIXED_RECORD הרשאה ל-DNS, משתמשים בפקודה gcloud certificate-manager dns-authorizations create הבאה:

gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
    --domain="DOMAIN_NAME" \
    --type=[FIXED_RECORD]

מחליפים את מה שכתוב בשדות הבאים:

‫AUTHORIZATION_NAME: השם של אישור ה-DNS.
‫DOMAIN_NAME: השם של דומיין היעד שעבורו יוצרים את אישור ה-DNS הזה. שם הדומיין חייב להיות שם דומיין שמוגדר במלואו, כמו myorg.example.com.

אחרי שיוצרים את הרשאת ה-DNS‏ FIXED_RECORD, מאמתים אותה באמצעות הפקודה gcloud certificate-manager dns-authorizations describe:

gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME

הפלט אמור להיראות כך: בפלט, מוצאים את הקטע dnsResourceRecord. מאתרים את רשומת CNAME ומוסיפים את הפרטים שלה (data,‏ name ו-type) אל הגדרת ה-DNS.

createTime: '2022-01-14T13:35:00.258409106Z'
dnsResourceRecord:
  data: 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog.
  name: _acme-challenge.myorg.example.com.
  type: CNAME
domain: myorg.example.com
name: projects/myProject/locations/global/dnsAuthorizations/myAuthorization
updateTime: '2022-01-14T13:35:01.571086137Z'

הרשאת DNS מסוג PER_PROJECT_RECORD

כדי ליצור PER_PROJECT_RECORD הרשאה ל-DNS, משתמשים בפקודה gcloud certificate-manager dns-authorizations create הבאה:

gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
    --domain="DOMAIN_NAME" \
    --type=PER_PROJECT_RECORD

מחליפים את מה שכתוב בשדות הבאים:

‫AUTHORIZATION_NAME: השם של אישור ה-DNS.
‫DOMAIN_NAME: השם של דומיין היעד שעבורו יוצרים את אישור ה-DNS הזה. שם הדומיין חייב להיות שם דומיין שמוגדר במלואו, כמו myorg.example.com.

אחרי שיוצרים את הרשאת ה-DNS‏ PER_PROJECT_RECORD, מאמתים אותה באמצעות הפקודה gcloud certificate-manager dns-authorizations describe:

gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME

createTime: '2022-01-14T13:35:00.258409106Z'
dnsResourceRecord:
  data: 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog.
  name: _acme-challenge_ujmmovf2vn55tgye.myorg.example.com
  type: CNAME
domain: myorg.example.com
name: projects/myProject/locations/global/dnsAuthorizations/myAuthorization
updateTime: '2022-01-14T13:35:01.571086137Z'

Terraform

כדי ליצור הרשאה ל-DNS, אפשר להשתמש במשאב google_certificate_manager_dns_authorization.

resource "google_certificate_manager_dns_authorization" "default" {
  name        = "${local.name}-dnsauth-${random_id.tf_prefix.hex}"
  description = "The default dns auth"
  domain      = local.domain
  labels = {
    "terraform" : true
  }
}

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.

API

כדי ליצור אישור DNS, שולחים בקשת POST אל method‏ dnsAuthorizations.create:

POST /v1/projects/PROJECT_ID/locations/global/dnsAuthorizations?dns_authorization_id=AUTHORIZATION_NAME
{
  "domain": "DOMAIN_NAME",
  "type": "PER_PROJECT_RECORD" //optional
}

מחליפים את מה שכתוב בשדות הבאים:

‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
‫AUTHORIZATION_NAME: השם של אישור ה-DNS.
‫DOMAIN_NAME: השם של דומיין היעד שעבורו יוצרים את אישור ה-DNS הזה. שם הדומיין חייב להיות שם דומיין שמוגדר במלואו, כמו myorg.example.com.

יצירת אישור בניהול Google עם הפניה להרשאת ה-DNS

כדי ליצור אישור בניהול Google שמפנה להרשאת ה-DNS שיצרתם בשלבים הקודמים:

המסוף

נכנסים לדף Certificate Manager במסוף Google Cloud .

