配額與限制

這份文件列出 Certificate Manager 適用的配額和系統限制。

  • 「配額」有預設值，但通常可以申請調整。
  • 「系統限制」是固定值，無法變更。

Google Cloud 使用配額來確保公平性，並減少資源使用量和可用性出現劇烈波動的情況。配額會限制 Google Cloud 專案可使用的Google Cloud 資源數量，配額適用多種資源類型，包括硬體、軟體和網路元件。舉例來說，配額可能會限制能向特定服務發出的 API 呼叫次數、專案可同時使用的負載平衡器數量，或是可建立的專案數量。配額機制可防止服務過載，保障Google Cloud 使用者社群的權益，同時也有助於您管理自己的 Google Cloud 資源。

Cloud Quotas 系統具備以下功能：

如果嘗試使用的資源量超過配額限制，系統通常會阻擋該資源的存取活動，您所執行的工作就會失敗。

配額的計算通常是以 Google Cloud 專案為基準。在某個專案中使用資源，不會影響另一個專案的可用配額。在同一個 Google Cloud 專案內，所有應用程式和 IP 位址會共用配額。

詳情請參閱「Cloud Quotas 總覽」。

Certificate Manager 資源也設有系統限制。而且無法變更。

使用 Certificate Manager 時，須遵守下列配額類型：

  • 頻率配額決定呼叫 Certificate Manager API，以及建立和存取 Certificate Manager 資源的速度。

  • 資源配額決定您可在 Google Cloud 專案中建立的 Certificate Manager 資源總量。

如要進一步瞭解如何使用配額 (包括提高配額的步驟)，以及如何設定配額指標的監控和警告功能，請參閱 Cloud Quotas 說明文件。

頻率配額

下表列出 Certificate Manager 的頻率配額。

項目 預設配額 說明
API 要求 每分鐘 300 次 所有對 Certificate Manager API 的呼叫
讀取要求數 每分鐘 300 次 對 Certificate Manager API 的 GET 和 LIST 呼叫
寫入要求 每分鐘 300 次 對 Certificate Manager API 執行 CREATE、PATCH 和 DELETE 呼叫

資源配額和限制

下表列出 Certificate Manager 憑證的資源配額和限制。

項目 預設配額和限制 說明
Google 代管憑證 1000 Google Cloud 專案中由 Google 代管的憑證總數
區域性 Google 代管憑證 100 Google Cloud 專案中，每個區域的 Google 代管區域憑證總數
自行管理的憑證 1000 Google Cloud 專案中的自行管理憑證總數
區域性自行管理的憑證 100 Google Cloud 專案中，各區域的區域自行管理憑證總數
憑證對應組合 100 Google Cloud 專案中的憑證對應組合總數
憑證對應關係 5000 Google Cloud 專案中的憑證對應關係總數
與憑證相關聯的資源 上限：100 與憑證相關聯的資源總數，例如憑證對應關係和目標 Proxy。
每個憑證對應關係項目的憑證數量 上限：4 可附加至憑證對應關係的憑證總數
每個目標 Proxy 的憑證數量 上限：100 可直接附加至目標 HTTPS Proxy 的憑證總數
每個目標 Proxy 的憑證對應組合 限制：1 可附加至目標 HTTPS Proxy 的憑證對應組合總數
DNS 授權 1000 Google Cloud 專案中的 DNS 授權總數
區域 DNS 授權 300 Google Cloud 專案中，每個區域的區域 DNS 授權總數
憑證核發設定 100 Google Cloud 專案中的憑證核發設定總數
區域憑證核發設定 5 Google Cloud 專案中，各區域的區域憑證核發設定總數
信任設定大小 10000 Google Cloud 專案中所有全域信任設定的總大小。如要進一步瞭解大小的計算方式，請參閱「信任設定大小計算」。
區域信任設定大小 10000 Google Cloud 專案中，各區域的區域信任設定總大小。如要進一步瞭解大小的計算方式，請參閱「信任設定大小計算方式」。
自行管理憑證支援的金鑰類型
  • RSA-2048
  • RSA-3072
  • RSA-4096
  • ECDSA P-256
  • ECDSA P-384
公開信任的 Google 代管憑證支援的金鑰類型 RSA-2048
私人信任 Google 代管憑證支援的金鑰類型
  • RSA-2048
  • ECDSA P-256

Google 代管憑證的網域名稱長度限制

下表列出 Certificate Manager 中 Google 代管憑證的網域名稱長度限制。這些上限無法提高。

項目 字元限制
使用負載平衡器授權的單一網域 253
使用 DNS 授權的單一網域 237
單一網域使用 Google CA 的專案 DNS 授權 220
憑證中所有網域的總長度 (無論授權方法為何) 6300

