Panoramica del deployment

Questa pagina fornisce una panoramica di come utilizzare Certificate Manager per eseguire il provisioning di certificati gestiti da Google e autogestiti per i bilanciatori del carico delle applicazioni e i bilanciatori del carico di rete proxy.

Prima di leggere questa pagina, assicurati di conoscere la panoramica dei certificati SSL nella documentazione di Cloud Load Balancing.

Metodi di configurazione di Certificate Manager

Certificate Manager offre due metodi di configurazione dei certificati per i bilanciatori del carico delle applicazioni che utilizzano proxy HTTPS di destinazione e per i bilanciatori del carico di rete proxy che utilizzano proxy SSL di destinazione. Questi sono due dei tre metodi di configurazione dei certificati possibili per Cloud Load Balancing. Per saperne di più su Certificate Manager e Cloud Load Balancing, consulta Metodi di configurazione dei certificati nella documentazione sul bilanciamento del carico.

• Il proxy di destinazione del bilanciatore del carico fa riferimento a una mappa dei certificati di Certificate Manager: il proxy di destinazione del bilanciatore del carico fa riferimento a una singola mappa dei certificati. La mappa dei certificati supporta migliaia di voci per impostazione predefinita e può essere scalata a milioni di voci. Questo metodo viene utilizzato dai bilanciatori del carico delle applicazioni esterni e dai bilanciatori del carico di rete proxy esterni alimentati da Google Front End (GFE):

  • Bilanciatori del carico delle applicazioni esterni globali
  • Bilanciatori del carico delle applicazioni classici
  • Bilanciatori del carico di rete proxy esterni globali
  • Bilanciatori del carico di rete proxy classici

• Il proxy di destinazione del bilanciatore del carico fa riferimento direttamente ai certificati di Gestore certificati: il proxy di destinazione del bilanciatore del carico può fare riferimento a un massimo di 100 certificati di Gestore certificati. Questo metodo viene utilizzato dai seguenti bilanciatori del carico delle applicazioni basati su software proxy Envoy open source gestito:

  • Bilanciatori del carico delle applicazioni esterni regionali
  • Bilanciatori del carico delle applicazioni interni regionali
  • Bilanciatori del carico delle applicazioni interni tra regioni

Certificate Manager supporta anche i seguenti prodotti, che fanno riferimento ai certificati di Certificate Manager nell'ambito della loro configurazione:

• Il gateway Secure Web Proxy fa riferimento ai certificati di Certificate Manager: prima di poter configurare un gateway Secure Web Proxy, devi creare uno o più certificati Certificate Manager da utilizzare per il gateway. Per saperne di più, consulta Esegui il deployment di un certificato SSL e Esegui il deployment di un'istanza Secure Web Proxy.

• Riferimenti al servizio di edge cache Media CDN Certificati Certificate Manager: un servizio di edge cache Media CDN supporta fino a cinque certificati Certificate Manager. Per saperne di più, consulta Certificati SSL (TLS) e Configurare i certificati SSL (TLS).

Tipi di certificati

Certificate Manager supporta i certificati gestiti da Google e autogestiti. Tutti i bilanciatori del carico delle applicazioni che utilizzano proxy HTTPS di destinazione e tutti i bilanciatori del carico di rete proxy che supportano i proxy SSL di destinazione possono utilizzare certificati Certificate Manager gestiti da Google o autogestiti.

• Certificati di Gestore certificati gestiti da Google: certificati che Google Cloud ottiene e gestisce per te. A seconda del bilanciatore del carico e del metodo di configurazione di Certificate Manager, i certificati Certificate Manager gestiti da Google possono essere sottoposti a provisioning utilizzando l'autorizzazione del bilanciatore del carico, l'autorizzazione DNS o utilizzando Certificate Authority Service (CA Service).

• Certificati di Gestore certificati autogestiti: certificati che ottieni, di cui esegui il provisioning e che rinnovi autonomamente.

Nota: se utilizzi Google Kubernetes Engine (GKE), GKE Gateway supporta i certificati gestiti da Certificate Manager. Per ulteriori informazioni, vedi Proteggere un gateway utilizzando Certificate Manager. Tuttavia, GKE Ingress non supporta i certificati gestiti da Gestore certificati. Per utilizzare i certificati gestiti da Google con Ingress, devi utilizzare la risorsa ManagedCertificate. Per saperne di più, consulta Traffico sicuro per l'ingresso di GKE.

Assistenza per i prodotti

La tabella seguente riassume il supporto per i certificati Certificate Manager gestiti da Google e autogestiti per prodotto.

Prodotto	Certificati gestiti da Google			Certificati autogestiti
	Autorizzazione bilanciatore del carico	Autorizzazione DNS	Certificate Authority Service (servizio CA)
Bilanciatori del carico delle applicazioni esterni globali e bilanciatori del carico di rete proxy Bilanciatore del carico delle applicazioni esterno globale Bilanciatore del carico delle applicazioni classico Bilanciatore del carico di rete proxy esterno globale Bilanciatore del carico di rete proxy classico	Guida al deployment	Guida al deployment	Guida al deployment	Guida al deployment
Bilanciatori del carico delle applicazioni esterni e interni regionali: Bilanciatore del carico delle applicazioni esterno regionale Bilanciatore del carico delle applicazioni interno regionale		Guida al deployment	Guida al deployment	Guida al deployment
Bilanciatori del carico delle applicazioni interni tra regioni		Guida al deployment	Guida al deployment	Guida al deployment
Gateway Secure Web Proxy		Guida al deployment	Guida al deployment	Guida al deployment
Servizi di cache perimetrale di Media CDN

Passaggi successivi

• Se vuoi eseguire la migrazione di un certificato esistente dal bilanciatore del carico a Certificate Manager, segui le istruzioni riportate in Eseguire la migrazione di un certificato a Certificate Manager.
• Per saperne di più su Certificate Manager e sui bilanciatori del carico basati su GFE, consulta Come funziona Certificate Manager.
• Se vuoi utilizzare l'autenticazione TLS reciproca (mTLS), consulta la sezione Autenticazione TLS reciproca nella documentazione di Cloud Load Balancing.