Auf dieser Seite finden Sie eine Übersicht über die Kernkomponenten und -konzepte von Zertifikatmanager.
Zertifikate
Ein Zertifikat stellt ein einzelnes Zertifikat vom Typ X.509 Transport Layer Security (TLS) (SSL) dar, das für bestimmte Domainnamen oder Domainplatzhalter ausgestellt wird.
Zertifikatmanager unterstützt die folgenden Zertifikatstypen:
- Von Google verwaltete Zertifikate: Zertifikate, die Google Cloud von Google abgerufen und verwaltet werden. Wenn ein neues von Google verwaltetes Zertifikat ausgestellt oder verlängert wird, verwendet Zertifikatmanager einen neu generierten privaten Schlüssel für das Zertifikat.
- Selbstverwaltete Zertifikate: Zertifikate, die Sie selbst beziehen, bereitstellen, und verlängern.
Von Google verwaltete Zertifikate
Von Google verwaltete Zertifikate sind TLS-Zertifikate, die von Google abgerufen Google Cloud und verwaltet werden. Mit Zertifikatmanager können Sie von Google verwaltete Zertifikate erstellen, verwalten und automatisch verlängern. Außerdem können Sie mit Zertifikatmanager die Domaininhaberschaft entweder mit der Load Balancing-basierten Autorisierung oder der DNS-basierten Autorisierung bestätigen.
Zertifikatmanager unterstützt Public Certificate Authority (CA) und die Let's Encrypt-Zertifizierungsstelle. Standardmäßig stellt die Public CA von Google verwaltete Zertifikate aus. Wenn Sie für eine bestimmte Domain kein Zertifikat von der Public CA erhalten können, greift Zertifikatmanager auf die Let's Encrypt-Zertifizierungsstelle zurück. Das kann passieren, wenn die Public CA die Ausstellung eines Zertifikats für eine Domain ablehnt oder Ihr CAA-Eintrag (Certification Authority Authorization) die Public CA ausdrücklich daran hindert, Zertifikate für diese Domain auszustellen. Weitere Informationen zum Einschränken der Zertifizierungsstellen , die Zertifikate für Ihre Domains ausstellen dürfen, finden Sie unter Zertifizierungsstellen angeben, die Ihr von Google verwaltetes Zertifikat ausstellen dürfen.
Einige wichtige Punkte, die Sie bei der Verwendung von von Google verwalteten Zertifikaten mit Zertifikatmanager beachten sollten:
- Zertifikatmanager unterstützt von Google verwaltete RSA-Zertifikate.
- Regionale von Google verwaltete Zertifikate unterstützen nur die DNS-basierte Autorisierung und werden von der Public CA abgerufen.
- Die Verwendung von von Google verwalteten Zertifikaten als Clientzertifikate für gegenseitiges TLS wird nicht unterstützt.
- Die Standardgültigkeit von öffentlichen von Google verwalteten Zertifikaten beträgt 90 Tage für
alle Bereiche außer
EDGE_CACHE, für den eine Gültigkeit von 30 Tagen gilt. Das Ändern der Gültigkeit von öffentlichen von Google verwalteten Zertifikaten wird nicht unterstützt.
Öffentliche und private Zertifikate
Zertifikatmanager kann sowohl öffentliche als auch private Zertifikate verwalten. Zertifikatmanager ruft öffentliche Zertifikate, mit denen häufig öffentliche Dienste geschützt werden, von Public CA ab. Die wichtigsten Browser, Betriebssysteme und Anwendungen erkennen Public CA als Root of Trust. Zertifikatmanager ruft private Zertifikate, mit denen häufig private Dienste geschützt werden, vom CA Service ab.
Selbstverwaltete Zertifikate
Wenn Sie aufgrund Ihrer geschäftlichen Anforderungen keine von Google verwalteten Zertifikate verwenden können, können Sie Zertifikate hochladen, die von externen Zertifizierungsstellen ausgestellt wurden, zusammen mit den zugehörigen Schlüsseln. Sie müssen diese selbstverwalteten Zertifikate manuell ausstellen und verlängern.
Die Certificate-Ressource eines selbstverwalteten Zertifikats muss das Zertifikat und seine Kette enthalten. Die Zertifikatskette enthält
Zwischenzertifikate, die dazu beitragen, Vertrauen zu
dem Root-Zertifikat aufzubauen. Sie können die Zertifikatskette entweder als einzelne PEM-codierte Datei oder als Textblock hinzufügen.
