Regionales selbstverwaltetes Zertifikat bereitstellen

Um die Kommunikation für Ihre regionalen externen Application Load Balancer oder regionalen internen Application Load Balancer zu schützen, können Sie mit Zertifikatmanager ein selbstverwaltetes Zertifikat bereitstellen. So können Sie Ihre eigenen vertrauenswürdigen Zertifikate für Ihre Anwendungen verwenden. In dieser Anleitung erfahren Sie, wie Sie selbstverwaltete Zertifikate speziell für regionale Load Balancer bereitstellen.

Bevor Sie beginnen, müssen Sie einen regionalen externen Application Load Balancer oder einen regionalen internen Application Load Balancer erstellt haben.

Informationen zu globalen externen oder regionenübergreifenden Bereitstellungen finden Sie unter:

• Globales externes selbstverwaltetes Zertifikat bereitstellen
• Regionsübergreifendes selbstverwaltetes Zertifikat bereitstellen

Ziele

In diesem Anleitung werden die folgenden Aufgaben erläutert:

• Laden Sie ein selbstverwaltetes Zertifikat in den Zertifikatmanager hoch.

• Stellen Sie das Zertifikat in einem regionalen externen Application Load Balancer oder in einem regionalen internen Application Load Balancer mithilfe eines HTTPS-Zielproxys bereit.

Hinweis

Melden Sie sich in Ihrem Google Cloud -Konto an. Wenn Sie mit Google Cloudnoch nicht vertraut sind, erstellen Sie einfach ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

Erforderliche Rollen

Sie benötigen die folgenden Rollen, um die Aufgaben in dieser Anleitung auszuführen:

• Zertifikatmanager-Inhaber (roles/certificatemanager.owner)

  Erforderlich zum Erstellen und Verwalten von Zertifikatmanager-Ressourcen.

• Administrator für Compute-Load-Balancer (roles/compute.loadBalancerAdmin) oder Compute-Netzwerkadministrator (roles/compute.networkAdmin)

  Erforderlich zum Erstellen und Verwalten von HTTPS-Ziel-Proxys.

Hier finden Sie weitere Informationen:

• Rollen und Berechtigungen für Zertifikatmanager.
• Compute Engine-IAM-Rollen und -Berechtigungen für Compute Engine.

Hinweis :Wenn Ihnen die Berechtigungen oder Rollen nicht zugewiesen sind, fordern Sie die fehlenden Rollen vom IAM-Administrator (Identity and Access Management) an, der die Rolle „Project IAM Admin“ (roles/resourcemanager.projectIamAdmin) hat.

Load Balancer erstellen

In diesem Tutorial wird davon ausgegangen, dass Sie die Backends, Systemdiagnosen, Backend-Dienste und URL-Zuordnungen des Load-Balancers bereits erstellt und konfiguriert haben. Notieren Sie sich den Namen der URL-Zuordnung, da Sie ihn später in dieser Anleitung benötigen.

• Informationen zum Erstellen eines regionalen externen Application Load Balancers finden Sie unter Regionalen externen Application Load Balancer mit VM-Instanzgruppen-Back-Ends einrichten.

• Informationen zum Erstellen eines regionalen internen Application Load Balancers finden Sie unter Regionalen internen Application Load Balancer mit VM-Instanzgruppen-Back-Ends einrichten.

Privaten Schlüssel und Zertifikat erstellen

So erstellen Sie einen privaten Schlüssel und ein Zertifikat:

1. Verwenden Sie eine vertrauenswürdige Drittanbieter-Zertifizierungsstelle, um das Zertifikat zusammen mit dem zugehörigen Schlüssel auszustellen.

2. Prüfen Sie, ob das Zertifikat richtig verkettet und als Root-Zertifikat vertrauenswürdig ist.

3. Bereiten Sie die folgenden PEM-codierten Dateien vor:

   • Die Zertifikatsdatei (CRT)
   • Die entsprechende Datei mit dem privaten Schlüssel (KEY)

Informationen zum Anfordern und Validieren eines Zertifikats finden Sie unter Privaten Schlüssel und Zertifikat erstellen.

Selbstverwaltetes Zertifikat in den Zertifikatmanager hochladen

So laden Sie das Zertifikat in den Zertifikatmanager hoch:

Console

1. Rufen Sie in der Google Cloud Console die Seite Zertifikatmanager auf.

   Zum Zertifikatmanager

2. Klicken Sie auf dem Tab Certificates (Zertifikate) auf Add Certificate (Zertifikat hinzufügen).

3. Geben Sie im Feld Zertifikatname einen eindeutigen Namen für das Zertifikat ein.

4. Optional: Geben Sie im Feld Beschreibung eine Beschreibung für das Zertifikat ein. Anhand der Beschreibung können Sie das Zertifikat identifizieren.

5. Wählen Sie als Standort die Option Regional aus.

6. Wählen Sie in der Liste Region Ihre Region aus.

7. Wählen Sie für Zertifikatstyp die Option Selbstverwaltetes Zertifikat erstellen aus.

8. Gehen Sie für das Feld Zertifikat so vor:

   • Klicken Sie auf den Button Hochladen und wählen Sie Ihre PEM-formatierte Zertifikatsdatei aus.
   • Kopieren Sie den Inhalt eines PEM-formatierten Zertifikats und fügen Sie ihn ein. Der Inhalt muss mit -----BEGIN CERTIFICATE----- beginnen und mit -----END CERTIFICATE----- enden.

