In diesem Dokument sind die Kontingente und Systemlimits für den Zertifikatmanager aufgeführt.
- Kontingente haben Standardwerte, aber Sie können in der Regel Anpassungen anfordern.
- Systemlimits sind feste Werte, die nicht geändert werden können.
Google Cloud nutzt Kontingente, um für Fairness zu sorgen und Spitzen bei der Ressourcennutzung und ‑verfügbarkeit zu reduzieren. Ein Kontingent schränkt ein, wie viel von einerGoogle Cloud Ressource Ihr Google Cloud Projekt nutzen kann. Kontingente gelten für eine Reihe von Ressourcentypen, einschließlich Hardware, Software und Netzwerkkomponenten. Mit Kontingenten können Sie beispielsweise die Anzahl der API-Aufrufe an einen Dienst, die Anzahl der von Ihrem Projekt nebenläufig verwendeten Load Balancer oder die Anzahl der Projekte begrenzen, die Sie erstellen können. Kontingente sollen eine Überlastung von Diensten verhindern und dadurch die Community derGoogle Cloud Nutzer schützen. Sie helfen Ihnen auch bei der Verwaltung Ihrer eigenen Google Cloud Ressourcen.
Das Cloud-Kontingentsystem tut Folgendes:
- Es überwacht Ihren Verbrauch von Google Cloud Produkten und Diensten.
- Es schränkt Ihren Verbrauch dieser Ressourcen ein.
- Es bietet eine Möglichkeit, Änderungen am Kontingentwert zu beantragen und Kontingentanpassungen zu automatisieren.
Wenn Sie versuchen, mehr von einer Ressource zu verbrauchen, als das Kontingent zulässt, blockiert das System in den meisten Fällen den Zugriff auf die Ressource. Die Aufgabe, die Sie auszuführen versuchen, schlägt dann fehl.
Kontingente gelten in der Regel auf Google Cloud Projektebene. Die Nutzung einer Ressource in einem Projekt hat keinen Einfluss auf das verfügbare Kontingent in einem anderen Projekt. Innerhalb eines Google Cloud Projekts werden die Kontingente für alle Anwendungen und IP-Adressen gemeinsam genutzt.
Weitere Informationen finden Sie unter Cloud-Kontingente – Übersicht.
Für Zertifikatmanager-Ressourcen gelten außerdem Systemlimits. Systemlimits können nicht geändert werden.
Ihre Nutzung des Zertifikatmanagers unterliegt den folgenden Kontingenttypen:
Ratenkontingente bestimmen, wie schnell Sie die Certificate Manager API aufrufen sowie Zertifikatmanager-Ressourcen erstellen und darauf zugreifen können.
Ressourcenkontingente bestimmen die Gesamtzahl der Zertifikatmanager-Ressourcen, die Sie in Ihrem Google Cloud -Projekt erstellen können.
Weitere Informationen zum Arbeiten mit Kontingenten, einschließlich Schritten zum Erhöhen von Kontingenten und zum Einrichten von Monitoring und Benachrichtigungen für Kontingentmesswerte, finden Sie in der Dokumentation zu Cloud-Kontingenten.
Ratenkontingente
In der folgenden Tabelle sind die Ratenkontingente für den Zertifikatmanager aufgeführt.
| Element | Standardkontingent | Beschreibung |
|---|---|---|
| API-Anfragen | 300 pro Minute | Alle Aufrufe der Certificate Manager API |
| Leseanfragen | 300 pro Minute | GET- und LIST-Aufrufe an die Certificate Manager API |
| Schreibanfragen | 300 pro Minute | CREATE-, PATCH- und DELETE-Aufrufe an die Certificate Manager API |
Ressourcenkontingente und -limits
In der folgenden Tabelle sind die Ressourcenkontingente und Limits für Zertifikate des Zertifikatmanagers aufgeführt.