Google 代管憑證的其他資源限制

下表列出 Certificate Manager 中 Google 代管憑證的其他資源限制。這些限制無法提高。

項目 限制 說明
每個憑證的網域數量 (使用負載平衡器授權) 5 每張 Google 代管憑證 (具備負載平衡器授權) 可設定的網域數量上限。
每個憑證的網域數量 (採用 DNS 授權) 100 每個 Google 代管憑證 (含 DNS 授權) 允許的網域數量上限。

公開 CA 作業的額外要求配額

公開 CA 作業的配額與 Certificate Manager 作業的 Google 代管憑證配額無關。此外，這些配額也與其他 Google Cloud 產品對 Google 代管憑證執行的作業配額無關。

Certificate Manager 會對公開 CA 作業強制執行本節列出的配額限制。請留意下列規定：

  • Certificate Manager 可限制每分鐘的要求頻率。
  • Certificate Manager 可能會傳回 HTTP 429 回應代碼，要求 ACME 用戶端等待幾秒後重試要求。ACME 用戶端必須支援這個回應代碼，並遵循 Certificate Manager 隨回應傳送的 Retry-After 標頭。

正式環境和測試環境的限制相同，但彼此獨立。對正式環境和測試環境提出的要求，只會耗用各自的配額。

公開 CA 要求配額

下表列出適用於 ACME 憑證管理作業的 Public CA 要求配額。

配額 預設限制 說明
要求提供認證
(newOrder)		 每小時 100 次 新憑證要求數量上限
建立 ACME 帳戶
(newAccount)		 每分鐘 25 次，每小時 100 次 帳戶建立要求數量上限
建立授權
(newAuthz)		 每小時 300 次 授權建立要求數量上限
輪詢授權
(authz)		 每分鐘 600 授權輪詢要求數量上限
驗證或輪詢驗證問題
(challenge)		 每分鐘 100 次 驗證或輪詢要求的挑戰次數上限
輪詢憑證核發
(cert)		 每分鐘 50 次 憑證核發輪詢要求數量上限
撤銷憑證
(revokeCert)		 每 30 秒 25 個 憑證撤銷要求數量上限

信任設定

此處列出的限制無法提高，且適用於傳統版應用程式負載平衡器和全域外部應用程式負載平衡器。

項目 配額與限制 附註
信任存放區數量 限制：1 這項限制適用於每項 TrustConfig 資源。
信任錨點和中繼憑證的總數 上限：200 這項限制適用於每個信任存放區。
中繼憑證數量 上限：100 這項限制適用於每個信任存放區。
驗證根憑證和中繼憑證時允許的名稱限制數量 上限：10
共用相同主體和主體公開金鑰資訊的中繼憑證 上限：10 這項限制適用於每個信任存放區。
憑證鏈結深度 上限：10 憑證鏈結的深度上限，包括根憑證和用戶端憑證。
嘗試建立信任鏈時，可評估中繼憑證的次數 上限：100
支援的金鑰類型
  • RSA-2048
  • RSA-3072
  • RSA-4096
  • ECDSA P-256
  • ECDSA P-384
許可清單中的憑證數量 (`allowlistedCertificates`) 上限：500

信任設定大小計算

下列配額會追蹤信任設定的大小限制：

  • certificatemanager.googleapis.com/trust-config-size：全域信任設定。
  • certificatemanager.googleapis.com/regional-trust-config-size：區域信任設定。

Certificate Manager 會根據信任設定的總大小，判斷其配額用量，並使用下列規則計算：

  1. 憑證 PEM：您加入做為信任錨點或中繼 CA 憑證的每個隱私權強化郵件 (PEM) 憑證，每 1 kB 的大小會使用 1 個配額單位，無條件進位至最接近的 1 kB。

  2. 許可清單中的憑證：許可清單中每 32 個憑證 (無條件進位) 會使用 1 個單位的配額。

  3. Secure Production Identity Framework for Everyone (SPIFFE) 信任網域：每 4 個 SPIFFE 信任網域 (無條件進位) 會使用 1 個配額單位。

  4. 負擔：每個信任設定都會使用 2 個單位的固定配額，即使信任設定空白也一樣。

範例

  • 空的 TrustConfig 資源會使用 2 個單位的配額。
  • 小型 TrustConfig 資源 (單一 3 kB 憑證) 會使用 5 個單位的配額 (憑證 3 個 + 負擔 2 個)。
  • 複雜的 TrustConfig 資源會使用：
    • 4 個憑證，大小分別為 3.5 kB、5 kB、4.5 kB 和 6 kB：(4 + 5 + 5 + 6) = 20 個配額單位。
    • 許可清單上有 10 個憑證：1 個配額單位。
    • 5 個 SPIFFE 信任網域：2 個配額單位。
    • 固定負擔：2 個配額單位。
    • 配額用量總計：20 + 1 + 2 + 2 = 25 個配額單位。