מכסות ומגבלות

במאמר הזה מוסבר על מכסות ומגבלות המערכת של Certificate Manager.

• המכסות נקבעות כברירת מחדל, אבל בדרך כלל אפשר לבקש לשנות אותן.
• מגבלות המערכת קבועות ואי אפשר לשנות אותן.

המכסות שלGoogle Cloud עוזרות לשמור על הוגנות ולצמצם עליות חדות בשימוש במשאבים ובזמינות שלהם. הן מגבילות את כמות המשאבים שלGoogle Cloud שאפשר להשתמש בהם בפרויקט ב- Google Cloud . המכסות רלוונטיות למגוון רחב של סוגי משאבים, כולל רכיבי חומרה, תוכנה ורשתות. לדוגמה, המכסות יכולות להגביל את מספר הקריאות ל-API בשירות מסוים, את מספר מאזני העומסים שאפשר להשתמש בהם בו-זמנית בפרויקט או את מספר הפרויקטים שאפשר ליצור. בשורה התחתונה, המכסות מגינות על משתמשיGoogle Cloud בכך שהן מונעות עומס יתר על השירותים, אבל גם עוזרות לשלוט על השימוש במשאבי Google Cloud .

מערכת המכסות ב-Cloud:

• עוקבת אחרי השימוש במוצרים ובשירותים של Google Cloud
• מגבילה את השימוש במשאבים האלה
• כוללת כלי שבאמצעותו אפשר לשלוח בקשות לשינוי המכסות ולשנות אותן אוטומטית

ברוב המקרים, כשאתם מנסים להשתמש ביותר משאבים מהמכסה, הגישה למשאב נחסמת ומה שאתם מנסים לעשות נכשל.

בדרך כלל, המכסות ב- Google Cloud הן ברמת הפרויקט. כלומר, השימוש במשאב מסוים בפרויקט כלשהו לא משפיע על המכסה שלכם בפרויקטים אחרים. ברמת הפרויקט ב- Google Cloud , המכסות משותפות לכל האפליקציות וכתובות ה-IP.

לסקירה כללית על מכסות ב-Cloud

למשאבי Certificate Manager יש גם מגבלות מערכת. שאי אפשר לשנות.

השימוש ב-Certificate Manager כפוף לסוגי המכסות הבאים:

• מכסות לקצב הגשת בקשות קובעות את המהירות שבה אפשר לשלוח קריאות ל-Certificate Manager API, וגם ליצור משאבים של Certificate Manager ולגשת אליהם.

• מכסות המשאבים קובעות את הכמות הכוללת של משאבי Certificate Manager שאפשר ליצור בפרויקט ב- Google Cloud .

במאמרי העזרה בנושא מכסות ב-Cloud מוסבר איך עובדים עם מכסות, כולל איך מגדילים אותן ואיך מגדירים מעקב והתראות לגבי מדדי המכסות.

מכסות לקצב שליחת בקשות

בטבלה הבאה מפורטות מכסות לקצב הגשת בקשות של Certificate Manager.

פריט	מכסת ברירת המחדל	תיאור
בקשות API	‫300 לדקה	כל הקריאות ל-Certificate Manager API
בקשות קריאה	‫300 לדקה	GET ו-LIST קריאות ל-Certificate Manager API
בקשות כתיבה	300 לדקה	קריאות מסוג CREATE,‏ PATCH ו-DELETE ל-Certificate Manager API

מכסות ומגבלות של משאבים

בטבלה הבאה מפורטות מכסות המשאבים והמגבלות של אישורים ב-Certificate Manager.

