פריסת אישור בניהול עצמי בכמה אזורים

אתם יכולים להשתמש ב-Certificate Manager כדי לפרוס אישור גלובלי בניהול עצמי למאזן עומסים פנימי של אפליקציות (ALB) בכמה אזורים. כך תוכלו לאבטח את האפליקציות הפנימיות שלכם באמצעות ניהול אישורי SSL/TLS. במדריך הזה מוסבר איך להגדיר את הפריסה הזו.

לפני שמתחילים, מוודאים שיצרתם מאזן עומסים פנימי של אפליקציות (ALB) בין אזורים.

אם רוצים לפרוס אישורים בניהול עצמי לסוגים אחרים של מאזני עומסים, אפשר לעיין במסמכים הבאים:

• פריסת אישור גלובלי בניהול עצמי
• פריסת אישור אזורי בניהול עצמי

מטרות

במדריך הזה מוסבר איך לבצע את הפעולות הבאות:

• העלאת אישור בניהול עצמי אל Certificate Manager.

• פורסים את האישור למאזן עומסים נתמך באמצעות proxy של HTTPS ליעד.

לפני שמתחילים

נכנסים לחשבון Google Cloud . אנחנו ממליצים למשתמשים חדשים ב- Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

התפקידים הנדרשים

כדי לבצע את המשימות במדריך הזה, צריך לוודא שיש לכם את התפקידים הבאים:

• בעלים של Certificate Manager‏ (roles/certificatemanager.owner)

  נדרשת כדי ליצור ולנהל משאבים של Certificate Manager.

• אדמין של איזון עומסים ב-Compute‏ (roles/compute.loadBalancerAdmin) או אדמין של רשת ב-Compute‏ (roles/compute.networkAdmin)

  נדרש כדי ליצור ולנהל שרת proxy לחלוקת העומס של HTTPS.

למידע נוסף, קראו את המאמרים הבאים:

• תפקידים והרשאות ב-Certificate Manager.
• תפקידים והרשאות ב-Compute Engine IAM ל-Compute Engine.

הערה: אם לא הוקצו לכם ההרשאות או התפקידים, אתם צריכים לבקש את התפקידים החסרים מהאדמין של ניהול הזהויות והרשאות הגישה (IAM) שיש לו את התפקיד 'אדמין IAM בפרויקט' (roles/resourcemanager.projectIamAdmin).

יצירת מאזן העומסים

במדריך הזה אנחנו מניחים שכבר יצרתם והגדרתם את הקצוות העורפיים של מאזן העומסים, את בדיקות התקינות, את השירותים לקצה העורפי ואת מיפוי כתובות ה-URL. חשוב לרשום את השם של מפת כתובות ה-URL, כי תצטרכו אותו בהמשך המדריך הזה.

אם לא יצרתם מאזן עומסים פנימי של אפליקציות (ALB) בכמה אזורים, תוכלו לקרוא את המאמר בנושא הגדרת מאזן עומסים פנימי של אפליקציות (ALB) בכמה אזורים עם קצה עורפי של קבוצת מכונות וירטואליות.

יצירת מפתח פרטי ואישור

כדי ליצור מפתח פרטי ואישור:

1. משתמשים ברשות אישורים (CA) מהימנה מצד שלישי כדי להנפיק את האישור ואת המפתח המשויך שלו.

2. מוודאים שהאישור מקושר בצורה תקינה ושהוא מהימן.

3. מכינים את הקבצים הבאים בקידוד PEM:

   • קובץ האישור (CRT)
   • קובץ המפתח הפרטי (KEY) התואם

במאמר יצירת מפתח פרטי ואישור מוסבר איך לבקש אישור ולאמת אותו.

העלאת אישור בניהול עצמי אל Certificate Manager

כדי להעלות את האישור אל Certificate Manager:

המסוף

1. נכנסים לדף Certificate Manager במסוף Google Cloud .

   כניסה אל Certificate Manager

2. בכרטיסייה אישורים, לוחצים על הוספת אישור.

3. בשדה שם האישור, מזינים שם ייחודי לאישור.

4. אופציונלי: בשדה Description, מזינים תיאור של האישור. התיאור מאפשר לכם לזהות את האישור.

5. בקטע מיקום, בוחרים באפשרות גלובלי.

6. בקטע היקף, בוחרים באפשרות כל האזורים.

7. בשביל Certificate type, בוחרים באפשרות Create self-managed certificate.

