Neste documento, listamos as cotas e os limites do sistema que se aplicam ao Certificate Manager.
- As cotas têm valores definidos por padrão, mas geralmente é possível solicitar ajustes.
- Os limites do sistema são valores fixos que não podem ser alterados.
OGoogle Cloud usa cotas para garantir a distribuição justa e reduzir sobrecargas no uso e na disponibilidade dos recursos. Uma cota restringe a alocação de um recurso doGoogle Cloud para uso do seu projeto do Google Cloud . As cotas se aplicam a vários tipos de recursos, incluindo hardware, software e componentes de rede. Por exemplo, elas podem restringir o número de chamadas de API para um serviço, o número de balanceadores de carga usados simultaneamente pelo projeto ou o número de projetos que podem ser criados. As cotas protegem a comunidade de usuários doGoogle Cloud , impedindo a sobrecarga de serviços. Elas também ajudam você a gerenciar seus próprios recursos do Google Cloud .
O sistema de cotas do Cloud faz o seguinte:
- Monitora o consumo de produtos e serviços do Google Cloud .
- Restringe o consumo desses recursos.
- Possibilita a solicitação de mudanças no valor das cotas e a automatização de ajustes de cotas.
Na maioria dos casos, quando você tenta consumir mais de um recurso do que a cota permite, o sistema bloqueia o acesso ao recurso, e a tarefa que você está tentando executar falha.
As cotas geralmente se aplicam ao nível do projeto do Google Cloud . O uso de um recurso em um projeto não afeta a cota disponível em outro. Em um projeto do Google Cloud , as cotas são compartilhadas entre todos os aplicativos e endereços IP.
Saiba mais em Visão geral das cotas do Cloud.
Também há limites de sistemas nos recursos do Certificate Manager. Os limites do sistema não podem ser alterados.
O uso do Certificate Manager é regido pelos seguintes tipos de cotas:
As cotas de taxa determinam a rapidez com que você pode chamar a API Certificate Manager, além de criar e acessar recursos do Certificate Manager.
As cotas de recursos determinam a quantidade total de recursos do Gerenciador de Certificados que podem ser criados no projeto do Google Cloud .
Para saber como trabalhar com cotas, incluindo etapas para aumentá-las e configurar o monitoramento e os alertas de métricas de cota, consulte a documentação sobre as cotas do Cloud.
cotas de taxa.
A tabela a seguir lista as cotas de taxa do Certificate Manager.
| Item | Cota padrão | Descrição |
|---|---|---|
| Solicitações de API | 300 por minuto | Todas as chamadas para a API Certificate Manager |
| Solicitações de leitura | 300 por minuto | Chamadas GET e LIST para a API Certificate Manager |
| Solicitações de gravação | 300 por minuto | Chamadas CREATE, PATCH e DELETE para a API Certificate Manager |
Cotas e limites de recursos
A tabela a seguir lista as cotas e os limites de recursos para certificados do Certificate Manager.