פריט	מכסות ומגבלות שמוגדרות כברירת מחדל	תיאור
אישורים שמנוהלים על ידי Google	1000	מספר האישורים הכולל שמנוהלים על ידי Google בפרויקט Google Cloud
אישורים אזוריים שמנוהלים על ידי Google	100	המספר הכולל של אישורים אזוריים בניהול Google לכל אזור בפרויקט Google Cloud
אישורים בניהול עצמי	1000	מספר האישורים בניהול עצמי בפרויקט ב- Google Cloud
אישורים אזוריים בניהול עצמי	100	המספר הכולל של אישורים אזוריים בניהול עצמי לכל אזור בפרויקט Google Cloud
מפות אישורים	100	המספר הכולל של מפות האישורים בפרויקט Google Cloud
רשומות מיפוי לאישורים	5,000	המספר הכולל של רשומות המיפוי לאישורים בפרויקט Google Cloud
משאבים שמשויכים לאישור	מגבלה: 100	המספר הכולל של משאבים, כמו רשומות מיפוי לאישורים ושרתי proxy לחלוקת העומס, שמשויכים לאישור.
אישורים לכל רשומת מיפוי לאישורים	מגבלה: 4	המספר הכולל של אישורים שאפשר לצרף לרשומת מיפוי לאישורים
אישורים לכל שרת proxy לחלוקת העומס	מגבלה: 100	המספר הכולל של אישורים שאפשר לצרף ישירות לשרת proxy ל-HTTPS לטירגוט
מפת אישורים לכל שרת proxy לחלוקת העומס	מגבלה: 1	המספר הכולל של מפות אישורים שאפשר לצרף לשרת proxy ל-HTTPS לטירגוט
הרשאות DNS	1000	המספר הכולל של הרשאות DNS בפרויקט Google Cloud
הרשאות DNS אזוריות	300	המספר הכולל של הרשאות DNS אזוריות לכל אזור בפרויקט Google Cloud
הגדרות להנפקת אישורים	100	המספר הכולל של הגדרות הנפקת האישורים בפרויקט Google Cloud
הגדרות אזוריות להנפקת אישורים	5	המספר הכולל של הגדרות אזוריות להנפקת אישורים בכל אזור בפרויקט Google Cloud
גודל הגדרת האמינות	10000	הגודל הכולל של כל הגדרות האמון הגלובליות בפרויקט Google Cloud . בקטע חישוב הגודל של הגדרת האמינות מוסבר איך הגודל מחושב.
גודל הגדרת האמינות האזורית	10000	הגודל הכולל של הגדרות האמון האזוריות בכל אזור בפרויקט Google Cloud . בקטע חישוב הגודל של הגדרת האמינות מוסבר איך הגודל מחושב.
סוגי מפתחות נתמכים לאישורים בניהול עצמי	RSA-2048 RSA-3072 RSA-4096 ECDSA P-256 ECDSA P-384
סוג המפתח הנתמך לאישורים שמנוהלים על ידי Google ומהימנים באופן ציבורי	RSA-2048
סוגי מפתחות נתמכים לאישורים שמנוהלים על ידי Google ומהימנים באופן פרטי	RSA-2048 ECDSA P-256

מגבלות על אורך שם הדומיין באישורים שמנוהלים על ידי Google

בטבלה הבאה מפורטות מגבלות האורך של שמות דומיינים, שספציפיות לאישורים שמנוהלים על ידי Google במנהל האישורים. אי אפשר להגדיל את המגבלות האלה.

פריט	מגבלת תווים
דומיין יחיד עם הרשאה של מאזן עומסים	253
דומיין יחיד עם הרשאת DNS	237
thought דומיין יחיד שמשתמש בהרשאת DNS לכל פרויקט עם רשות אישורים של Google	220
האורך הכולל של כל הדומיינים באישור (ללא קשר לשיטת ההרשאה)	6300

מגבלות נוספות על משאבים לאישורים שמנוהלים על ידי Google

בטבלה הבאה מפורטות מגבלות נוספות על משאבים, שספציפיות לאישורים שמנוהלים על ידי Google ב-Certificate Manager. אי אפשר להגדיל את המגבלות האלה.

פריט	הגבלה	תיאור
דומיינים לכל אישור עם הרשאה של מאזן עומסים	5	המספר המקסימלי של דומיינים שמותרים לכל אישור בניהול Google עם הרשאת מאזן עומסים.
דומיינים לכל אישור עם הרשאת DNS	100	מספר הדומיינים המקסימלי שמותר לכל אישור בניהול Google עם הרשאת DNS.

מכסות נוספות לבקשות לפעולות של רשות אישורים ציבורית

המכסות לפעולות של Public CA לא תלויות במכסות שחלות על פעולות של Certificate Manager באישורים שמנוהלים על ידי Google. הן גם לא תלויות במכסות אחרות שחלות על פעולות שמתבצעות במוצרים אחרים של Google Cloud על אישורים בניהול Google.

Certificate Manager אוכף את מגבלות המכסות שמפורטות בקטע הזה לפעולות של רשות אישורים ציבורית. חשוב לזכור:

• Certificate Manager יכול להגביל את קצב הבקשות לדקה.
• Certificate Manager יכול להחזיר קוד תגובה HTTP 429, שמבקש מלקוח ACME לנסות שוב את הבקשה אחרי המתנה של כמה שניות. לקוחות ACME צריכים לתמוך בקוד התגובה הזה ולכבד את הכותרת Retry-After ש-Certificate Manager שולח עם התגובה.

לסביבת הייצור ולסביבת ה-staging יש את אותן מגבלות, אבל הן לא תלויות זו בזו. בקשות לסביבת הייצור ולסביבת ה-staging צורכות רק את המכסות שלהן.

מכסות לבקשות של רשות אישורים ציבורית

בטבלה הבאה מפורטות מכסות הבקשות של Public CA שחלות על פעולות ניהול אישורים של ACME.

הערה: מנהל האישורים מחיל מכסות ברמת הפרויקט ב- Google Cloud . אם יוצרים שני חשבונות ACME או יותר באותו Google Cloud פרויקט, החשבונות האלה חולקים את מכסות הבקשות.