| Element | Standardkontingente und -limits | Beschreibung |
|---|---|---|
| Von Google verwaltete Zertifikate | 1000 | Gesamtzahl der von Google verwalteten Zertifikate im Projekt Google Cloud |
| Regionale, von Google verwaltete Zertifikate | 100 | Gesamtzahl der regionalen, von Google verwalteten Zertifikate pro Region im Projekt Google Cloud |
| Selbstverwaltete Zertifikate | 1000 | Gesamtzahl der selbstverwalteten Zertifikate im Projekt Google Cloud |
| Regionale selbstverwaltete Zertifikate | 100 | Gesamtzahl der regionalen selbstverwalteten Zertifikate pro Region im Projekt Google Cloud |
| Zertifikatszuordnungen | 100 | Gesamtzahl der Zertifikatszuordnungen im Projekt Google Cloud |
| Zertifikatszuordnungseinträge | 5.000 | Gesamtzahl der Zertifikatszuordnungseinträge im Projekt Google Cloud |
| Mit einem Zertifikat verknüpfte Ressourcen | Limit: 100 | Gesamtzahl der Ressourcen, z. B. Zertifikatszuordnungseinträge und Ziel-Proxys, die mit einem Zertifikat verknüpft sind. |
| Zertifikate pro Zertifikatszuordnungseintrag | Limit: 4 | Gesamtzahl der Zertifikate, die Sie an einen Zertifikatszuordnungseintrag anhängen können |
| Zertifikate pro Ziel-Proxy | Limit: 100 | Gesamtzahl der Zertifikate, die Sie direkt an einen Ziel-HTTPS-Proxy anhängen können |
| Zertifikatszuordnung pro Ziel-Proxy | Limit: 1 | Gesamtzahl der Zertifikatszuordnungen, die Sie an einen HTTPS-Zielproxy anhängen können |
| DNS-Autorisierungen | 1000 | Gesamtzahl der DNS-Autorisierungen im Projekt Google Cloud |
| Regionale DNS-Autorisierungen | 300 | Gesamtzahl der regionalen DNS-Autorisierungen pro Region im Projekt Google Cloud |
| Konfigurationen von Zertifikatsausstellungen | 100 | Gesamtzahl der Konfigurationen für die Zertifikatsausstellung im Projekt Google Cloud |
| Regionale Konfigurationen für die Zertifikatsausstellung | 5 | Gesamtzahl der regionalen Konfigurationen für die Zertifikatsausstellung pro Region im Projekt Google Cloud |
| Größe der Vertrauenskonfiguration | 10.000 | Gesamtgröße aller globalen Vertrauenskonfigurationen im Projekt Google Cloud . Weitere Informationen zur Berechnung der Größe finden Sie unter Größe der Vertrauenskonfiguration berechnen. |
| Größe der regionalen Vertrauenskonfiguration | 10.000 | Gesamtgröße der regionalen Vertrauenskonfigurationen pro Region im Projekt Google Cloud . Weitere Informationen zur Berechnung der Größe finden Sie unter Größe der Vertrauenskonfiguration berechnen. |
| Unterstützte Schlüsseltypen für selbstverwaltete Zertifikate |
|
|
| Unterstützter Schlüsseltyp für öffentlich vertrauenswürdige, von Google verwaltete Zertifikate | RSA-2048 | |
| Unterstützte Schlüsseltypen für privat vertrauenswürdige, von Google verwaltete Zertifikate |
|
Längenbeschränkungen für Domainnamen bei von Google verwalteten Zertifikaten
In der folgenden Tabelle sind die Längenbeschränkungen für Domainnamen aufgeführt, die für von Google verwaltete Zertifikate im Zertifikatmanager gelten. Diese Limits können nicht erhöht werden.
| Element | Zeichenbeschränkung |
|---|---|
| Einzelne Domain mit Load-Balancer-Autorisierung | 253 |
| Einzelne Domain mit DNS-Autorisierung | 237 |
| Einzelne Domain mit DNS-Autorisierung pro Projekt mit Google-Zertifizierungsstelle | 220 |
| Gesamtlänge aller Domains in einem Zertifikat (unabhängig von der Autorisierungsmethode) | 6300 |
Zusätzliche Ressourcenlimits für von Google verwaltete Zertifikate
In der folgenden Tabelle sind zusätzliche Ressourcenlimits aufgeführt, die für von Google verwaltete Zertifikate im Zertifikatmanager gelten. Diese Limits können nicht erhöht werden.
| Element | Limit | Beschreibung |
|---|---|---|
| Domains pro Zertifikat mit Load Balancer-Autorisierung | 5 | Maximale Anzahl von Domains, die pro von Google verwaltetem Zertifikat mit Load-Balancer-Autorisierung zulässig sind. |
| Domains pro Zertifikat mit DNS-Autorisierung | 100 | Maximale Anzahl von Domains, die pro von Google verwaltetem Zertifikat mit DNS-Autorisierung zulässig sind. |
Zusätzliche Anfragekontingente für Public CA-Vorgänge
Kontingente für Public CA-Vorgänge sind unabhängig von Kontingenten für Zertifikatmanager-Vorgänge für von Google verwaltete Zertifikate. Sie sind auch unabhängig von anderen Kontingenten, die für Vorgänge mit von Google verwalteten Zertifikaten gelten, die von anderen Google Cloud -Produkten ausgeführt werden.
Der Zertifikatmanager erzwingt die in diesem Abschnitt aufgeführten Kontingentlimits für Vorgänge der Public CA. Beachten Sie die folgenden Richtlinien:
- Der Zertifikatmanager kann die Anzahl der Anfragen pro Minute begrenzen.
- Der Zertifikatmanager kann den HTTP-Antwortcode 429 zurückgeben und einen ACME-Client auffordern, eine Anfrage nach einigen Sekunden noch einmal zu senden. Ihre ACME-Clients müssen diesen Antwortcode unterstützen und den Header
Retry-Afterberücksichtigen, den der Zertifikatmanager mit der Antwort sendet.
Für die Produktions- und die Staging-Umgebung gelten dieselben Limits, sie sind jedoch voneinander unabhängig. Anfragen an die Produktionsumgebung und die Staging-Umgebung verbrauchen nur die jeweiligen Kontingente.
