Esta página se ha traducido con Cloud Translation API.

Desplegar un certificado autogestionado global

En este tutorial se muestra cómo usar Certificate Manager para desplegar un certificado autogestionado global.

Los siguientes balanceadores de carga admiten certificados autogestionados globales:

Balanceador de carga de aplicación externo global
Balanceador de carga de aplicación clásico
Balanceador de carga de red con proxy externo global
Balanceador de carga de red de proxy clásico

Si quieres desplegar balanceadores de carga regionales o interregionales, consulta lo siguiente:

Subir un certificado autogestionado a Certificate Manager

Para subir el certificado al administrador de certificados, haz lo siguiente:

Consola

En la Google Cloud consola, ve a la página Gestor de certificados.

Ir a Certificate Manager
En la pestaña Certificados, haz clic en Añadir certificado.
En el campo Nombre del certificado, introduce un nombre único para el certificado.
Opcional: En el campo Descripción, escribe una descripción del certificado. La descripción te permite identificar el certificado.
En Ubicación, selecciona Global.
En Ámbito, selecciona Predeterminado.
En Tipo de certificado, selecciona Crear certificado autogestionado.
En el campo Certificado, haz una de las siguientes acciones:
- Haz clic en el botón Subir y selecciona el archivo de certificado en formato PEM.
- Copia y pega el contenido de un certificado en formato PEM. El contenido debe empezar por -----BEGIN CERTIFICATE----- y terminar por -----END CERTIFICATE-----.
En el campo Certificado de clave privada, haz una de las siguientes acciones:
- Haz clic en el botón Subir y selecciona tu clave privada. Tu clave privada debe tener formato PEM y no estar protegida con una contraseña.
- Copia y pega el contenido de una clave privada con formato PEM. Las claves privadas deben empezar por -----BEGIN PRIVATE KEY----- y terminar por -----END PRIVATE KEY-----.
En el campo Etiquetas, especifica las etiquetas que quieras asociar al certificado. Para añadir una etiqueta, haz clic en Añadir etiqueta y especifica una clave y un valor para la etiqueta.
Haz clic en Crear.

El nuevo certificado aparece en la lista de certificados.

gcloud

Para crear un certificado autogestionado global, usa el comando certificate-manager certificates create:

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --certificate-file="CERTIFICATE_FILE" \
    --private-key-file="PRIVATE_KEY_FILE"

Haz los cambios siguientes:

CERTIFICATE_NAME: el nombre del certificado.
CERTIFICATE_FILE: la ruta y el nombre del archivo de certificado CRT.
PRIVATE_KEY_FILE: la ruta y el nombre de archivo de la clave privada KEY.

Terraform

Para subir un certificado autogestionado, puedes usar un recurso google_certificate_manager_certificate con el bloque self_managed.

API

Sube el certificado haciendo una solicitud POST al método certificates.create de la siguiente manera:

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME
{
  self_managed: {
    pem_certificate: "PEM_CERTIFICATE",
    pem_private_key: "PEM_KEY",
  }
}

Haz los cambios siguientes:

PROJECT_ID: el ID del Google Cloud proyecto.
CERTIFICATE_NAME: el nombre del certificado.
PEM_CERTIFICATE: el PEM del certificado.
PEM_KEY: el PEM de la clave.

Desplegar el certificado autogestionado en un balanceador de carga

Para desplegar el certificado autogestionado global, usa un mapa de certificados.

Crear un mapa de certificados

Crea un mapa de certificados que haga referencia a la entrada de mapa de certificados asociada a tu certificado:

gcloud

Para crear un mapa de certificados, usa el comando gcloud certificate-manager maps create:

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

Sustituye CERTIFICATE_MAP_NAME por el nombre del mapa de certificados de destino.

Terraform

Para crear un mapeado de certificados, puedes usar un recurso google_certificate_manager_certificate_map.

resource "google_certificate_manager_certificate_map" "certificate_map" {
  name        = "${local.name}-certmap-${random_id.tf_prefix.hex}"
  description = "${local.domain} certificate map"
  labels = {
    "terraform" : true
  }
}

Crear una entrada de mapa de certificados

Crea una entrada de mapa de certificados y asóciala a tu certificado y a tu mapa de certificados:

gcloud

Para crear una entrada de mapeado de certificados, usa el comando gcloud certificate-manager maps entries create:

gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME" \
    --certificates="CERTIFICATE_NAME" \
    --hostname="HOSTNAME"

Haz los cambios siguientes:

CERTIFICATE_MAP_ENTRY_NAME: el nombre de la entrada del mapa de certificados.
CERTIFICATE_MAP_NAME: el nombre del mapa de certificados al que está adjunta la entrada del mapa de certificados.
CERTIFICATE_NAME: el nombre del certificado que quieres asociar a la entrada del mapa de certificados.
HOSTNAME: el nombre de host que quieras asociar a la entrada del mapa de certificados.

Si quieres crear un certificado que cubra tanto un dominio comodín como un dominio raíz, especifica el nombre de host con un dominio raíz y un comodín, como example.com y *.example.com. Además, debes especificar dos entradas de mapa de certificados: una para example.com y otra para *.example.com.