מכסה	מגבלת ברירת המחדל	תיאור
בקשת אישור (newOrder)	‫100 לשעה	המספר המקסימלי של בקשות לאישורים חדשים
יצירת חשבון ACME (newAccount)	‫25 לדקה, 100 לשעה	המספר המקסימלי של בקשות ליצירת חשבון
יצירת הרשאה (newAuthz)	‫300 לשעה	המספר המקסימלי של בקשות ליצירת הרשאה
דגימת הרשאה (authz)	‫600 לדקה	מספר מקסימלי של בקשות סקר הרשאה
אימות או דגימה של אתגר (challenge)	‫100 לדקה	המספר המקסימלי של בקשות לאימות אתגר או סקרים
הנפקת אישור סקר (cert)	‫50 לדקה	המספר המקסימלי של בקשות סקר להנפקת אישורים
ביטול אישור (revokeCert)	‫25 לכל 30 שניות	המספר המקסימלי של בקשות לביטול אישורים

הגדרת האמון

אי אפשר להגדיל את המגבלות שמפורטות כאן, והן חלות על מאזני עומסים קלאסיים של אפליקציות ועל מאזני עומסים גלובליים חיצוניים של אפליקציות.

פריט	מכסות ומגבלות	הערות
מספר מאגרי האישורים	מגבלה: 1	המגבלה הזו היא לכל משאב של TrustConfig.
המספר המשולב של ישויות עוגן אמינות ואישורי ביניים	מגבלה: 200	המגבלה הזו היא לכל מאגר אישורים מהימנים.
מספר אישורי הביניים	מגבלה: 100	המגבלה הזו היא לכל מאגר אישורים מהימנים.
מספר אילוצי השמות שמותרים במהלך האימות של אישורי הבסיס ואישורי הביניים	מגבלה: 10
אישורי ביניים שכוללים את אותו נושא ואותו מפתח ציבורי של הנושא	מגבלה: 10	המגבלה הזו היא לכל מאגר אישורים מהימנים.
עומק שרשרת האישורים	מגבלה: 10	העומק המקסימלי של שרשרת אישורים, כולל אישורי הבסיס ואישורי הלקוח.
מספר הפעמים שבהן אפשר להעריך אישורי ביניים כשמנסים לבנות את שרשרת האמון	מגבלה: 100
סוגי המפתחות הנתמכים	RSA-2048 RSA-3072 RSA-4096 ECDSA P-256 ECDSA P-384
מספר האישורים ברשימת ההיתרים (allowlistedCertificates)	מגבלה: 500

חישוב הגודל של הגדרת האמינות

המכסות הבאות עוקבות אחרי מגבלת הגודל של הגדרות האמון:

• ‫certificatemanager.googleapis.com/trust-config-size להגדרות של אמינות גלובלית.
• ‫certificatemanager.googleapis.com/regional-trust-config-size להגדרות האמון האזוריות.

Certificate Manager קובע את ניצול המכסה של הגדרת אמון לפי הגודל הכולל שלה, ומחשב אותו לפי הכללים הבאים:

1. קובצי PEM של אישורים: כל אישור Privacy-Enhanced Mail‏ (PEM) שאתם כוללים כישות עוגן אמינה או כאישור CA ביניים, משתמש ביחידת מכסה אחת לכל 1KB של גודל, מעוגל כלפי מעלה ל-1KB הקרוב ביותר.

2. אישורים ברשימת ההיתרים: כל 32 אישורים ברשימת ההיתרים (מעוגלים כלפי מעלה) משתמשים ביחידה אחת של מכסה.

3. דומיינים מהימנים של Secure Production Identity Framework for Everyone‏ (SPIFFE): כל 4 מתחמי אמון (trust domain) של SPIFFE (מעוגלים כלפי מעלה) משתמשים ביחידה אחת של מכסה.

4. תקורה: כל הגדרת אמינות משתמשת בתקורה קבועה של 2 יחידות מכסה, גם אם הגדרת האמינות ריקה.

דוגמאות

• משאב TrustConfig ריק משתמש ב-2 יחידות מהמכסה.
• משאב קטן של TrustConfig (אישור יחיד של 3KB) משתמש ב-5 יחידות מהמכסה (3 לאישור + 2 לתקורה).
• משאב TrustConfig מורכב משתמש ב:
  • ‫4 אישורים בגדלים 3.5KB,‏ 5KB,‏ 4.5KB ו-6KB: ‏(4 + 5 + 5 + 6) = 20 יחידות מהמכסה.
  • ‫10 אישורים ברשימת ההיתרים: יחידה אחת של מכסה.
  • ‫5 מתחמי אמון של SPIFFE: ‏2 יחידות מכסה.
  • תקורה קבועה: 2 יחידות מכסה.
  • ניצול המכסה הכולל: 20 + 1 + 2 + 2 = 25 יחידות מכסה.