Geben Sie die Zertifikatskette in der folgenden Reihenfolge an:
- Untergeordnetes Zertifikat
- Alle Zwischenzertifikate
Unterstützte Schlüsseltypen
Load Balancer unterstützen Zertifikate, die private Schlüssel verschiedener Schlüsseltypen verwenden. In der folgenden Tabelle wird die Unterstützung von Schlüsseltypen je nachdem aufgeführt, ob die Zertifikate selbstverwaltet oder von Google verwaltet sind.|
SSL-Zertifikattyp arrow_forward Schlüsseltyp arrow_downward |
Zertifikatmanager-SSL-Zertifikate | ||
|---|---|---|---|
| Global und regional | |||
| Selbstverwaltet | Öffentlich vertrauenswürdig, von Google verwaltet | Privat vertrauenswürdig, von Google verwaltet | |
| RSA-2048 | |||
| RSA-3072 | |||
| RSA-4096 | |||
| ECDSA P-256 | |||
| ECDSA P-384 | |||
Domainautorisierungen
Mit Zertifikatmanager können Sie die Inhaberschaft von Domains, für die Sie von Google verwaltete Zertifikate ausstellen möchten, auf eine der folgenden Arten nachweisen:
Load Balancer-Autorisierung: Stellen Sie das Zertifikat direkt auf einem unterstützten Load Balancer bereit, ohne einen DNS-Eintrag zu erstellen.
DNS-Autorisierung: Stellen Sie das Zertifikat direkt auf einem unterstützten Load Balancer bereit, nachdem Sie spezielle DNS-Einträge zur Bestätigung der Domaininhaberschaft erstellt haben.
Weitere Informationen finden Sie unter Domainautorisierungstypen für von Google verwaltete Zertifikate.
Für selbstverwaltete Zertifikate sind keine Domainautorisierungen erforderlich.
Zertifikatszuordnungen
Eine Zertifikatszuordnung verweist auf einen oder mehrere Zertifikatszuordnungseinträge, die bestimmte Zertifikate bestimmten Hostnamen zuweisen. Zertifikatszuordnungseinträge definieren auch die Auswahllogik, die der Load Balancer beim Herstellen von Clientverbindungen verwendet. Sie können eine Zertifikatszuordnung mit mehreren Ziel-Proxys verknüpfen, um sie in mehreren Load Balancern wiederzuverwenden.
Wenn ein Client einen in einer Zertifikatszuordnung angegebenen Hostnamen anfordert, stellt der Load Balancer die diesem Hostnamen zugeordneten Zertifikate bereit. Andernfalls stellt der Load Balancer das primäre Zertifikat bereit. Das ist das erste Zertifikat, das für einen Ziel-Proxy aufgeführt ist. Weitere Informationen finden Sie unter Funktionsweise von Certificate Manager.
Die folgenden Load Balancer unterstützen Zertifikatszuordnungen:
- Globaler externer Application Load Balancer
- Globaler externer Proxy-Network Load Balancer
Weitere Informationen zum Erstellen und Verwalten von Zertifikatszuordnungen finden Sie unter Zertifikatszuordnungen verwalten.
Einträge zu Zertifikatszuordnungen
Ein Zertifikatszuordnungseintrag ist eine Liste von Zertifikaten, die für einen bestimmten Domainnamen bereitgestellt werden. Sie können verschiedene Zertifikatsgruppen für dieselbe Domain definieren. Sie können beispielsweise ein ECDSA- und ein RSA-Zertifikat hochladen und sie demselben Domainnamen zuordnen.
Wenn ein Client eine Verbindung zu einem Domainnamen herstellt, verhandelt der Load Balancer während des Handshakes den Zertifikatstyp, der dem Client bereitgestellt werden soll.
Sie können maximal vier Zertifikate mit einem einzelnen Eintrag zu einer Zertifikatszuordnung verknüpfen.
Weitere Informationen zum Erstellen und Verwalten von Einträgen zu Zertifikatszuordnungen finden Sie unter Einträge zu Zertifikatszuordnungen verwalten.
Konfigurationen von Vertrauensstellungen
Eine Konfiguration der Vertrauensstellung ist eine Ressource, die Ihre Konfiguration der Public-Key-Infrastruktur (PKI) in Zertifikatmanager darstellt. Sie können Konfigurationen der Vertrauensstellung in Szenarien mit gegenseitiger TLS-Authentifizierung (mTLS) und TLS-Prüfung verwenden. Eine Konfiguration der Vertrauensstellung enthält einen einzelnen Trust Store, der wiederum einen oder mehrere Trust-Anchors und optional ein oder mehrere Zwischenzertifikate enthält.
Sie können Konfigurationen der Vertrauensstellung in den folgenden Szenarien mit gegenseitigem TLS für Application Load Balancer verwenden:
- Frontend-mTLS: zur Authentifizierung von Verbindungen zwischen Ihren Clients und dem Load Balancer. Der Load Balancer überprüft die Identität des Clients mithilfe der Konfiguration der Vertrauensstellung. Weitere Informationen finden Sie unter Gegenseitiges TLS Übersicht.
