Visão geral do Gerenciador de certificados

O Gerenciador de certificados simplifica a aquisição, a implantação e o gerenciamento de certificados Transport Layer Security (TLS). O Gerenciador de certificados oferece suporte à implantação de certificados globais e regionais em Google Cloud balanceadores de carga, certificados regionais em proxies do Secure Web Proxy e certificados globais na Media CDN.

Balanceadores de carga compatíveis

Google Cloud Os balanceadores de carga que se referem a um proxy HTTPS de destino ou a um proxy SSL de destino (TargetSslProxy) usam certificados TLS para criptografar informações enviadas pela rede.

Para usar o Certificate Manager, o balanceador de carga precisa ser compatível com o nível de serviço de rede correspondente. Para uma análise detalhada dos tipos de balanceador de carga e do suporte ao nível de serviço de rede, consulte Resumo dos Google Cloud balanceadores de carga.

A tabela a seguir mostra quais métodos de configuração de certificado cada balanceador de carga oferece suporte.

Balanceador de carga Método de configuração de certificado
Gerenciador de certificados (mapa de certificados) Gerenciador de certificados (certificados individuais)
Balanceadores de carga de aplicativo (proxies HTTPS de destino)
Balanceador de carga de aplicativo externo global Autogerenciado
Gerenciado pelo Google
Balanceador de carga de aplicativo clássico Autogerenciado
Gerenciado pelo Google
Balanceador de carga de aplicativo externo regional Autogerenciado
Gerenciado pelo Google
Balanceador de carga de aplicativo interno regional Autogerenciado
Gerenciado pelo Google
Balanceador de carga de aplicativo interno entre regiões Autogerenciado
Gerenciado pelo Google
Balanceadores de carga de rede de proxy (proxies SSL de destino)
Balanceador de carga de rede de proxy externo global Autogerenciado
Gerenciado pelo Google
Balanceador de carga de rede de proxy clássico Autogerenciado
Gerenciado pelo Google

Para mais informações sobre as diferenças entre os tipos de proxy HTTPS e SSL de destino, consulte Proxies de destino.

Certificados TLS compatíveis

O Certificate Manager oferece suporte aos seguintes tipos de certificados TLS:

  • Certificados gerenciados pelo Google: certificados que Google Cloud o Google recebe e gerencia para você. Usando o Gerenciador de certificados, é possível emitir e renovar automaticamente certificados gerenciados pelo Google. Se você quiser usar sua própria cadeia de confiança em vez de depender de autoridades de certificação (ACs) públicas para emitir seus certificados, configure o Gerenciador de certificados para usar um pool de ACs do Certificate Authority Service como o emissor de certificados.

  • Certificados autogerenciados: certificados que você recebe, provisiona e renova. Você faz upload dos certificados manualmente para o Gerenciador de certificados e os gerencia. É possível usar certificados emitidos por ACs de terceiros ou ACs confiáveis ou seus próprios certificados autoassinados.

Para mais informações sobre os certificados compatíveis, consulte Certificados.

Benefícios

O Certificate Manager oferece os seguintes benefícios:

Automação

  • Emita, renove e gerencie automaticamente certificados gerenciados pelo Google.
  • Provisione certificados gerenciados pelo Google com antecedência para permitir migrações perfeitas e sem tempo de inatividade para Google Cloud.

Segurança

  • Armazene e implante milhões de certificados com segurança.
  • Proteja suas configurações com certificados gerenciados pelo Google, eliminando a necessidade de gerenciar chaves privadas de certificado.
  • Implemente a autenticação TLS mútua (mTLS) no balanceador de carga para aumentar a segurança. Para mais informações, consulte Visão geral do TLS mútuo na documentação do Cloud Load Balancing.

Flexibilidade

  • Verifique a propriedade dos domínios usando métodos de autorização baseados em DNS ou em balanceador de carga.
  • Escolha entre certificados gerenciados pelo Google (processados automaticamente pelo Google) ou certificados autogerenciados (obtidos e gerenciados de forma independente).
  • Use o protocolo ACME para receber certificados confiáveis publicamente para endpoints gerenciados pela Public Certificate Authority. Para mais informações, consulte Public CA.
  • Gerencie todos os certificados de maneira unificada usando o Google Cloud console, a Google Cloud CLI ou a API Certificate Manager.
  • Controle a atribuição e a seleção de certificados com base em nomes de domínio. Isso permite gerenciar e veicular um número maior de certificados do que com os certificados SSL do Compute Engine.
  • Controle a atribuição e a seleção de certificados com base em nomes de host em um nível granular.

Limitações

O Certificate Manager tem as seguintes limitações:

  • O Certificate Manager oferece suporte apenas à Public Certificate Authority e à AC Let's Encrypt para emitir certificados gerenciados pelo Google confiáveis publicamente.
  • O Gerenciador de certificados oferece suporte apenas ao Certificate Authority Service para emitir certificados gerenciados pelo Google confiáveis de forma privada.
  • O número de domínios permitidos no campo Nomes alternativos do assunto (SANs, na sigla em inglês) para certificados gerenciados pelo Google é limitado a um máximo de 100 ao usar a autorização de DNS e a um máximo de cinco ao usar a autorização do balanceador de carga.
  • Os certificados gerenciados pelo Google têm limitações no comprimento dos nomes de domínio compatíveis. Para mais informações, consulte Limitações de comprimento de nome de domínio para certificados gerenciados pelo Google.
  • Os certificados com o escopo ALL_REGIONS não oferecem suporte à autorização do balanceador de carga.
  • Ao usar um balanceador de carga de aplicativo externo global ou um balanceador de carga de rede de proxy externo global baseado em SSL, você poderá ter latências de handshake TLS mais altas em alguns locais com o Certificate Manager em comparação com o uso de certificados SSL do Compute Engine.

Certificate Manager (2ª geração)

O Certificate Manager também oferece um produto de segunda geração chamado Certificate Manager (2ª geração). Para informações sobre os recursos e as funcionalidades da próxima geração desse produto, consulte Visão geral do Certificate Manager (2ª geração).

A seguir