Configurer la gestion du cycle de vie pour les équilibreurs de charge

Ce produit ou cette fonctionnalité est soumis aux "Conditions des offres pré-DG" de la section "Conditions d'utilisation générales du service" des Conditions spécifiques du service. Les produits et fonctionnalités pré-DG sont disponibles "en l'état" et peuvent avoir une compatibilité limitée. Pour en savoir plus, consultez les descriptions des étapes de lancement.

Ce document explique comment configurer la gestion du cycle de vie des certificats pour les équilibreurs de charge d'application à l'aide du gestionnaire de certificats (2e génération).

Il existe différentes manières de configurer les certificats d'un équilibreur de charge, en fonction des propriétés de l'équilibreur de charge et des paramètres de configuration de certificat précédemment configurés. L'interface du gestionnaire de certificats (2e génération) détecte et affiche la méthode de configuration appropriée en fonction de ce qui est disponible pour un équilibreur de charge particulier.

Les options suivantes sont disponibles :

1. Configurer un équilibreur de charge global avec un certificat SSL
2. Configurer un équilibreur de charge régional avec un certificat réseau ou un certificat SSL Compute
3. Configurer un équilibreur de charge global avec un mappage de certificats
4. Configurer un équilibreur de charge global avec un certificat réseau

Avant de commencer

Connectez-vous à votre Google Cloud compte. Si vous ne connaissez pas Google Cloud, créez un compte pour évaluer les performances de nos produits dans des scénarios réels. Les nouveaux clients bénéficient également de 300 $ de crédits sans frais pour exécuter, tester et déployer des charges de travail.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

1. Assurez-vous de disposer d'un équilibreur de charge d'application existant avec au moins un proxy HTTPS cible. Pour en savoir plus, consultez Choisir un équilibreur de charge.

Rôles requis

Pour obtenir les autorisations nécessaires pour configurer la gestion du cycle de vie, demandez à votre administrateur de vous accorder les rôles IAM suivants sur votre projet :

• Éditeur du gestionnaire de certificats (roles/certificatemanager.editor)
• Administrateur de réseaux Compute (roles/compute.networkAdmin)

Pour en savoir plus sur l'attribution de rôles, consultez la page Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Configurer le cycle de vie des équilibreurs de charge

Pour configurer la gestion du cycle de vie du certificat de votre équilibreur de charge, suivez les étapes correspondant à votre configuration d'équilibreur de charge spécifique :

Équilibreur de charge global avec des certificats SSL Compute

1. Dans la Google Cloud console, accédez à Gestionnaire de certificats (2e génération).

   Accéder au gestionnaire de certificats (2e génération)

2. Dans le menu de navigation, cliquez sur Gérer le cycle de vie.

3. Cliquez sur l'onglet Équilibrage de charge. La liste de vos équilibreurs de charge s'affiche.

4. Recherchez l'équilibreur de charge et cliquez sur le nœud à bascule pour développer la ligne et afficher les proxys cibles associés.

5. Cliquez sur le nom du proxy cible.

6. Cliquez sur Configurer la gestion du cycle de vie. La page affiche les certificats associés à ce proxy cible.

7. Sélectionnez un certificat dans la liste disponible. Vous pouvez utiliser votre propre certificat ou un certificat géré par Google.

8. Cliquez sur Certificats supplémentaires, puis sur Ajouter un certificat.

9. Sélectionnez un certificat dans la liste disponible. Chaque règle de transfert de l'équilibreur de charge peut comporter 1 à 14 certificats supplémentaires.

10. Cliquez sur Mettre à jour pour appliquer les modifications au proxy cible. Cette action met à jour l'entrée de mappage de certificats sous-jacente ou en crée une.

Équilibreur de charge régional avec des certificats réseau ou SSL

1. Dans la Google Cloud console, accédez à Gestionnaire de certificats (2e génération).

   Accéder au gestionnaire de certificats (2e génération)

2. Dans le menu de navigation, cliquez sur Gérer le cycle de vie.

3. Cliquez sur l'onglet Équilibrage de charge. La liste de vos équilibreurs de charge s'affiche.

4. Recherchez l'équilibreur de charge et cliquez sur le nœud à bascule pour développer la ligne et afficher les proxys cibles associés.

5. Cliquez sur le nom du proxy cible.

6. Cliquez sur Configurer la gestion du cycle de vie. La page affiche les certificats associés au mappage de certificats effectif de ce proxy cible.