8. בשדה Certificate, מבצעים אחת מהפעולות הבאות:

   • לוחצים על הלחצן העלאה ובוחרים את קובץ האישור בפורמט PEM.
   • מעתיקים ומדביקים את התוכן של אישור בפורמט PEM. התוכן חייב להתחיל ב------BEGIN CERTIFICATE----- ולהסתיים ב------END CERTIFICATE-----.

9. בשדה Private key certificate, מבצעים אחת מהפעולות הבאות:

   • לוחצים על הלחצן העלאה ובוחרים את המפתח הפרטי. המפתח הפרטי צריך להיות בפורמט PEM ולא מוגן באמצעות סיסמה.
   • מעתיקים ומדביקים את התוכן של מפתח פרטי בפורמט PEM. המפתחות הפרטיים צריכים להתחיל ב------BEGIN PRIVATE KEY----- ולהסתיים ב------END PRIVATE KEY-----.

10. בשדה Labels (תוויות), מציינים את התוויות לשיוך לאישור. כדי להוסיף תווית, לוחצים על Add label ומציינים מפתח וערך לתווית.

11. לוחצים על יצירה.

    האישור החדש מופיע ברשימת האישורים.

gcloud

כדי ליצור אישור בניהול עצמי שזמין בכמה אזורים, משתמשים בפקודה certificate-manager certificates create:

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --certificate-file="CERTIFICATE_FILE" \
    --private-key-file="PRIVATE_KEY_FILE" \
    --scope=all-regions

מחליפים את מה שכתוב בשדות הבאים:

• ‫CERTIFICATE_NAME: שם האישור.
• ‫CERTIFICATE_FILE: הנתיב ושם הקובץ של אישור ה-CRT.
• ‫PRIVATE_KEY_FILE: הנתיב ושם הקובץ של קובץ המפתח הפרטי של KEY.

Terraform

כדי להעלות אישור בניהול עצמי, אפשר להשתמש במשאב google_certificate_manager_certificate עם הבלוק self_managed.

API

כדי להעלות את האישור, צריך לשלוח בקשת POST ל-method‏ certificates.create באופן הבא:

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME
{
  self_managed: {
    pem_certificate: "PEM_CERTIFICATE",
    pem_private_key: "PEM_KEY",
    scope: "ALL_REGIONS"
  }
}

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
• ‫CERTIFICATE_NAME: שם האישור.
• ‫PEM_CERTIFICATE: קובץ ה-PEM של האישור.
• ‫PEM_KEY: מפתח ה-PEM.

פריסת האישור בניהול עצמי במאזן עומסים

כדי לפרוס את האישור הגלובלי בניהול עצמי, צריך לצרף אותו ישירות לשרת proxy לחלוקת העומס.

צירוף האישור ישירות לשרת ה-proxy של היעד

אפשר לצרף את האישור לשרת proxy חדש ליעד או לשרת proxy קיים ליעד.

כדי לצרף את האישור לשרת proxy לחלוקת העומס חדש, משתמשים בפקודה gcloud compute target-https-proxies create:

gcloud compute target-https-proxies create PROXY_NAME \
    --url-map=URL_MAP \
    --certificate-manager-certificates=CERTIFICATE_NAME \
    --global

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROXY_NAME: השם של שרת ה-proxy ליעד.
• ‫URL_MAP: השם של מפת URL. יצרתם את מפת ה-URL כשיצרתם את מאזן העומסים.
• ‫CERTIFICATE_NAME: שם האישור.

כדי לצרף את האישור לשרת proxy קיים של HTTPS, משתמשים בפקודה gcloud compute target-https-proxies update. אם אתם לא יודעים את השם של שרת proxy לחלוקת העומס הקיים, עוברים לדף Target proxies ורושמים את השם של שרת proxy לחלוקת העומס.

gcloud compute target-https-proxies update PROXY_NAME \
    --global \
    --certificate-manager-certificates=CERTIFICATE_NAME

אחרי שיוצרים או מעדכנים את שרת proxy לחלוקת העומס, מריצים את הפקודה הבאה כדי לאמת אותו:

gcloud compute target-https-proxies list

הסרת המשאבים

כדי להימנע מחיובים בחשבון Google Cloud על המשאבים שבהם השתמשתם במדריך הזה, מוחקים את האישור שהועלה:

gcloud certificate-manager certificates delete CERTIFICATE_NAME

מחליפים את CERTIFICATE_NAME בשם של אישור היעד.

אם לא מתכננים להשתמש במאזן העומסים, צריך למחוק אותו ואת המשאבים שלו. איך מנקים הגדרות של איזון עומסים

המאמרים הבאים

• ניהול אישורים