Gérer les mappages de certificats

Un mappage de certificat référence une ou plusieurs entrées de mappage de certificat qui attribuent des certificats spécifiques à des noms d'hôte spécifiques. Cette page explique comment créer et gérer des mappages de certificats.

Pour en savoir plus, consultez Cartes de certificats.

Remarque : Les instructions Google Cloud CLI de cette page supposent que vous utilisez Cloud Shell ou un autre environnement avec bash installé. Pour en savoir plus sur les commandes gcloud CLI utilisées sur cette page, consultez la documentation de référence sur l'interface de ligne de commande Certificate Manager.

Créer un mappage de certificat

Vous pouvez créer un mappage de certificats pour faire référence à l'entrée de mappage de certificats associée à votre certificat.

Rôles requis pour cette tâche

Pour effectuer cette tâche, vous devez disposer de l'un des rôles IAM suivants sur le projet Google Cloud cible.

• Rôle Éditeur du gestionnaire de certificats (roles/certificatemanager.editor)
• Rôle Propriétaire du gestionnaire de certificats (roles/certificatemanager.owner)

Pour en savoir plus, consultez Rôles et autorisations.

Remarque : Si les rôles requis ne vous ont pas été attribués, contactez l'administrateur IAM disposant du rôle Administrateur IAM du projet (roles/resourcemanager.projectIamAdmin) pour qu'il vous les attribue.

Console

1. Dans la console Google Cloud , accédez à la page Certificate Manager, puis cliquez sur l'onglet Cartes de certificats.

   Accéder à Certificate Manager

2. Cliquez sur Créer un mappage de certificat.

3. Dans le champ Nom, saisissez un nom pour le mappage de certificat (par exemple, cert-map-8).

4. Dans le champ Description, saisissez une description de la cartographie des certificats, par exemple My new certificate map.

5. Pour créer une entrée de mappage de certificat et l'ajouter à votre mappage de certificat, cliquez sur Ajouter une entrée de mappage, puis suivez les étapes décrites dans la section suivante.

6. Pour ajouter un libellé et l'associer à la carte de certificats, cliquez sur Ajouter un libellé, puis saisissez une clé et une valeur pour votre libellé.

7. Cliquez sur Créer.

gcloud

Pour créer une carte de certificats, utilisez la commande gcloud certificate-manager maps create :

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

Remplacez les éléments suivants :

• CERTIFICATE_MAP_NAME : nom du mappage de certificats

API

Pour créer un mappage de certificat, envoyez une requête POST à la méthode certificateMaps.create :

POST /v1/projects/PROJECT_ID/locations/global/certificateMaps?certificate_map_id=CERTIFICATE_MAP_NAME

Remplacez les éléments suivants :

• PROJECT_ID : ID de votre projet Google Cloud
• CERTIFICATE_MAP_NAME : nom du mappage de certificats

Terraform

Pour créer un mappage de certificats, utilisez une ressource google_certificate_manager_certificate_map :

resource "google_certificate_manager_certificate_map" "default" {
  name        = "${local.name}-certmap1-${random_id.tf_prefix.hex}"
  description = "${local.domain} certificate map"
  labels = {
    "terraform" : true
  }
}

Pour savoir comment appliquer ou supprimer une configuration Terraform, consultez Commandes Terraform de base.

Associer un mappage de certificats à un proxy

Après avoir créé et configuré une carte de certificats avec des entrées de carte de certificats, associez la carte de certificats au proxy cible. Le gestionnaire de certificats est compatible avec les proxys HTTPS cibles et les proxys SSL cibles de portée mondiale. Pour en savoir plus sur les différences entre ces types de proxy, consultez Utiliser des proxys cibles.

Si vous associez un certificat TLS (SSL) au proxy cible et que vous associez également des certificats via un mappage de certificats, le proxy utilise les certificats référencés dans le mappage de certificats et ignore le certificat directement associé.

