ロードバランサのライフサイクル管理を構成する

このプロダクトまたは機能は サービス固有の規約の対象となります。 一般提供前のプロダクトと機能は「現状のまま」で提供されるものであり、サポートが制限されることがあります。 詳細については、リリース ステージの説明をご覧ください。

このドキュメントでは、Certificate Manager（第 2 世代）を使用して、アプリケーション ロードバランサの証明書のライフサイクル管理を構成する方法について説明します。

ロードバランサの証明書を構成する方法は、ロードバランサのプロパティと、以前に構成した証明書構成パラメータによって異なります。Certificate Manager（第 2 世代）インターフェースは、特定のロードバランサで使用可能なものに基づいて、適切な構成方法を検出して表示します。

次のオプションが用意されています。

1. SSL 証明書を使用してグローバル ロードバランサを構成する。
2. ネットワーキング証明書または Compute SSL 証明書を使用してリージョン ロードバランサを構成する。
3. 証明書マップを使用してグローバル ロードバランサを構成する。
4. ネットワーキング証明書を使用してグローバル ロードバランサを構成する。

始める前に

アカウントにログインします。 Google Cloud を初めて使用する場合は、 アカウントを作成して、 実際のシナリオでプロダクトがどのように機能するかを評価してください。 Google Cloud新規のお客様には、ワークロードの実行、テスト、デプロイに利用できる $300 分の無料クレジットも提供されます。

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

1. 少なくとも 1 つのターゲット HTTPS プロキシを持つ既存のアプリケーション ロードバランサがあることを確認します。詳細については、 ロードバランサを選択するをご覧ください。

必要なロール

ライフサイクル管理の構成に必要な権限を取得するには、プロジェクトに対する次の IAM ロールを付与するよう管理者に依頼してください。

• Certificate Manager 編集者 （roles/certificatemanager.editor）
• Compute ネットワーク管理者 （roles/compute.networkAdmin）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタム ロールや他の事前定義 ロールから取得することもできます。

ロードバランサのライフサイクルを構成する

ロードバランサ証明書のライフサイクル管理を構成するには、特定のロードバランサ構成の手順に沿って操作します。

Compute SSL 証明書を使用したグローバル ロードバランサ

1. コンソールで、 Google Cloud **Certificate Manager（第 2 世代）** に移動します。

   Certificate Manager（第 2 世代）に移動

2. ナビゲーション メニューで、[ライフサイクルを管理] をクリックします。

3. [ロード バランシング] タブをクリックします。ロードバランサのリストが表示されます。

4. ロードバランサを見つけて切り替えノードをクリックし、行を展開して関連付けられたターゲット プロキシを表示します。

5. ターゲット プロキシの名前をクリックします。

6. [ライフサイクル管理を構成] をクリックします。このターゲット プロキシに関連付けられた証明書がページに表示されます。

7. 使用可能なリストから証明書を選択します。独自の証明書または Google マネージド証明書を使用できます。

8. [追加の証明書] をクリックし、[証明書を追加] をクリックします。

9. 使用可能なリストから証明書を選択します。ロードバランサの各転送ルールには、1 ～ 14 個の証明書を追加できます。

10. [更新] をクリックして、ターゲット プロキシに変更を適用します。この操作により、基盤となる証明書マップ エントリが更新されるか、新しいエントリが作成されます。

ネットワーキング証明書または SSL 証明書を使用したリージョン ロードバランサ

1. コンソールで、 Google Cloud **Certificate Manager（第 2 世代）** に移動します。

   Certificate Manager（第 2 世代）に移動

2. ナビゲーション メニューで、[ライフサイクルを管理] をクリックします。

3. [ロード バランシング] タブをクリックします。ロードバランサのリストが表示されます。

4. ロードバランサを見つけて切り替えノードをクリックし、行を展開して関連付けられたターゲット プロキシを表示します。

5. ターゲット プロキシの名前をクリックします。

6. [ライフサイクル管理を構成] をクリックします。このターゲット プロキシの有効な証明書マップに関連付けられた証明書がページに表示されます。

7. リポジトリ タイプを選択します。証明書 または従来の証明書 。

8. [証明書を追加] をクリックします。

9. 既存の証明書を選択するか、新しい証明書を作成します。

10. 新しい証明書の次の詳細情報を入力します。

    • 名前: この証明書リソースの一意の名前（my-lb-cert など）。
    • スコープ: 適切な鍵配布スコープ（Default など）を選択します。
    • 証明書のタイプ: セルフマネージドまたは Google マネージド 証明書タイプ。
    • ドメイン名: この証明書がカバーするドメイン名（app.example.com など）。このドメインは、ユーザーが管理しているドメインである必要があります。
    • 発行構成: リストから既存の発行構成を選択します。この構成によって、CA、有効期間、鍵タイプが決まります。