Terraform

Para crear una entrada de mapa de certificados con un dominio raíz, usa un recurso google_certificate_manager_certificate_map_entry.

resource "google_certificate_manager_certificate_map_entry" "first_entry" {
  name        = "${local.name}-first-entry-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = local.domain
}

Para crear una entrada de mapa de certificados con un dominio comodín, usa un recurso google_certificate_manager_certificate_map_entry.

resource "google_certificate_manager_certificate_map_entry" "second_entry" {
  name        = "${local.name}-second-entity-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = "*.${local.domain}"
}

Verificar que la entrada de mapa de certificados esté activa

Verifica que la entrada del mapa de certificados esté activa antes de adjuntar el mapa de certificados correspondiente al proxy de destino.

Para verificar la entrada del mapa de certificados, usa el comando gcloud certificate-manager maps entries describe:

gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"

Haz los cambios siguientes:

CERTIFICATE_MAP_ENTRY_NAME: el nombre de la entrada del mapa de certificados.
CERTIFICATE_NAME: el nombre del certificado que quieres asociar a la entrada del mapa de certificados.

El resultado debería ser similar al siguiente:

certificates:
createTime: '2021-09-06T10:01:56.229472109Z'
hostname: example.com
name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/myCertMapEntry
state: ACTIVE
updateTime: '2021-09-06T10:01:58.277031787Z'

Adjunta el mapa de certificados al proxy de destino

Puede adjuntar el mapa de certificados a un proxy de destino nuevo o a uno que ya tenga.

gcloud

Para adjuntar el mapa de certificados a un nuevo proxy de destino, usa el comando gcloud compute target-https-proxies create:

gcloud compute target-https-proxies create PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --url-map="URL_MAP" \
    --global

Haz los cambios siguientes:

PROXY_NAME: el nombre del proxy de destino.
CERTIFICATE_MAP_NAME: el nombre del mapa de certificados que hace referencia a la entrada del mapa de certificados y al certificado asociado.
URL_MAP: nombre del mapa de URLs.

Para adjuntar el mapa de certificados a un proxy HTTPS de destino, usa el comando gcloud compute target-https-proxies update. Si no sabes el nombre del proxy de destino, ve a la página Proxies de destino y anota el nombre del proxy de destino.

gcloud compute target-https-proxies update PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --global

Después de crear o actualizar el proxy de destino, ejecuta el siguiente comando para verificarlo:

gcloud compute target-https-proxies list

Terraform

Para adjuntar el mapa de certificados al proxy de destino, puedes usar un recurso google_compute_target_https_proxy.

Cuando configures un proxy de destino, si adjuntas certificados TLS (SSL) directamente y también a través de un mapa de certificados, el proxy usará los certificados a los que haga referencia el mapa de certificados e ignorará los certificados TLS (SSL) adjuntos directamente.

Limpieza

Para evitar que se apliquen cargos en tu cuenta de Google Cloud por los recursos utilizados en este tutorial, elimínalos.

Elimina el balanceador de carga y sus recursos.

Consulta Limpiar la configuración de un balanceador de carga.
Elimina o separa el mapa de certificados del proxy.

Para eliminar el mapa de certificados, ejecuta el siguiente comando:
```
gcloud compute target-https-proxies delete PROXY_NAME
```
Si quieres conservar el proxy HTTPS de destino, desvincula el mapa de certificados del proxy.

Precaución: Antes de separar el mapa de certificados, ten en cuenta lo siguiente.
- Si hay algún certificado TLS (SSL) adjunto directamente al proxy, al separar el mapa de certificados, el proxy volverá a usar esos certificados TLS (SSL) adjuntos directamente.
- Si no hay certificados TLS (SSL) adjuntos directamente al proxy, el mapa de certificados no se puede separar del proxy. Primero debes adjuntar al menos un certificado TLS (SSL) directamente al proxy para poder separar el mapa de certificados.
Para separar el mapa de certificados, ejecuta el siguiente comando:
```
gcloud compute target-https-proxies update PROXY_NAME \
    --clear-certificate-map
```
Sustituye PROXY_NAME por el nombre del proxy de destino.
Elimina la entrada del mapa de certificados del mapa de certificados:
```
gcloud certificate-manager maps entries delete CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"
```
Haz los cambios siguientes:
- CERTIFICATE_MAP_ENTRY_NAME: el nombre de la entrada del mapa de certificados.
- CERTIFICATE_MAP_NAME: el nombre del mapa de certificados.
Elimina el mapa de certificados:
```
gcloud certificate-manager maps delete CERTIFICATE_MAP_NAME
```
Sustituye CERTIFICATE_MAP_NAME por el nombre del mapa de certificados.
Elimina el certificado subido:
```
gcloud certificate-manager certificates delete CERTIFICATE_NAME
```
Sustituye CERTIFICATE_NAME por el nombre del certificado.

Desplegar un certificado autogestionado global Organízate con las colecciones Guarda y clasifica el contenido según tus preferencias.

Subir un certificado autogestionado a Certificate Manager

Consola

gcloud

Terraform

API

Desplegar el certificado autogestionado en un balanceador de carga

Crear un mapa de certificados

gcloud

Terraform

Crear una entrada de mapa de certificados

gcloud

Terraform

Verificar que la entrada de mapa de certificados esté activa

Adjunta el mapa de certificados al proxy de destino

gcloud

Terraform

Limpieza

Desplegar un certificado autogestionado global