Rôles requis pour cette tâche

Pour effectuer cette tâche, vous devez disposer de l'un des rôles IAM suivants sur le projet Google Cloud cible.

• Rôle Éditeur du gestionnaire de certificats (roles/certificatemanager.editor)

Pour en savoir plus, consultez Rôles et autorisations.

Remarque : Si les rôles requis ne vous ont pas été attribués, contactez l'administrateur IAM disposant du rôle Administrateur IAM du projet (roles/resourcemanager.projectIamAdmin) pour qu'il vous les attribue.

gcloud

Pour associer le mappage de certificats au proxy HTTPS cible, utilisez la commande gcloud compute target-https-proxies update :

gcloud compute target-https-proxies update PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME"

Pour associer la carte de certificats au proxy SSL cible, utilisez la commande gcloud compute target-ssl-proxies update :

gcloud compute target-ssl-proxies update PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME"

Remplacez les éléments suivants :

• PROXY_NAME : nom du proxy cible
• CERTIFICATE_MAP_NAME : nom du mappage de certificats contenant les entrées de mappage qui font référence aux certificats cibles

API

Pour associer la carte de certificats au proxy HTTPS cible, envoyez une requête POST à la méthode targetHttpsProxies :

POST /projects/PROJECT_ID/global/targetHttpsProxies/PROXY_NAME/setCertificateMap
{
  certificateMap: "//certificatemanager.googleapis.com/projects/PROJECT_ID/locations/global/certificateMaps/CERTIFICATE_MAP_NAME",
}

Pour associer le mappage de certificats au proxy SSL cible, envoyez une requête POST à la méthode targetSslProxies :

POST /projects/PROJECT_ID/global/targetSslProxies/PROXY_NAME/setCertificateMap
{
  certificateMap: "//certificatemanager.googleapis.com/projects/PROJECT_ID/locations/global/certificateMaps/CERTIFICATE_MAP_NAME",
}

Remplacez les éléments suivants :

• PROJECT_ID : ID de votre projet Google Cloud
• PROXY_NAME : nom du proxy cible
• CERTIFICATE_MAP_NAME : nom du mappage de certificats contenant les entrées de mappage qui font référence aux certificats cibles

Dissocier un mappage de certificats d'un proxy

Avant de dissocier un mappage de certificat d'un proxy, tenez compte des points suivants :

• Si des certificats TLS (SSL) sont associés directement au proxy, le fait de dissocier la carte de certificats entraîne la reprise de leur utilisation par le proxy.

• Si aucun certificat TLS (SSL) n'est directement associé au proxy, il est impossible de dissocier une carte de certificats. Associez au moins un certificat TLS directement au proxy avant de dissocier le mappage de certificats.

Rôles requis pour cette tâche

Pour effectuer cette tâche, vous devez disposer de l'un des rôles IAM suivants sur le projet Google Cloud cible.

• Rôle Administrateur de l'équilibreur de charge Compute (roles/compute.loadBalancerAdmin)

Pour en savoir plus, consultez Rôles et autorisations.

Remarque : Si les rôles requis ne vous ont pas été attribués, contactez l'administrateur IAM disposant du rôle Administrateur IAM du projet (roles/resourcemanager.projectIamAdmin) pour qu'il vous les attribue.

gcloud

Pour dissocier une carte de certificats associée du proxy HTTPS cible, utilisez la commande gcloud compute target-https-proxies update :

gcloud compute target-https-proxies update PROXY_NAME \
    --clear-certificate-map

Pour dissocier une carte de certificats associée au proxy SSL cible, utilisez la commande gcloud compute target-ssl-proxies update :

gcloud compute target-ssl-proxies update PROXY_NAME \
    --clear-certificate-map

Remplacez les éléments suivants :

• PROXY_NAME : nom du proxy cible

API

Pour dissocier une carte de certificats associée du proxy HTTPS cible, envoyez une requête POST à la méthode targetHttpsProxies :