| Item | Cotas e limites padrão | Descrição |
|---|---|---|
| Certificados gerenciados pelo Google | 1000 | Número total de certificados gerenciados pelo Google no projeto do Google Cloud |
| Certificados regionais gerenciados pelo Google | 100 | Número total de certificados regionais gerenciados pelo Google por região no projeto Google Cloud |
| Certificados autogerenciados | 1000 | Número total de certificados autogerenciados no projeto do Google Cloud |
| Certificados regionais autogerenciados | 100 | Número total de certificados regionais autogerenciados por região no projeto do Google Cloud |
| Mapas de certificados | 100 | Número total de mapas de certificados no projeto do Google Cloud |
| Itens no mapa de certificados | 5.000 | Número total de itens no mapa de certificados no projeto do Google Cloud |
| Recursos associados a um certificado | Limite: 100 | Número total de recursos, como itens no mapa de certificados e proxies de destino, associados a um certificado. |
| Certificados por item no mapa de certificados | Limite: 4 | Número total de certificados que podem ser anexados a um item no mapa de certificados |
| Certificados por proxy de destino | Limite: 100 | Número total de certificados que podem ser anexados diretamente a um proxy HTTPS de destino |
| Mapa de certificados por proxy de destino | Limite: 1 | Número total de mapas de certificados que podem ser anexados a um proxy HTTPS de destino |
| Autorizações de DNS | 1000 | Número total de autorizações de DNS no projeto Google Cloud |
| Autorizações de DNS regionais | 300 | Número total de autorizações de DNS regionais por região no projeto do Google Cloud |
| Configurações de emissão de certificados | 100 | Número total de configurações de emissão de certificados no projeto do Google Cloud |
| Configurações regionais de emissão de certificados | 5 | Número total de configurações de emissão de certificados regionais por região no projeto do Google Cloud |
| Tamanho da configuração de confiança | 10000 | Tamanho total de todas as configurações de confiança globais no projeto do Google Cloud . Para saber como o tamanho é calculado, consulte Cálculo do tamanho da configuração de confiança. |
| Tamanho da configuração de confiança regional | 10000 | Tamanho total das configurações de confiança regionais por região no projeto do Google Cloud . Para saber como o tamanho é calculado, consulte Cálculo do tamanho da configuração de confiança. |
| Tipos de chave compatíveis com certificados autogerenciados |
|
|
| Tipo de chave compatível com certificados gerenciados pelo Google publicamente confiáveis | RSA-2048 | |
| Tipos de chave compatíveis com certificados gerenciados pelo Google com confiança particular |
|
Limitações de comprimento do nome de domínio para certificados gerenciados pelo Google
A tabela a seguir lista as limitações de comprimento do nome de domínio específicas para certificados gerenciados pelo Google no Gerenciador de Certificados. Não é possível aumentar esses limites.
| Item | Limite de caracteres |
|---|---|
| Domínio único usando a autorização do balanceador de carga | 253 |
| Domínio único usando autorização de DNS | 237 |
| Domínio único usando autorização de DNS por projeto com a CA do Google | 220 |
| Comprimento total de todos os domínios em um certificado (independentemente do método de autorização) | 6300 |
Outros limites de recursos para certificados gerenciados pelo Google
A tabela a seguir lista outros limites de recursos específicos para certificados gerenciados pelo Google no Gerenciador de Certificados. Não é possível aumentar esses limites.
| Item | Limite | Descrição |
|---|---|---|
| Domínios por certificado com autorização do balanceador de carga | 5 | Número máximo de domínios permitidos por certificado gerenciado pelo Google com autorização do balanceador de carga. |
| Domínios por certificado com autorização de DNS | 100 | Número máximo de domínios permitidos por certificado gerenciado pelo Google com autorização de DNS. |
Cotas de solicitação adicionais para operações do Public CA
As cotas para operações do Public CA são independentes das cotas que regem as operações do Gerenciador de Certificados em certificados gerenciados pelo Google. Elas também são independentes de outras cotas que regem as operações em certificados gerenciados pelo Google realizadas por outros produtos do Google Cloud .
O Gerenciador de Certificados aplica os limites de cota listados nesta seção para operações do Public CA. Lembre-se das seguintes diretrizes:
- O Certificate Manager pode limitar a taxa de solicitações por minuto.
- O Certificate Manager pode retornar o código de resposta HTTP 429 solicitando que um cliente ACME tente novamente uma solicitação depois de aguardar alguns segundos. Os clientes ACME precisam
aceitar esse código de resposta e respeitar o cabeçalho
Retry-Afterque o Gerenciador de Certificados envia com a resposta.
Os ambientes de produção e de preparo têm os mesmos limites, mas são independentes um do outro. As solicitações para o ambiente de produção e o ambiente de preparo consomem apenas as respectivas cotas.