- Backend-mTLS: zur Authentifizierung von Verbindungen zwischen dem Load Balancer und Ihren Backend-Arbeitslasten, z. B. VM-Instanzen. In diesem Szenario verwendet der Load Balancer die Konfiguration der Vertrauensstellung, um Zertifikate zu validieren, die vom Backend präsentiert werden. Weitere Informationen finden Sie unter Backend authentifiziertes TLS und Backend-mTLS Übersicht.
Sie können Konfigurationen der Vertrauensstellung auch für den folgenden Anwendungsfall mit Cloud Next Generation Firewall (Cloud NGFW) verwenden:
- TLS-Prüfung: zum Validieren privat signierter Backend-Zertifikate. Sie können die Konfiguration der Vertrauensstellung und die CA-Pool-Konfigurationen (Zertifizierungsstellenpool) einer TLS-Prüfungsrichtlinie hinzufügen, die Sie dann an einen Firewall-Endpunkt anhängen können, um Traffic zu entschlüsseln und zu prüfen. Weitere Informationen finden Sie unter Übersicht über die TLS-Prüfung und TLS-Prüfung einrichten.
Weitere Informationen zu Konfigurationen der Vertrauensstellung und ihren Komponenten finden Sie unter Konfigurationen der Vertrauensstellung verwalten.
Vertrauenswürdige Shops
Ein Trust Store stellt die Konfiguration des Vertrauens-Secrets im Zertifikatmanager zur Verwendung in Szenarien mit gegenseitiger TLS-Authentifizierung dar. Ein Trust Store enthält einen einzelnen Trust-Anchor und optional ein oder mehrere Zwischenzertifikate.
Für Ressourcen für Konfigurationen der Vertrauensstellung gelten die folgenden Einschränkungen:
- Eine Ressource für die Konfiguration der Vertrauensstellung kann nur einen Trust Store enthalten.
- Ein Trust Store kann bis zu 100 Zwischen-CA-Zertifikate enthalten. Die Gesamtgröße von Trust-Anchors, Zwischenzertifikaten und Zertifikaten auf der Zulassungsliste unterliegt der Berechnung der Größe der Konfiguration der Vertrauensstellung des Projekts.
Trust-Anchors
Ein Trust-Anchor stellt ein einzelnes Root-Zertifikat zur Verwendung in Szenarien mit gegenseitiger TLS-Authentifizierung dar. Ein Trust-Anchor ist in einem Trust Store enthalten.
Zwischenzertifikate
Ein Zwischenzertifikat ist ein Zertifikat, das von einem Root-Zertifikat oder einem anderen Zwischenzertifikat im Trust Store signiert wurde. Zwischenzertifikate werden für die gegenseitige TLS-Authentifizierung verwendet.
Wenn Sie Zwischenzertifikate haben, können je nach PKI-Konfiguration ein oder mehrere Zwischenzertifikate in einem Trust Store enthalten sein. Zusätzlich zu den vorhandenen Zwischenzertifikaten enthält die Konfiguration der Vertrauensstellung alle Zwischenzertifikate als Teil der Vertrauensbewertung für alle Verbindungsanfragen.
Zertifikate, für die eine Zulassungsliste erforderlich ist
Wenn Clients sich mit einem selbst signierten, abgelaufenen oder ungültigen Zertifikat authentifizieren dürfen, fügen Sie das Zertifikat dem Feld allowlistedCertificates der Konfiguration der Vertrauensstellung hinzu. Sie können das Zertifikat auch hinzufügen, wenn Sie keinen Zugriff auf die Root- und Zwischenzertifikate haben.
Sie benötigen keinen Trust Store, um ein Zertifikat einer Zulassungsliste hinzuzufügen.
Wenn Sie ein Zertifikat der Zulassungsliste hinzufügen, betrachtet Zertifikatmanager das Zertifikat als gültig, wenn es die folgenden Bedingungen erfüllt:
- Das Zertifikat kann geparst werden.
- Der Client weist nach, dass er den privaten Schlüssel des Zertifikats besitzt.
- Die Einschränkungen für das Feld „Alternativer Antragstellername“ (SAN) werden erfüllt.
Konfigurationen von Zertifikatsausstellungen
Eine Konfiguration der Zertifikatsausstellung ist eine Ressource, mit der Zertifikatmanager einen CA-Pool aus Ihrer eigenen Certificate Authority Service-Instanz verwenden kann, um von Google verwaltete Zertifikate auszustellen. Mit einer Konfiguration der Zertifikatsausstellung können Sie Parameter für die Ausstellung und den Ablauf von Zertifikaten sowie den Schlüsselalgorithmus für ausgestellte Zertifikate angeben.
Weitere Informationen zum Erstellen und Verwalten von Konfigurationen der Zertifikatsausstellung, siehe Ressourcen für Konfigurationen der Zertifikatsausstellung verwalten.