POST /projects/PROJECT_ID/global/targetHttpsProxies/PROXY_NAME/setCertificateMap
{
  certificateMap: "",
}

Pour dissocier une carte de certificats associée du proxy SSL cible, envoyez une requête POST à la méthode targetSslProxies :

POST /projects/PROJECT_ID/global/targetSslProxies/PROXY_NAME/setCertificateMap
{
  certificateMap: "",
}

Remplacez les éléments suivants :

• PROJECT_ID : ID de votre projet Google Cloud
• PROXY_NAME : nom du proxy cible

Mettre à jour un mappage de certificat

Vous pouvez modifier la description et les libellés d'un mappage de certificats. Si vous utilisez la consoleGoogle Cloud , vous pouvez ajouter une entrée de mappage à une carte de certificats, ou modifier ou supprimer une entrée de mappage associée à une carte de certificats.

Rôles requis pour cette tâche

Pour effectuer cette tâche, vous devez disposer de l'un des rôles IAM suivants sur le projet Google Cloud cible.

• Rôle Éditeur du gestionnaire de certificats (roles/certificatemanager.editor)
• Rôle Propriétaire du gestionnaire de certificats (roles/certificatemanager.owner)

Pour en savoir plus, consultez Rôles et autorisations.

Remarque : Si les rôles requis ne vous ont pas été attribués, contactez l'administrateur IAM disposant du rôle Administrateur IAM du projet (roles/resourcemanager.projectIamAdmin) pour qu'il vous les attribue.

Console

1. Dans la console Google Cloud , accédez à la page Certificate Manager, puis cliquez sur l'onglet Cartes de certificats.

   Accéder à Certificate Manager

2. Dans la liste des mappages de certificats, cliquez sur celui dont vous avez besoin. La page Détails du mappage de certificat s'ouvre.

3. Cliquez sur Modifier (). La page Modifier le mappage de certificats s'ouvre.

4. Dans le champ Description, saisissez une nouvelle description pour la cartographie des certificats.

5. Pour ajouter une entrée de mappage à la carte de certificat, cliquez sur Ajouter une entrée de mappage et suivez les étapes décrites dans la section Créer une entrée de mappage de certificat.

   Pour modifier une entrée de cartographie, dans la colonne Actions de la ligne de l'entrée de cartographie, cliquez sur l'icône , sélectionnez Modifier, puis suivez les étapes décrites dans la section Mettre à jour une entrée de cartographie de certificat.

   Pour supprimer une entrée de mappage, dans la colonne Actions de la ligne de l'entrée de mappage, cliquez sur l'icône , sélectionnez Supprimer, puis suivez les étapes décrites dans la section Supprimer une entrée de mappage de certificat.

6. Vous pouvez ajouter, supprimer ou modifier les libellés associés à la carte des certificats.

   Pour ajouter un libellé, cliquez sur Ajouter un libellé, puis spécifiez une clé et une valeur pour votre libellé.

   Pour supprimer un libellé, cliquez sur Supprimer l'élément pour le libellé concerné.

7. Cliquez sur Enregistrer.

gcloud

Pour mettre à jour un mappage de certificats, utilisez la commande gcloud certificate-manager maps update :

gcloud certificate-manager maps update CERTIFICATE_MAP_NAME \
    --description="DESCRIPTION"
    --update-labels="LABELS"

Remplacez les éléments suivants :

• CERTIFICATE_MAP_NAME : nom du mappage de certificats
• DESCRIPTION : nouvelle description de ce mappage de certificats
• LABELS : liste d'étiquettes appliquées à cette cartographie des certificats, séparées par une virgule

API

Pour mettre à jour un mappage de certificats, envoyez une requête PATCH à la méthode certificateMaps.patch :

PATCH /v1/projects/PROJECT_ID/locations/global/certificateMaps/CERTIFICATE_MAP_NAME?updateMask=labels,description
{
  "description": "DESCRIPTION",
  "labels": {
    "LABEL_KEY": "LABEL_VALUE",
  }
}