כניסה אל Certificate Manager
בכרטיסייה אישורים, לוחצים על הוספת אישור.
בשדה שם האישור, מזינים שם ייחודי לאישור.
אופציונלי: בשדה Description, מזינים תיאור של האישור. התיאור מאפשר לכם לזהות את האישור.
בקטע מיקום, בוחרים באפשרות גלובלי.
בקטע היקף, בוחרים באפשרות ברירת מחדל.
בשדה Certificate type (סוג האישור), בוחרים באפשרות Create Google-managed certificate (יצירת אישור בניהול Google).
בקטע Certificate Authority type, בוחרים באפשרות Public.
בשדה שמות דומיינים, מציינים רשימה מופרדת בפסיקים של שמות דומיינים של האישור. כל שם דומיין צריך להיות שם דומיין שמוגדר במלואו, כמו myorg.example.com. שם הדומיין יכול להיות גם שם דומיין עם תו כללי לחיפוש, כמו *.example.com.
בקטע סוג הרשאה, בוחרים באפשרות הרשאת DNS.

בדף מופיעים אישורי ה-DNS של שמות הדומיינים. אם לשם דומיין אין הרשאה משויכת ב-DNS, צריך לפעול לפי השלבים הבאים כדי ליצור אחת כזו:
1. לוחצים על יצירת הרשאת DNS חסרה.
2. בשדה DNS authorization name (שם הרשאת ה-DNS), מציינים את השם של הרשאת ה-DNS. סוג ההרשאה של DNS שמוגדר כברירת מחדל הוא FIXED_RECORD. כדי לנהל אישורים באופן עצמאי בכמה פרויקטים, מסמנים את התיבה הרשאה לכל פרויקט.
3. לוחצים על יצירת הרשאת DNS.
בשדה Labels (תוויות), מציינים את התוויות שרוצים לשייך לאישור. כדי להוסיף תווית, לוחצים על Add label ומציינים מפתח וערך לתווית.
לוחצים על יצירה.

האישור החדש מופיע ברשימת האישורים.

gcloud

כדי ליצור אישור גלובלי בניהול Google עם אימות DNS, מריצים את הפקודה certificate-manager certificates create עם הדגל dns-authorizations:

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="DOMAIN_NAME,*.DOMAIN_NAME" \
    --dns-authorizations="AUTHORIZATION_NAMES"

מחליפים את מה שכתוב בשדות הבאים:

‫CERTIFICATE_NAME: שם האישור.
‫DOMAIN_NAME: השם של דומיין היעד. שם הדומיין חייב להיות שם דומיין שמוגדר במלואו, כמו myorg.example.com, או דומיין עם תו כללי, כמו *.myorg.example.com. הקידומת של כוכבית ונקודה (*.) מציינת תעודת wildcard.
‫AUTHORIZATION_NAMES: רשימה מופרדת בפסיקים של שמות הרשאות DNS שיצרתם עבור האישור.

Terraform

משתמשים במשאב google_certificate_manager_certificate.

resource "google_certificate_manager_certificate" "root_cert" {
  name        = "${local.name}-rootcert-${random_id.tf_prefix.hex}"
  description = "The wildcard cert"
  managed {
    domains = [local.domain, "*.${local.domain}"]
    dns_authorizations = [
      google_certificate_manager_dns_authorization.default.id
    ]
  }
  labels = {
    "terraform" : true
  }
}

API

כדי ליצור את האישור, שולחים בקשת POST ל-method‏ certificates.create באופן הבא:

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME
{
 "managed": {
  "domains": ["DOMAIN_NAME"],
  "dnsAuthorizations": [
   "projects/PROJECT_ID/locations/global/dnsAuthorizations/AUTHORIZATION_NAME",
  ],
 }
}

מחליפים את מה שכתוב בשדות הבאים:

‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
‫CERTIFICATE_NAME: שם האישור.
‫DOMAIN_NAME: השם של דומיין היעד. שם הדומיין חייב להיות שם דומיין שמוגדר במלואו, כמו myorg.example.com, או דומיין עם תו כללי, כמו *.myorg.example.com. הקידומת של כוכבית ונקודה (*.) מציינת תעודת wildcard.
‫AUTHORIZATION_NAMES: רשימה מופרדת בפסיקים של שמות הרשאות DNS.

הוספת רשומת ה-CNAME להגדרות ה-DNS

אם אתם משתמשים בפתרון DNS של צד שלישי כדי לנהל את ה-DNS, תוכלו לעיין במסמכי התיעוד שלו כדי להוסיף את רשומת ה-CNAME להגדרות ה-DNS. אם אתם משתמשים ב-Google Cloud כדי לנהל את ה-DNS, אתם צריכים להשלים את השלבים שבקטע הזה.