11. [作成] をクリックします。コンソールにより、新しい証明書がターゲット プロキシのリストに追加されます。

12. 証明書のリストを確認し、[更新] をクリックしてターゲット プロキシに変更を適用します。この操作により、基盤となる証明書マップ エントリが更新されるか、新しいエントリが作成されます。

証明書マップを使用したグローバル ロードバランサ

1. コンソールで、 Google Cloud **Certificate Manager（第 2 世代）** に移動します。

   Certificate Manager（第 2 世代）に移動

2. ナビゲーション メニューで、[ライフサイクルを管理] をクリックします。

3. [ロード バランシング] タブをクリックします。ロードバランサのリストが表示されます。

4. ロードバランサを見つけて切り替えノードをクリックし、行を展開して関連付けられたターゲット プロキシを表示します。

5. ターゲット プロキシの名前をクリックします。

6. [証明書マップを更新] をクリックします。証明書マップの詳細と証明書マップ エントリがページに表示されます。

7. [編集] をクリックし、[マップ エントリを追加] をクリックします。

8. 新しいマップ エントリの次の詳細情報を入力します。

   • 名前: この証明書リソースの一意の名前（my-lb-cert など）。
   • ホスト名: 適切なホスト名を選択します。証明書の検索では、指定された正確なホスト名と一致するものが検索されます。単一レベルのサブドメインの場合、検索には親ドメインのワイルドカードに対して発行された証明書も含まれます。たとえば、「app.example.com」と入力すると、app.example.com と *.example.com の両方の証明書が返されます。

9. 既存の証明書を選択するか、新しい証明書を作成します。

10. [追加] をクリックします。コンソールにより、新しい証明書がターゲット プロキシのリストに追加されます。

11. 証明書のリストを確認し、[保存] をクリックしてターゲット プロキシに変更を適用します。この操作により、基盤となる証明書マップ エントリが更新されるか、新しいエントリが作成されます。

ネットワーキング証明書を使用したグローバル ロードバランサ

1. コンソールで、 Google Cloud **Certificate Manager（第 2 世代）** に移動します。

   Certificate Manager（第 2 世代）に移動

2. ナビゲーション メニューで、[ライフサイクルを管理] をクリックします。

3. [ロード バランシング] タブをクリックします。ロードバランサのリストが表示されます。

4. ロードバランサを見つけて切り替えノードをクリックし、行を展開して関連付けられたターゲット プロキシを表示します。

5. ターゲット プロキシの名前をクリックします。

6. [ライフサイクル管理を構成] をクリックします。このターゲット プロキシの有効な証明書マップに関連付けられた証明書がページに表示されます。

7. [証明書を追加] をクリックします。

8. 既存の証明書を選択するか、新しい証明書を作成します。

9. 新しい証明書の次の詳細情報を入力します。

   • 名前: この証明書リソースの一意の名前（my-lb-cert など）。
   • スコープ: 適切な鍵配布スコープ（Default など）を選択します。
   • 証明書のタイプ: セルフマネージドまたは Google マネージド 証明書タイプ。
   • ドメイン名: この証明書がカバーするドメイン名（app.example.com など）。このドメインは、ユーザーが管理しているドメインである必要があります。
   • 発行構成: リストから既存の発行構成を選択します。この構成によって、CA、有効期間、鍵タイプが決まります。

10. [作成] をクリックします。コンソールにより、新しい証明書がターゲット プロキシのリストに追加されます。

11. 証明書のリストを確認し、[更新] をクリックしてターゲット プロキシに変更を適用します。この操作により、基盤となる証明書マップ エントリが更新されるか、新しいエントリが作成されます。

次のステップ

• Certificate Manager（第 2 世代）の仕組み
• マネージド ワークロードのライフサイクル管理を構成する
• 信頼構成を作成する
• 証明書のインベントリを表示する
• 証明書をモニタリングする