Remplacez les éléments suivants :

• PROJECT_ID : ID de votre projet Google Cloud
• CERTIFICATE_MAP_NAME : nom du mappage de certificats
• DESCRIPTION : nouvelle description de ce mappage de certificats
• LABEL_KEY : clé de libellé appliquée à cette carte de certificats
• LABEL_VALUE : libellé appliqué à cette carte de certificat

Lister les mappages de certificats

Vous pouvez afficher, filtrer et trier la liste de toutes les cartes de certificats que vous avez créées.

Rôles requis pour cette tâche

Pour effectuer cette tâche, vous devez disposer de l'un des rôles IAM suivants sur le projet Google Cloud cible.

• Rôle Lecteur du gestionnaire de certificats (roles/certificatemanager.viewer)
• Rôle Éditeur du gestionnaire de certificats (roles/certificatemanager.editor)
• Rôle Propriétaire du gestionnaire de certificats (roles/certificatemanager.owner)

Pour en savoir plus, consultez Rôles et autorisations.

Remarque : Si les rôles requis ne vous ont pas été attribués, contactez l'administrateur IAM disposant du rôle Administrateur IAM du projet (roles/resourcemanager.projectIamAdmin) pour qu'il vous les attribue.

Console

1. Dans la console Google Cloud , accédez à la page Certificate Manager.

   Accéder à Certificate Manager

2. Cliquez sur l'onglet Cartes de certificats. Vous pouvez afficher, filtrer et configurer les colonnes de tous les mappages de certificats du projet sélectionné.

gcloud

Pour répertorier les mappages de certificats, utilisez la commande gcloud certificate-manager maps list :

gcloud certificate-manager maps list \
    --filter="FILTER" \
    --page-size="PAGE_SIZE" \
    --limit="LIMIT" \
    --sort-by="SORT_BY"

Remplacez les éléments suivants :

• FILTER : expression qui limite les résultats renvoyés à des valeurs spécifiques.

  Par exemple, pour filtrer les résultats par libellés et heure de création, vous pouvez spécifier : --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'.

  Pour obtenir d'autres exemples de filtrage que vous pouvez utiliser avec Certificate Manager, consultez Trier et filtrer les résultats de liste dans la documentation Cloud Key Management Service.

• PAGE_SIZE : nombre de résultats que vous souhaitez renvoyer par page

• LIMIT : nombre maximal de résultats à renvoyer

• SORT_BY : liste de champs name séparés par une virgule selon lesquels les résultats renvoyés sont triés. L'ordre de tri par défaut est croissant. Pour un ordre décroissant, ajoutez un tilde (~) devant le champ.

API

Pour lister les mappages de certificats configurés, envoyez une requête LIST à la méthode certificateMaps.list :

GET /v1/projects/PROJECT_ID/locations/global/certificateMaps?filter=FILTER&pageSize=PAGE_SIZE&sortBy=SORT_BY

Remplacez les éléments suivants :

• PROJECT_ID : ID de votre projet Google Cloud

• FILTER : expression qui limite les résultats renvoyés à des valeurs spécifiques.

  Par exemple, pour filtrer les résultats par libellés et heure de création, vous pouvez spécifier : --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

  Pour obtenir d'autres exemples de filtrage que vous pouvez utiliser avec Certificate Manager, consultez Trier et filtrer les résultats de liste dans la documentation Cloud Key Management Service.

• PAGE_SIZE : nombre de résultats que vous souhaitez renvoyer par page

• SORT_BY : liste de champs name séparés par une virgule selon lesquels les résultats renvoyés sont triés. L'ordre de tri par défaut est croissant. Pour un ordre décroissant, ajoutez un tilde (~) devant le champ.

Afficher les détails d'une table de correspondance de certificats

Vous pouvez afficher les détails d'une carte de certificats existante, tels que sa date et heure de création, sa date et heure de dernière mise à jour, et sa description.