Cotas de solicitação do Public CA
A tabela a seguir lista as cotas de solicitação da Public CA que se aplicam às operações de gerenciamento de certificados ACME.
| Cota | Limite padrão | Descrição |
|---|---|---|
| Solicitar um certificado ( newOrder) |
100 por hora | Número máximo de solicitações de novos certificados |
| Criar uma conta ACME ( newAccount) |
25 por minuto, 100 por hora | Número máximo de solicitações de criação de conta |
| Criar uma autorização ( newAuthz) |
300 por hora | Número máximo de solicitações de criação de autorização |
| Sondar uma autorização ( authz) |
600 por minuto | Número máximo de solicitações de sondagem de autorização |
| Verificar ou consultar um desafio ( challenge) |
100 por minuto | Número máximo de solicitações de verificação ou sondagem de desafio |
| Pesquisar emissão de certificado ( cert) |
50 por minuto | Número máximo de solicitações de sondagem de emissão de certificado |
| Revogar certificado ( revokeCert) |
25 por 30s | Número máximo de solicitações de revogação de certificado |
Configuração de confiança
Os limites documentados aqui não podem ser aumentados e se aplicam a balanceadores de carga de aplicativo clássicos e balanceadores de carga de aplicativo externos globais.
| Item | Cotas e limites | Observações |
|---|---|---|
| Número de repositórios de confiança | Limite: 1 | Esse limite é definido pelo recurso TrustConfig. |
| Número combinado de âncoras de confiança e certificados intermediários | Limite: 200 | Esse limite é por repositório de confiança. |
| Número de certificados intermediários | Limite: 100 | Esse limite é por repositório de confiança. |
| Número de restrições de nome permitidas durante a validação de certificados raiz e intermediários | Limite: 10 | |
| Certificados intermediários que compartilham as mesmas informações de Assunto e de Chave pública do assunto | Limite: 10 | Esse limite é por repositório de confiança. |
| Profundidade da cadeia de certificados | Limite: 10 | A profundidade máxima de uma cadeia de certificados, incluindo os certificados raiz e do cliente. |
| Número de vezes que os certificados intermediários podem ser avaliados ao tentar criar a cadeia de confiança | Limite: 100 | |
| Tipos de chave compatíveis |
|
|
| Número de certificados na lista de permissões (`allowlistedCertificates`) | Limite: 500 |
Cálculo do tamanho da configuração de confiança
As cotas a seguir monitoram o limite de tamanho das configurações de confiança:
certificatemanager.googleapis.com/trust-config-sizepara configurações de confiança globais.certificatemanager.googleapis.com/regional-trust-config-sizepara configurações de confiança regionais.
O Gerenciador de Certificados determina o uso da cota de uma configuração de confiança com base no tamanho total dela e o calcula usando as seguintes regras:
- PEMs de certificado: cada certificado de Privacy-Enhanced Mail (PEM) que você inclui como uma âncora de confiança ou um certificado de CA intermediário usa uma unidade de cota para cada 1 kB de tamanho, arredondado para o 1 kB mais próximo.
Certificados na lista de permissões: cada 32 certificados na lista de permissões (arredondados para cima) usam uma unidade de cota.
Domínios de confiança do Secure Production Identity Framework for Everyone (SPIFFE): a cada quatro domínios de confiança do SPIFFE (arredondados para cima), uma unidade de cota é usada.
Sobrecarga: cada configuração de confiança usa uma sobrecarga constante de duas unidades de cota, mesmo que a configuração de confiança esteja vazia.
Exemplos
- Um recurso
TrustConfigvazio usa duas unidades de cota. - Um recurso
TrustConfigpequeno (certificado único de 3 kB) usa 5 unidades de cota (3 para o certificado + 2 de sobrecarga). - Um recurso
TrustConfigcomplexo usa:- 4 certificados com tamanhos de 3,5 kB, 5 kB, 4,5 kB e 6 kB: (4 + 5 + 5 + 6) = 20 unidades de cota.
- 10 certificados na lista de permissões: 1 unidade de cota.
- 5 domínios de confiança SPIFFE: 2 unidades de cota.
- Sobrecarga constante: 2 unidades de cota.
- Uso total da cota: 20 + 1 + 2 + 2 = 25 unidades de cota.