Anfragekontingente für Public CA
In der folgenden Tabelle sind die Kontingente für Public CA-Anfragen aufgeführt, die für ACME-Zertifikatsverwaltungsvorgänge gelten.
| Kontingent | Standardlimit | Beschreibung |
|---|---|---|
| Zertifikat anfordern ( newOrder) |
100 pro Stunde | Maximale Anzahl neuer Zertifikatsanfragen |
| ACME-Konto erstellen ( newAccount) |
25 pro Minute, 100 pro Stunde | Maximale Anzahl von Anfragen zur Kontoerstellung |
| Autorisierung erstellen ( newAuthz) |
300 pro Stunde | Maximale Anzahl von Anfragen zur Erstellung von Autorisierungen |
| Autorisierung abfragen ( authz) |
600 pro Minute | Maximale Anzahl von Autorisierungsabfragen |
| Challenge überprüfen oder abfragen ( challenge) |
100 pro Minute | Maximale Anzahl von Bestätigungs- oder Abrufanfragen für die Challenge |
| Zertifikatsausstellung abfragen ( cert) |
50 pro Minute | Maximale Anzahl von Abrufanfragen für die Zertifikatsausstellung |
| Zertifikat widerrufen ( revokeCert) |
25 pro 30 Sek. | Maximale Anzahl von Anfragen zum Widerruf von Zertifikaten |
Konfiguration der Vertrauensstellung
Die hier dokumentierten Limits können nicht erhöht werden und gelten für klassische Application Load Balancer und für globale externe Application Load Balancer.
| Element | Kontingente und Limits | Hinweise |
|---|---|---|
| Anzahl der vertrauenswürdigen Shops | Limit: 1 | Dieses Limit gilt pro TrustConfig-Ressource. |
| Kombinierte Anzahl von Trust-Ankern und Zwischenzertifikaten | Limit: 200 | Dieses Limit gilt pro Trust-Anchor. |
| Anzahl der Zwischenzertifikate | Limit: 100 | Dieses Limit gilt pro Trust Store. |
| Anzahl der Namenseinschränkungen, die bei der Validierung von Stamm- und Zwischenzertifikaten zulässig sind | Limit: 10 | |
| Zwischenzertifikate, die dieselben Informationen zum Subjekt und zum öffentlichen Schlüssel des Subjekts haben | Limit: 10 | Dieses Limit gilt pro Trust-Anchor. |
| Tiefe der Zertifikatskette | Limit: 10 | Die maximale Tiefe für eine Zertifikatskette, einschließlich der Root- und Clientzertifikate. |
| Die Häufigkeit, mit der Zwischenzertifikate ausgewertet werden können, wenn versucht wird, die Vertrauenskette zu erstellen | Limit: 100 | |
| Unterstützte Schlüsseltypen |
|
|
| Anzahl der Zertifikate auf der Zulassungsliste (`allowlistedCertificates`) | Limit: 500 |
Berechnung der Größe der Konfiguration der Vertrauensstellung
Die folgenden Kontingente erfassen das Größenlimit für Vertrauenskonfigurationen:
certificatemanager.googleapis.com/trust-config-sizefür globale Konfigurationen von Vertrauensstellungen.certificatemanager.googleapis.com/regional-trust-config-sizefür regionale Vertrauenskonfigurationen.
Der Zertifikatmanager bestimmt die Kontingentnutzung einer Vertrauenskonfiguration anhand ihrer Gesamtgröße und berechnet sie anhand der folgenden Regeln:
- Zertifikats-PEMs: Für jedes PEM-Zertifikat (Privacy-Enhanced Mail), das Sie als Trust-Anchor oder Zwischen-CA-Zertifikat einfügen, wird 1 Kontingenteinheit pro 1 kB Größe verwendet, aufgerundet auf die nächsten 1 kB.
Zertifikate auf der Zulassungsliste: Je 32 Zertifikate auf der Zulassungsliste (aufgerundet) verbrauchen 1 Kontingenteinheit.
SPIFFE-Vertrauensdomänen (Secure Production Identity Framework for Everyone): Alle 4 SPIFFE-Vertrauensdomänen (aufgerundet) wird 1 Kontingenteinheit verwendet.
Overhead: Jede Trust-Konfiguration verwendet einen konstanten Overhead von 2 Kontingenteinheiten, auch wenn die Trust-Konfiguration leer ist.
Beispiele
- Eine leere
TrustConfig-Ressource verbraucht 2 Kontingenteinheiten. - Eine kleine
TrustConfig-Ressource (ein einzelnes 3-kB-Zertifikat) verbraucht 5 Kontingenteinheiten (3 für das Zertifikat und 2 für den Overhead). - Eine komplexe
TrustConfig-Ressource verwendet:- 4 Zertifikate mit den Größen 3,5 kB, 5 kB, 4,5 kB und 6 kB: (4 + 5 + 5 + 6) = 20 Kontingenteinheiten.
- 10 Zertifikate auf der Zulassungsliste: 1 Kontingenteinheit.
- 5 SPIFFE-Vertrauensdomänen: 2 Kontingenteinheiten.
- Konstanter Overhead: 2 Kontingenteinheiten.
- Gesamtkontingentnutzung: 20 + 1 + 2 + 2 = 25 Kontingenteinheiten.