המסוף

כדי ליצור קבוצת רשומות:

נכנסים לדף DNS zones במסוף Google Cloud .

מעבר לאזורים של Cloud DNS
לוחצים על השם של תחום ה-DNS שרוצים להוסיף אליו את הרשומה.
בדף פרטי האזור, לוחצים על הוספת רשומה רגילה.
בדף Create record set (יצירת קבוצת רשומות), בשדה DNS name (שם DNS), מזינים את תת-הדומיין של תחום ה-DNS.

כשמזינים את שם תת-הדומיין, צריך לוודא ששם תת-הדומיין, כולל הטקסט האפור שמוצג בשדה שם ה-DNS, זהה לערך המלא של השדה dnsResourceRecord.name שמוצג בפלט של הפקודה gcloud certificate-manager dns-authorizations describe.

דוגמאות:
- אם ערך השדה dnsResourceRecord.name הוא _acme-challenge.myorg.example.com., והטקסט האפור בשדה שם ה-DNS הוא .example.com., מזינים _acme-challenge.myorg.
- אם ערך השדה dnsResourceRecord.name הוא _acme-challenge.myorg.example.com. , והטקסט האפור בשדה שם ה-DNS הוא .myorg.example.com., מזינים _acme-challenge.
- אם הערך בשדה dnsResourceRecord.name הוא _acme-challenge_ujmmovf2vn55tgye.myorg.example.com., והטקסט האפור בשדה שם ה-DNS הוא .myorg.example.com., מזינים _acme-challenge_ujmmovf2vn55tgye.
  
  הערה: הוספת התו @ בשדה הזה גורמת לכשל ברשומה.
בשדה סוג רשומת משאב, בוחרים באפשרות CNAME.
בשדה TTL, מזינים ערך מספרי חיובי לאורך החיים של רשומת המשאב, כלומר משך הזמן שבו אפשר לשמור אותה במטמון.
ברשימה TTL unit, בוחרים את יחידת הזמן – לדוגמה, 30 minutes.
בשדה Canonical name (שם קנוני), מזינים את הערך המלא של השדה dnsResourceRecord.data כפי שהוא מוצג בפלט של הפקודה gcloud certificate-manager dns-authorizations describe.
כדי להזין פרטים נוספים, לוחצים על הוספת פריט.
לוחצים על יצירה.

gcloud

כשיוצרים הרשאה ל-DNS, הפקודה ב-CLI של gcloud מחזירה את רשומת ה-CNAME המתאימה. כדי להוסיף את רשומת ה-CNAME להגדרות ה-DNS באזור ה-DNS של דומיין היעד, פועלים לפי השלבים הבאים:

מתחילים את הטרנזקציה של רשומת ה-DNS:
```
gcloud dns record-sets transaction start --zone="DNS_ZONE_NAME"
```
מחליפים את DNS_ZONE_NAME בשם של אזור ה-DNS של היעד.
מוסיפים את רשומת ה-CNAME לאזור ה-DNS של היעד:
```
gcloud dns record-sets transaction add CNAME_RECORD \
    --name="VALIDATION_SUBDOMAIN_NAME.DOMAIN_NAME." \
    --ttl="30" \
    --type="CNAME" \
    --zone="DNS_ZONE_NAME"
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫CNAME_RECORD: ערך הנתונים המלא של רשומת ה-CNAME שמוחזרת על ידי הפקודה של Google Cloud CLI שיצרה את הרשאת ה-DNS התואמת.
- VALIDATION_SUBDOMAIN_NAME: קידומת תת-הדומיין של תחום ה-DNS, למשל _acme-challenge. אפשר להעתיק את השם מיומן הפקודות של gcloud certificate-manager dns-authorizations describe, כמו שמתואר במאמר יצירת הרשאת DNS.
- ‫DOMAIN_NAME: השם של דומיין היעד.שם הדומיין חייב להיות שם דומיין שמוגדר במלואו, כמו myorg.example.com. צריך גם לכלול את הנקודה בסוף אחרי שם דומיין היעד.
- ‫DNS_ZONE_NAME: השם של תחום ה-DNS של היעד.
למידע נוסף על ההבדל בין הרשאות DNS של FIXED_RECORD לבין הרשאות DNS של PER_PROJECT_RECORD, אפשר לעיין בדוגמאות הבאות. ההבדל היחיד בין שתי הדוגמאות הוא הערך של הדגל --name.

הרשאת DNS מסוג FIXED_RECORD
```
gcloud dns record-sets transaction add 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog. \
    --name="_acme-challenge.myorg.example.com." \
    --ttl="30" \
    --type="CNAME" \
    --zone="myorg-example-com"
```
הרשאת DNS מסוג PER_PROJECT_RECORD
```
gcloud dns record-sets transaction add 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog. \
    --name="_acme-challenge_ujmmovf2vn55tgye.myorg.example.com." \
    --ttl="30" \
    --type="CNAME" \
    --zone="myorg-example-com"
```
מריצים את טרנזקציית רשומת ה-DNS כדי לשמור את השינויים:
```
gcloud dns record-sets transaction execute --zone="DNS_ZONE_NAME"
```
מחליפים את DNS_ZONE_NAME בשם של אזור ה-DNS של היעד.

Terraform

כדי להוסיף את רשומת ה-CNAME להגדרת ה-DNS, אפשר להשתמש במשאב google_dns_record_set.

resource "google_dns_record_set" "cname" {
  name         = google_certificate_manager_dns_authorization.default.dns_resource_record[0].name
  managed_zone = google_dns_managed_zone.default.name
  type         = google_certificate_manager_dns_authorization.default.dns_resource_record[0].type
  ttl          = 300
  rrdatas      = [google_certificate_manager_dns_authorization.default.dns_resource_record[0].data]
}

אימות הסטטוס של האישור

לפני שמקצים אישור למאזן עומסים, צריך לוודא שהוא פעיל. יכול להיות שיחלפו כמה דקות עד שמצב האישור ישתנה לACTIVE.

המסוף

נכנסים לדף Certificate Manager במסוף Google Cloud .

כניסה אל Certificate Manager
בכרטיסייה Certificates (אישורים), בודקים את העמודה Status (סטטוס) של האישור.

gcloud

כדי לבדוק את סטטוס האישור, מריצים את הפקודה הבאה:

gcloud certificate-manager certificates describe CERTIFICATE_NAME

מחליפים את CERTIFICATE_NAME בשם של אישור מנוהל על ידי Google.

הפלט אמור להיראות כך:

createTime: '2021-10-20T12:19:53.370778666Z'
expireTime: '2022-05-07T05:03:49Z'
managed:
  authorizationAttemptInfo:
  - domain: myorg.example.com
    state: AUTHORIZED
  dnsAuthorizations:
    - projects/myProject/locations/global/dnsAuthorizations/myCert
  domains:
  - myorg.example.com
  state: ACTIVE
name: projects/myProject/locations/global/certificates/myCert
pemCertificate: |
  -----BEGIN CERTIFICATE-----
  [...]
  -----END CERTIFICATE-----
sanDnsnames:
  -   myorg.example.com
updateTime: '2021-10-20T12:19:55.083385630Z'

אם מצב האישור לא משתנה ל-ACTIVE אחרי כמה שעות, צריך לבדוק שהוספתם את רשומת CNAME להגדרות ה-DNS בצורה נכונה.

שלבים נוספים לפתרון בעיות מופיעים במאמר פתרון בעיות ב-Certificate Manager.

פריסת האישור במאזן עומסים

כדי לפרוס אישור גלובלי שמנוהל על ידי Google, צריך לפרוס את האישור באמצעות מפת אישורים.

יצירת מפת אישורים

יוצרים מפת אישורים שמפנה לרשומת מיפוי לאישורים שמשויכת לאישור שלכם:

gcloud

כדי ליצור מיפוי אישורים, משתמשים בפקודה gcloud certificate-manager maps create:

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

מחליפים את CERTIFICATE_MAP_NAME בשם של מיפוי האישורים של היעד.

Terraform

כדי ליצור מיפוי אישורים, אפשר להשתמש במשאב google_certificate_manager_certificate_map.

resource "google_certificate_manager_certificate_map" "certificate_map" {
  name        = "${local.name}-certmap-${random_id.tf_prefix.hex}"
  description = "${local.domain} certificate map"
  labels = {
    "terraform" : true
  }
}

יצירת רשומת מיפוי לאישורים

יוצרים רשומת מיפוי לאישורים ומשייכים אותה לאישור ולמפת האישורים:

gcloud

כדי ליצור רשומה במפת האישורים, משתמשים בפקודה gcloud certificate-manager maps entries create:

gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME" \
    --certificates="CERTIFICATE_NAME" \
    --hostname="HOSTNAME"

מחליפים את מה שכתוב בשדות הבאים:

‫CERTIFICATE_MAP_ENTRY_NAME: השם של רשומת המיפוי לאישורים.
‫CERTIFICATE_MAP_NAME: השם של מיפוי האישורים שאליו משויכת רשומת מיפוי האישורים.
‫CERTIFICATE_NAME: השם של האישור שרוצים לשייך לרשומה במפת האישורים.
‫HOSTNAME: שם המארח שרוצים לשייך לרשומה במפת האישורים.

אם רוצים ליצור אישור שמכסה גם דומיין עם תו כללי וגם דומיין בסיסי, צריך לציין את שם המארח עם דומיין בסיסי ותו כללי, כמו example.com ו-*.example.com. בנוסף, צריך לציין שני רשומות של מיפוי אישורים – אחת ל-example.com והשנייה ל-*.example.com.

Terraform

כדי ליצור רשומה במפת האישורים עם דומיין בסיסי, משתמשים במשאב google_certificate_manager_certificate_map_entry.

resource "google_certificate_manager_certificate_map_entry" "first_entry" {
  name        = "${local.name}-first-entry-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = local.domain
}

כדי ליצור רשומה במיפוי האישורים עם דומיין עם תו כללי, משתמשים בgoogle_certificate_manager_certificate_map_entry resource.

resource "google_certificate_manager_certificate_map_entry" "second_entry" {
  name        = "${local.name}-second-entity-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = "*.${local.domain}"
}

אימות שרשומת מיפוי האישורים פעילה

לפני שמצרפים את מפת האישורים המתאימה לשרת proxy לחלוקת העומס, צריך לוודא שרשומת מיפוי לאישורים פעילה.

כדי לאמת את רשומת מיפוי האישורים, משתמשים בפקודה gcloud certificate-manager maps entries describe:

gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"

מחליפים את מה שכתוב בשדות הבאים:

‫CERTIFICATE_MAP_ENTRY_NAME: השם של רשומת המיפוי לאישורים.
‫CERTIFICATE_NAME: השם של האישור שרוצים לשייך לרשומה במפת האישורים.

הפלט אמור להיראות כך:

certificates:
createTime: '2021-09-06T10:01:56.229472109Z'
hostname: example.com
name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/myCertMapEntry
state: ACTIVE
updateTime: '2021-09-06T10:01:58.277031787Z'

צירוף מפת האישורים לשרת proxy לחלוקת העומס

אפשר לצרף את מפת האישורים לפרוקסי יעד חדש או לפרוקסי יעד קיים.

gcloud

כדי לצרף את מפת האישורים לשרת proxy לחלוקת העומס חדש, משתמשים בפקודה gcloud compute target-https-proxies create:

gcloud compute target-https-proxies create PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --url-map="URL_MAP" \
    --global

מחליפים את מה שכתוב בשדות הבאים:

‫PROXY_NAME: השם של שרת ה-proxy ליעד.
‫CERTIFICATE_MAP_NAME: שם מפת האישורים שמפנה לרשומת המיפוי לאישורים ולאישור המשויך.
‫URL_MAP: השם של מפת URL

כדי לצרף את מיפוי האישורים לשרת proxy קיים של HTTPS, משתמשים בפקודה gcloud compute target-https-proxies update. אם אינכם יודעים את השם של שרת ה-proxy הקיים לחלוקת העומס, עברו לדף Target proxies ורשמו את השם של שרת ה-proxy לחלוקת העומס.

gcloud compute target-https-proxies update PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --global

אחרי שיוצרים או מעדכנים את שרת proxy לחלוקת העומס, מריצים את הפקודה הבאה כדי לוודא שהוא תקין:

gcloud compute target-https-proxies list

Terraform

כדי לצרף את מפת האישורים לשרת proxy לחלוקת העומס, אפשר להשתמש במשאב google_compute_target_https_proxy.

כשמגדירים שרת proxy לחלוקת העומס, אם מצרפים אישורי TLS (SSL) ישירות וגם דרך מפת אישורים, שרת ה-proxy משתמש באישורים שמקושרים למפת האישורים ומתעלם מאישורי ה-TLS (SSL) שצורפו ישירות.

הסרת המשאבים

כדי להימנע מחיובים בחשבון Google Cloud על המשאבים שבהם השתמשתם במדריך הזה, מוחקים אותם.

מחיקת מאזן העומסים והמשאבים שלו.

איך מנקים את ההגדרות של איזון עומסים
מוחקים את מיפוי האישורים מהפרוקסי או מנתקים אותו ממנו.

כדי למחוק את מיפוי האישורים, מריצים את הפקודה הבאה:
```
gcloud compute target-https-proxies delete PROXY_NAME
```
אם רוצים להשאיר את שרת ה-proxy של HTTPS, צריך לנתק את מיפוי האישורים משרת ה-proxy.

שימו לב: לפני שמנתקים את מיפוי האישורים, חשוב לקרוא את השיקולים הבאים.
- אם יש אישורי TLS ‏ (SSL) שמצורפים ישירות ל-proxy, ניתוק מפת האישורים גורם ל-proxy להמשיך להשתמש באישורי ה-TLS ‏ (SSL) שמצורפים ישירות.
- אם אין אישורי TLS ‏ (SSL) שמצורפים ישירות ל-proxy, אי אפשר לנתק את מיפוי האישורים מה-proxy. קודם צריך לצרף לפחות אישור TLS ‏ (SSL) אחד ישירות לשרת ה-proxy, ורק אחר כך אפשר לנתק את מיפוי האישורים.
כדי לנתק את מיפוי האישורים, מריצים את הפקודה הבאה:
```
gcloud compute target-https-proxies update PROXY_NAME \
    --clear-certificate-map
```
מחליפים את PROXY_NAME בשם של שרת proxy היעד.
מוחקים את הרשומה של מיפוי האישורים ממפת האישורים:
```
gcloud certificate-manager maps entries delete CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫CERTIFICATE_MAP_ENTRY_NAME: השם של רשומת המיפוי לאישורים.
- CERTIFICATE_MAP_NAME: שם מיפוי האישורים.
מחיקת מיפוי האישורים:
```
gcloud certificate-manager maps delete CERTIFICATE_MAP_NAME
```
מחליפים את CERTIFICATE_MAP_NAME בשם של מיפוי האישורים.
מחיקת האישור שמנוהל על ידי Google:
המסוף
1. נכנסים לדף Certificate Manager במסוף Google Cloud .
  
