Diese Seite wurde von der Cloud Translation API übersetzt.

Globales selbstverwaltetes Zertifikat bereitstellen

In dieser Anleitung wird gezeigt, wie Sie mit Certificate Manager ein globales selbstverwaltetes Zertifikat bereitstellen.

Die folgenden Load-Balancer unterstützen globale selbstverwaltete Zertifikate:

Globaler externer Application Load Balancer
Klassischer Application Load Balancer
Globaler externer Proxy-Network Load Balancer
Klassischer Proxy-Network Load Balancer

Wenn Sie regionale oder regionenübergreifende Load Balancer bereitstellen möchten, lesen Sie die folgenden Informationen:

Selbstverwaltetes Zertifikat in den Zertifikatmanager hochladen

So laden Sie das Zertifikat in den Zertifikatmanager hoch:

Console

Rufen Sie in der Google Cloud Console die Seite Certificate Manager auf.

Zum Zertifikatmanager
Klicken Sie auf dem Tab Zertifikate auf Zertifikat hinzufügen.
Geben Sie im Feld Zertifikatname einen eindeutigen Namen für das Zertifikat ein.
Optional: Geben Sie im Feld Beschreibung eine Beschreibung für das Zertifikat ein. Anhand der Beschreibung können Sie das Zertifikat identifizieren.
Wählen Sie unter Standort die Option Global aus.
Wählen Sie für Bereich die Option Standard aus.
Wählen Sie für Zertifikatstyp die Option Selbstverwaltetes Zertifikat erstellen aus.
Im Feld Zertifikat haben Sie eine der folgenden Optionen:
- Klicken Sie auf die Schaltfläche Hochladen und wählen Sie Ihre PEM-formatierte Zertifikatsdatei aus.
- Kopieren Sie den Inhalt eines PEM-formatierten Zertifikats und fügen Sie ihn ein. Der Inhalt muss mit -----BEGIN CERTIFICATE----- beginnen und mit -----END CERTIFICATE----- enden.
Im Feld Zertifikat für privaten Schlüssel haben Sie eine der folgenden Optionen:
- Klicken Sie auf Hochladen und wählen Sie Ihren privaten Schlüssel aus. Ihr privater Schlüssel muss das Format PEM haben und darf nicht mit einer Passphrase geschützt sein.
- Kopieren Sie den Inhalt des privaten Schlüssels im PEM-Format und fügen Sie ihn ein. Die privaten Schlüssel müssen mit -----BEGIN PRIVATE KEY----- beginnen und mit -----END PRIVATE KEY----- enden.
Geben Sie im Feld Labels die Labels an, die dem Zertifikat zugewiesen werden sollen. Klicken Sie auf Label hinzufügen, um ein Label hinzuzufügen, und geben Sie einen Schlüssel und einen Wert für das Label an.
Klicken Sie auf Erstellen.

Das neue Zertifikat wird in der Liste der Zertifikate angezeigt.

gcloud

Verwenden Sie zum Erstellen eines globalen selbstverwalteten Zertifikats den Befehl certificate-manager certificates create:

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --certificate-file="CERTIFICATE_FILE" \
    --private-key-file="PRIVATE_KEY_FILE"

Ersetzen Sie Folgendes:

CERTIFICATE_NAME: der Name des Zertifikats.
CERTIFICATE_FILE: Der Pfad und der Dateiname der CRT-Zertifikatsdatei.
PRIVATE_KEY_FILE: Pfad und Dateiname der privaten Schlüsseldatei KEY.

Terraform

Wenn Sie ein selbstverwaltetes Zertifikat hochladen möchten, können Sie eine google_certificate_manager_certificate-Ressource mit dem self_managed-Block verwenden.

API

Laden Sie das Zertifikat hoch, indem Sie eine POST-Anfrage an die Methode certificates.create stellen:

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME
{
  self_managed: {
    pem_certificate: "PEM_CERTIFICATE",
    pem_private_key: "PEM_KEY",
  }
}

Ersetzen Sie Folgendes:

PROJECT_ID: die ID des Google Cloud Projekts.
CERTIFICATE_NAME: der Name des Zertifikats.
PEM_CERTIFICATE ist das Zertifikat im PEM-Format.
PEM_KEY: der Schlüssel-PEM.

Selbstverwaltetes Zertifikat für einen Load Balancer bereitstellen

Verwenden Sie eine Zertifikatszuordnung, um das globale selbstverwaltete Zertifikat bereitzustellen.