Rôles requis pour cette tâche

Pour effectuer cette tâche, vous devez disposer de l'un des rôles IAM suivants sur le projet Google Cloud cible.

• Rôle Lecteur du gestionnaire de certificats (roles/certificatemanager.viewer)
• Rôle Éditeur du gestionnaire de certificats (roles/certificatemanager.editor)
• Rôle Propriétaire du gestionnaire de certificats (roles/certificatemanager.owner)

Pour en savoir plus, consultez Rôles et autorisations.

Remarque : Si les rôles requis ne vous ont pas été attribués, contactez l'administrateur IAM disposant du rôle Administrateur IAM du projet (roles/resourcemanager.projectIamAdmin) pour qu'il vous les attribue.

Console

1. Dans la console Google Cloud , accédez à la page Certificate Manager, puis cliquez sur l'onglet Cartes de certificats.

   Accéder à Certificate Manager

2. Dans la liste des mappages de certificats, cliquez sur celui dont vous avez besoin. La page Détails du mappage de certificat s'ouvre et affiche des informations détaillées sur le mappage de certificat sélectionné.

gcloud

Pour afficher les détails d'une carte de certificats, utilisez la commande gcloud certificate-manager maps describe :

gcloud certificate-manager maps describe CERTIFICATE_MAP_NAME

Remplacez les éléments suivants :

• CERTIFICATE_MAP_NAME : nom du mappage de certificats

API

Pour afficher les détails du mappage de certificat, envoyez une requête GET à la méthode certificateMaps.get :

GET /v1/projects/PROJECT_ID/locations/global/certificateMaps/CERTIFICATE_MAP_NAME

Remplacez les éléments suivants :

• PROJECT_ID : ID de votre projet Google Cloud
• CERTIFICATE_MAP_NAME : nom du mappage de certificats

Supprimer un mappage de certificat

Avant de supprimer un mappage de certificats, procédez comme suit :

• Détachez le mappage de certificats du proxy cible.
• Si des entrées de mappage de certificats sont attribuées au mappage, supprimez-les.

Rôles requis pour cette tâche

Pour effectuer cette tâche, vous devez disposer de l'un des rôles IAM suivants sur le projet Google Cloud cible.

• Rôle Propriétaire du gestionnaire de certificats (roles/certificatemanager.owner)

Pour en savoir plus, consultez Rôles et autorisations.

Remarque : Si les rôles requis ne vous ont pas été attribués, contactez l'administrateur IAM disposant du rôle Administrateur IAM du projet (roles/resourcemanager.projectIamAdmin) pour qu'il vous les attribue.

Console

1. Dans la console Google Cloud , accédez à la page Certificate Manager, puis cliquez sur l'onglet Cartes de certificats.

   Accéder à Certificate Manager

2. Dans la liste des mappages de certificats, cliquez sur celui dont vous avez besoin. La page Détails du mappage de certificat s'ouvre.

3. Cliquez sur Supprimer, puis sur Supprimer.

gcloud

Pour supprimer une carte de certificats, utilisez la commande gcloud certificate-manager maps delete :

gcloud certificate-manager maps delete CERTIFICATE_MAP_NAME

Remplacez les éléments suivants :

• CERTIFICATE_MAP_NAME : nom du mappage de certificats

API

Pour supprimer le mappage de certificats, envoyez une requête DELETE à la méthode certificateMaps.delete :

DELETE /v1/projects/PROJECT_ID/locations/global/certificateMaps/CERTIFICATE_MAP_NAME

Remplacez les éléments suivants :

• PROJECT_ID : ID de votre projet Google Cloud
• CERTIFICATE_MAP_NAME : nom du mappage de certificats

Étapes suivantes

• Gérer les certificats
• Gérer les entrées de mappage de certificats
• Gérer les autorisations DNS
• Gérer les ressources de configuration d'émission de certificats