9. Führen Sie für das Feld Zertifikat für privaten Schlüssel einen der folgenden Schritte aus:

   • Klicken Sie auf Hochladen und wählen Sie Ihren privaten Schlüssel aus. Ihr privater Schlüssel muss im PEM-Format vorliegen und darf nicht durch eine Passphrase geschützt sein.
   • Kopieren Sie den Inhalt des privaten Schlüssels im PEM-Format und fügen Sie ihn ein. Die privaten Schlüssel müssen mit -----BEGIN PRIVATE KEY----- beginnen und mit -----END PRIVATE KEY----- enden.

10. Geben Sie im Feld Labels die Labels an, die dem Zertifikat zugeordnet werden sollen. Klicken Sie auf Label hinzufügen, um ein Label hinzuzufügen, und geben Sie einen Schlüssel und einen Wert für das Label an.

11. Klicken Sie auf Erstellen.

    Das neue Zertifikat wird in der Liste der Zertifikate angezeigt.

gcloud

Führen Sie den certificate-manager certificates create-Befehl aus, um ein regionales selbstverwaltetes Zertifikat zu erstellen:

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --certificate-file="CERTIFICATE_FILE" \
    --private-key-file="PRIVATE_KEY_FILE" \
    --location="LOCATION"

Ersetzen Sie Folgendes:

• CERTIFICATE_NAME: Der Name des Zertifikats.
• CERTIFICATE_FILE: Der Pfad und der Dateiname der CRT-Zertifikatsdatei.
• PRIVATE_KEY_FILE: Der Pfad und der Dateiname der privaten KEY-Schlüsseldatei.
• LOCATION: Der Ziel Google Cloud standort.

Terraform

Wenn Sie ein selbstverwaltetes Zertifikat hochladen möchten, können Sie eine google_certificate_manager_certificate-Ressource mit dem self_managed-Block verwenden.

API

Laden Sie das Zertifikat hoch, indem Sie eine POST-Anfrage an die Methode certificates.create stellen:

POST /v1/projects/PROJECT_ID/locations/LOCATION/certificates?certificate_id=CERTIFICATE_NAME
{
  self_managed: {
    pem_certificate: "PEM_CERTIFICATE",
    pem_private_key: "PEM_KEY",
  }
}

Ersetzen Sie Folgendes:

• PROJECT_ID: ID Ihres Google Cloud -Projekts.
• CERTIFICATE_NAME: Der Name des Zertifikats.
• PEM_CERTIFICATE: Das Zertifikat im PEM-Format.
• PEM_KEY: der Schlüssel-PEM.
• LOCATION: Der Ziel Google Cloud standort.

Selbstverwaltetes Zertifikat für einen Load Balancer bereitstellen

Wenn Sie das selbstverwaltete Zertifikat bereitstellen möchten, hängen Sie es direkt an den Ziel-Proxy an.

Zertifikat direkt an den Ziel-Proxy anhängen

Sie können das Zertifikat an einen neuen oder vorhandenen Ziel-Proxy anhängen.

Verwenden Sie den Befehl gcloud compute target-https-proxies create, um das Zertifikat an einen neuen Ziel-Proxy anzuhängen:

gcloud compute target-https-proxies create PROXY_NAME \
    --certificate-manager-certificates=CERTIFICATE_NAME \
    --url-map=URL_MAP \
    --region=LOCATION

Ersetzen Sie Folgendes:

• PROXY_NAME: Name des Ziel-Proxys.
• CERTIFICATE_NAME: Der Name des Zertifikats.
• URL_MAP ist der Name der URL-Zuordnung. Sie haben die URL-Zuordnung beim Erstellen des Load-Balancers erstellt.
• LOCATION: Der Google Cloud Zielort, an dem Sie den HTTPS-Ziel-Proxy erstellen möchten.

Verwenden Sie den Befehl gcloud compute target-https-proxies update, um ein Zertifikat an einen vorhandenen Ziel-HTTPS-Proxy anzuhängen. Wenn Sie den Namen des vorhandenen Ziel-Proxys nicht kennen, rufen Sie die Seite Ziel-Proxys auf und notieren Sie sich den Namen des Ziel-Proxys.

gcloud compute target-https-proxies update PROXY_NAME \
    --region=LOCATION \
    --certificate-manager-certificates=CERTIFICATE_NAME

Führen Sie nach dem Erstellen oder Aktualisieren des Ziel-Proxys den folgenden Befehl aus, um ihn zu prüfen:

gcloud compute target-https-proxies list

Bereinigen

Wenn Sie vermeiden möchten, dass Ihrem Google Cloud Konto die in dieser Anleitung verwendeten Ressourcen in Rechnung gestellt werden, löschen Sie das hochgeladene Zertifikat:

gcloud certificate-manager certificates delete CERTIFICATE_NAME

Ersetzen Sie CERTIFICATE_NAME durch den Namen des Zielzertifikats.

Wenn Sie den Load-Balancer nicht verwenden möchten, löschen Sie ihn und seine Ressourcen. Load-Balancing-Einrichtung bereinigen

Nächste Schritte

• Zertifikate verwalten