Zertifikatzuordnung erstellen

Erstellen Sie eine Zertifikatszuordnung, die auf den Eintrag der Zertifikatszuordnung verweist, der mit Ihrem Zertifikat verknüpft ist:

gcloud

Verwenden Sie den Befehl gcloud certificate-manager maps create, um eine Zertifikatszuordnung zu erstellen:

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

Ersetzen Sie CERTIFICATE_MAP_NAME durch den Namen der Zielzertifikatszuordnung.

Terraform

Zum Erstellen einer Zertifikatszuordnung können Sie eine google_certificate_manager_certificate_map-Ressource verwenden.

resource "google_certificate_manager_certificate_map" "certificate_map" {
  name        = "${local.name}-certmap-${random_id.tf_prefix.hex}"
  description = "${local.domain} certificate map"
  labels = {
    "terraform" : true
  }
}

Zertifikatszuordnungseintrag erstellen

Erstellen Sie einen Eintrag für die Zertifikatszuordnung und verknüpfen Sie ihn mit dem Zertifikat und der Zertifikatszuordnung:

gcloud

Verwenden Sie zum Erstellen eines Zertifikatszuordnungseintrags den Befehl gcloud certificate-manager maps entries create:

gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME" \
    --certificates="CERTIFICATE_NAME" \
    --hostname="HOSTNAME"

Ersetzen Sie Folgendes:

CERTIFICATE_MAP_ENTRY_NAME: der Name des Zertifikatszuordnungseintrags.
CERTIFICATE_MAP_NAME: der Name der Zertifikatszuordnung, an die der Eintrag der Zertifikatszuordnung angehängt ist.
CERTIFICATE_NAME: der Name des Zertifikats, das Sie mit dem Eintrag der Zertifikatszuordnung verknüpfen möchten.
HOSTNAME: Der Hostname, den Sie dem Zertifikatszuordnungseintrag zuordnen möchten.

Wenn Sie ein Zertifikat erstellen möchten, das sowohl eine Platzhalterdomain als auch eine Stammdomain abdeckt, geben Sie den Hostnamen mit einer Stammdomain und einem Platzhalter an, z. B. example.com und *.example.com. Außerdem müssen Sie zwei Einträge für die Zertifikatszuordnung angeben: einen für example.com und einen für *.example.com.

Terraform

Verwenden Sie eine google_certificate_manager_certificate_map_entry-Ressource, um einen Zertifikatszuordnungseintrag mit einer Stammdomain zu erstellen.

resource "google_certificate_manager_certificate_map_entry" "first_entry" {
  name        = "${local.name}-first-entry-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = local.domain
}

Wenn Sie einen Eintrag in der Zertifikatszuordnung mit einer Platzhalterdomain erstellen möchten, verwenden Sie eine google_certificate_manager_certificate_map_entry-Ressource.

resource "google_certificate_manager_certificate_map_entry" "second_entry" {
  name        = "${local.name}-second-entity-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = "*.${local.domain}"
}

Prüfen, ob der Eintrag in der Zertifikatszuordnung aktiv ist

Prüfen Sie, ob der Eintrag der Zertifikatszuordnung aktiv ist, bevor Sie die entsprechende Zertifikatszuordnung an den Zielproxy anhängen.

Verwenden Sie den Befehl gcloud certificate-manager maps entries describe, um den Eintrag der Zertifikatszuordnung zu prüfen:

gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"

Ersetzen Sie Folgendes:

CERTIFICATE_MAP_ENTRY_NAME: der Name des Zertifikatszuordnungseintrags.
CERTIFICATE_NAME: der Name des Zertifikats, das Sie mit dem Eintrag der Zertifikatszuordnung verknüpfen möchten.

Die Ausgabe sieht etwa so aus:

certificates:
createTime: '2021-09-06T10:01:56.229472109Z'
hostname: example.com
name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/myCertMapEntry
state: ACTIVE
updateTime: '2021-09-06T10:01:58.277031787Z'

Zertifikatszuordnung an den Zielproxy anhängen

Sie können die Zertifikatszuordnung an einen neuen oder vorhandenen Zielproxy anhängen.

gcloud

Verwenden Sie den Befehl gcloud compute target-https-proxies create, um die Zertifikatszuordnung an einen neuen Zielproxy anzuhängen:

gcloud compute target-https-proxies create PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --url-map="URL_MAP" \
    --global

Ersetzen Sie Folgendes:

PROXY_NAME: der Name des Zielproxys.
CERTIFICATE_MAP_NAME: der Name der Zertifikatszuordnung, die auf den Eintrag der Zertifikatszuordnung und das zugehörige Zertifikat verweist.
URL_MAP: der Name des URL-Mappings

Verwenden Sie den Befehl gcloud compute target-https-proxies update, um die Zertifikatszuordnung an einen vorhandenen Ziel-HTTPS-Proxy anzuhängen. Wenn Sie den Namen des vorhandenen Zielproxys nicht kennen, rufen Sie die Seite Zielproxys auf und notieren Sie sich den Namen des Zielproxys.

gcloud compute target-https-proxies update PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --global

Führen Sie nach dem Erstellen oder Aktualisieren des Zielproxys den folgenden Befehl aus, um ihn zu überprüfen:

gcloud compute target-https-proxies list

Terraform

Um die Zertifikatszuordnung an den Zielproxy anzuhängen, können Sie eine google_compute_target_https_proxy-Ressource verwenden.

Wenn Sie beim Konfigurieren eines Zielproxys TLS- (SSL-)Zertifikate direkt und auch über eine Zertifikatszuordnung anhängen, verwendet der Proxy die Zertifikate, auf die in der Zertifikatszuordnung verwiesen wird, und ignoriert die direkt angehängten TLS- (SSL-)Zertifikate.

Bereinigen

Löschen Sie die in dieser Anleitung verwendeten Ressourcen, um zu vermeiden, dass Ihrem Google Cloud Konto dafür Gebühren berechnet werden.

Löschen Sie den Load-Balancer und die zugehörigen Ressourcen.

Load-Balancing-Einrichtung bereinigen.
Löschen Sie die Zertifikatszuordnung oder trennen Sie sie vom Proxy.

Führen Sie den folgenden Befehl aus, um die Zertifikatszuordnung zu löschen:
```
gcloud compute target-https-proxies delete PROXY_NAME
```
Wenn Sie den HTTPS-Zielproxy behalten möchten, trennen Sie die Zertifikatszuordnung vom Proxy.

Achtung :Bevor Sie die Zertifikatszuordnung trennen, beachten Sie Folgendes.
- Wenn dem Proxy TLS-Zertifikate (SSL) direkt zugeordnet sind, werden diese wieder verwendet, wenn die Zertifikatszuordnung getrennt wird.
- Wenn dem Proxy keine TLS- (SSL-)Zertifikate direkt zugeordnet sind, kann die Zertifikatszuordnung nicht vom Proxy getrennt werden. Sie müssen dem Proxy zuerst mindestens ein TLS- (SSL-)Zertifikat direkt zuordnen, bevor Sie die Zertifikatszuordnung trennen können.
Führen Sie den folgenden Befehl aus, um die Zertifikatszuordnung zu trennen:
```
gcloud compute target-https-proxies update PROXY_NAME \
    --clear-certificate-map
```
Ersetzen Sie PROXY_NAME durch den Namen des Zielproxys.
Löschen Sie den Eintrag der Zertifikatszuordnung aus der Zertifikatszuordnung:
```
gcloud certificate-manager maps entries delete CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"
```
Ersetzen Sie Folgendes:
- CERTIFICATE_MAP_ENTRY_NAME: der Name des Zertifikatszuordnungseintrags.
- CERTIFICATE_MAP_NAME: der Name der Zertifikatszuordnung.
Löschen Sie die Zertifikatzuordnung:
```
gcloud certificate-manager maps delete CERTIFICATE_MAP_NAME
```
Ersetzen Sie CERTIFICATE_MAP_NAME durch den Namen der Zertifikatszuordnung.
Löschen Sie das hochgeladene Zertifikat:
```
gcloud certificate-manager certificates delete CERTIFICATE_NAME
```
Ersetzen Sie CERTIFICATE_NAME durch den Namen des Zertifikats.

Globales selbstverwaltetes Zertifikat bereitstellen Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.

Selbstverwaltetes Zertifikat in den Zertifikatmanager hochladen

Console

gcloud

Terraform

API

Selbstverwaltetes Zertifikat für einen Load Balancer bereitstellen

Zertifikatzuordnung erstellen

gcloud

Terraform

Zertifikatszuordnungseintrag erstellen

gcloud

Terraform

Prüfen, ob der Eintrag in der Zertifikatszuordnung aktiv ist

Zertifikatszuordnung an den Zielproxy anhängen

gcloud

Terraform

Bereinigen

Globales selbstverwaltetes Zertifikat bereitstellen