7. Sélectionnez un type de dépôt : Certificats ou Certificats classiques.

8. Cliquez sur Ajouter un certificat.

9. Sélectionnez un certificat existant ou créez-en un.

10. Saisissez les informations suivantes pour le nouveau certificat :

    • Nom : nom unique de cette ressource de certificat (par exemple, my-lb-cert).
    • Portée : sélectionnez la portée de distribution de clés appropriée (par exemple, Default).
    • Type de certificat : types de certificats autogérés ou gérés par Google .
    • Nom de domaine : nom de domaine couvert par ce certificat (par exemple, app.example.com). Vous devez contrôler ce domaine.
    • Configuration d'émission : sélectionnez votre configuration d'émission existante dans la liste. Cette configuration détermine l'autorité de certification, la durée de vie et le type de clé.

11. Cliquez sur Créer. La console ajoute le nouveau certificat à la liste du proxy cible.

12. Examinez la liste des certificats, puis cliquez sur Mettre à jour pour appliquer les modifications au proxy cible. Cette action met à jour l'entrée de mappage de certificats sous-jacente ou en crée une.

Équilibreur de charge global avec un mappage de certificats

1. Dans la Google Cloud console, accédez à Gestionnaire de certificats (2e génération).

   Accéder au gestionnaire de certificats (2e génération)

2. Dans le menu de navigation, cliquez sur Gérer le cycle de vie.

3. Cliquez sur l'onglet Équilibrage de charge. La liste de vos équilibreurs de charge s'affiche.

4. Recherchez l'équilibreur de charge et cliquez sur le nœud à bascule pour développer la ligne et afficher les proxys cibles associés.

5. Cliquez sur le nom du proxy cible.

6. Cliquez sur Mettre à jour le mappage de certificats. La page affiche les détails du mappage de certificats et les entrées de mappage de certificats.

7. Cliquez sur Modifier, puis sur Ajouter une entrée de mappage.

8. Saisissez les informations suivantes pour la nouvelle entrée de mappage :

   • Nom : nom unique de cette ressource de certificat (par exemple, my-lb-cert).
   • Nom d'hôte : sélectionnez le nom d'hôte approprié. Les recherches de certificats correspondent exactement au nom d'hôte fourni. Pour les sous-domaines à un seul niveau, la recherche inclut également les certificats émis pour le caractère générique du domaine parent. Par exemple, si vous saisissez app.example.com, les certificats pour app.example.com et *.example.com sont renvoyés.

9. Sélectionnez un certificat existant ou créez-en un.

10. Cliquez sur Ajouter. La console ajoute le nouveau certificat à la liste du proxy cible.

11. Examinez la liste des certificats, puis cliquez sur Enregistrer pour appliquer les modifications au proxy cible. Cette action met à jour l'entrée de mappage de certificats sous-jacente ou en crée une.

Équilibreur de charge global avec un certificat réseau

1. Dans la Google Cloud console, accédez à Gestionnaire de certificats (2e génération).

   Accéder au gestionnaire de certificats (2e génération)

2. Dans le menu de navigation, cliquez sur Gérer le cycle de vie.

3. Cliquez sur l'onglet Équilibrage de charge. La liste de vos équilibreurs de charge s'affiche.

4. Recherchez l'équilibreur de charge et cliquez sur le nœud à bascule pour développer la ligne et afficher les proxys cibles associés.

5. Cliquez sur le nom du proxy cible.

6. Cliquez sur Configurer la gestion du cycle de vie. La page affiche les certificats associés au mappage de certificats effectif de ce proxy cible.

7. Cliquez sur Ajouter un certificat.

8. Sélectionnez un certificat existant ou créez-en un.

9. Saisissez les informations suivantes pour le nouveau certificat :

   • Nom : nom unique de cette ressource de certificat (par exemple, my-lb-cert).
   • Portée : sélectionnez la portée de distribution de clés appropriée (par exemple, Default).
   • Type de certificat : types de certificats autogérés ou gérés par Google .
   • Nom de domaine : nom de domaine couvert par ce certificat (par exemple, app.example.com). Vous devez contrôler ce domaine.
   • Configuration d'émission : sélectionnez votre configuration d'émission existante dans la liste. Cette configuration détermine l'autorité de certification, la durée de vie et le type de clé.

10. Cliquez sur Créer. La console ajoute le nouveau certificat à la liste du proxy cible.

11. Examinez la liste des certificats, puis cliquez sur Mettre à jour pour appliquer les modifications au proxy cible. Cette action met à jour l'entrée de mappage de certificats sous-jacente ou en crée une.

Étape suivante

• Fonctionnement du gestionnaire de certificats (2e génération)
• Configurer la gestion du cycle de vie pour les charges de travail gérées
• Créer une configuration de confiance
• Afficher l'inventaire des certificats
• Surveiller vos certificats