  כניסה אל Certificate Manager
2. בכרטיסייה אישורים, מסמנים את תיבת הסימון של האישור.
3. לוחצים על Delete.
4. בתיבת הדו-שיח שמופיעה, לוחצים על מחיקה כדי לאשר.
gcloud
gcloud certificate-manager certificates delete CERTIFICATE_NAME
מחליפים את CERTIFICATE_NAME בשם של אישור היעד.
מחיקת אישור ה-DNS:
```
gcloud certificate-manager dns-authorizations delete AUTHORIZATION_NAME
```
מחליפים את AUTHORIZATION_NAME בשם של אישור ה-DNS.

פריסת אישור גלובלי שמנוהל על ידי Google עם הרשאת DNS קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

מטרות

לפני שמתחילים

התפקידים הנדרשים

שמות דומיין

יצירת מאזן העומסים

יצירת אישור שמנוהל על ידי Google עם אימות DNS

יצירת הרשאה ל-DNS

המסוף

gcloud

Terraform

API

יצירת אישור בניהול Google עם הפניה להרשאת ה-DNS

המסוף

gcloud

Terraform

API

הוספת רשומת ה-CNAME להגדרות ה-DNS

המסוף

gcloud

Terraform

אימות הסטטוס של האישור

המסוף

gcloud

פריסת האישור במאזן עומסים

יצירת מפת אישורים

gcloud

Terraform

יצירת רשומת מיפוי לאישורים

gcloud

Terraform

אימות שרשומת מיפוי האישורים פעילה

צירוף מפת האישורים לשרת proxy לחלוקת העומס

gcloud

Terraform

הסרת המשאבים

המסוף

gcloud

המאמרים הבאים

פריסת אישור גלובלי שמנוהל על ידי Google עם הרשאת DNS