ロードバランサのライフサイクル管理を構成する

プレビュー

このプロダクトまたは機能は、サービス固有規約の「一般サービス規約」セクションの「一般提供前サービス規約」の対象となります。pre-GA のプロダクトと機能は「現状のまま」利用できますが、サポートが制限されることがあります。 詳細については、リリース ステージの説明をご覧ください。

このドキュメントでは、Certificate Manager（第 2 世代）を使用してアプリケーション ロードバランサの証明書のライフサイクル管理を構成する方法について説明します。

ロードバランサの証明書を構成する方法は、ロードバランサのプロパティと、以前に構成された証明書の構成パラメータによって異なります。Certificate Manager（第 2 世代）インターフェースは、特定のロードバランサで使用可能な構成方法を検出して表示します。

次のオプションが用意されています。

1. SSL 証明書を使用してグローバル ロードバランサを構成する。
2. ネットワーキング証明書または Compute SSL 証明書を使用してリージョン ロードバランサを構成します。
3. 証明書マップを使用してグローバル ロードバランサを構成します。
4. ネットワーキング証明書を使用してグローバル ロードバランサを構成する。

始める前に

Google Cloud アカウントにログインします。 Google Cloudを初めて使用する場合は、 アカウントを作成して、実際のシナリオで Google プロダクトのパフォーマンスを評価してください。新規のお客様には、ワークロードの実行、テスト、デプロイができる無料クレジット $300 分を差し上げます。

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

1. 既存のアプリケーション ロードバランサに、少なくとも 1 つのターゲット HTTPS プロキシがあることを確認します。詳細については、ロードバランサを選択するをご覧ください。

必要なロール

ライフサイクル管理の構成に必要な権限を取得するには、プロジェクトに対する次の IAM ロールを付与するよう管理者に依頼してください。

• Certificate Manager 編集者 （roles/certificatemanager.editor）
• Compute ネットワーク管理者 （roles/compute.networkAdmin）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

ロードバランサのライフサイクルを構成する

ロードバランサ証明書のライフサイクル管理を構成するには、特定のロードバランサ構成の手順に沿って操作します。

Compute SSL 証明書を使用したグローバル ロードバランサ

1. Google Cloud コンソールで、[Certificate Manager（第 2 世代）] に移動します。

   [Certificate Manager（第 2 世代）] に移動

2. ナビゲーション メニューで、[ライフサイクルを管理] をクリックします。

3. [ロード バランシング] タブをクリックします。ロードバランサのリストが表示されます。

4. ロードバランサを見つけて、切り替えノードをクリックして行を開き、関連付けられているターゲット プロキシを表示します。

5. ターゲット プロキシの名前をクリックします。

6. [ライフサイクル管理を構成する] をクリックします。このターゲット プロキシに関連付けられている証明書がページに表示されます。

7. 利用可能なリストから証明書を選択します。独自の証明書を使用することも、Google マネージド証明書を使用することもできます。

8. [追加の証明書]、[証明書を追加] の順にクリックします。

9. 利用可能なリストから証明書を選択します。ロードバランサの各転送ルールには、1 ～ 14 個の証明書を追加できます。

10. [Update] をクリックして、ターゲット プロキシに変更を適用します。このアクションにより、基盤となる証明書マップエントリが更新されるか、新しいエントリが作成されます。

ネットワーキングまたは SSL 証明書を使用するリージョン ロードバランサ

1. Google Cloud コンソールで、[Certificate Manager（第 2 世代）] に移動します。

   [Certificate Manager（第 2 世代）] に移動

2. ナビゲーション メニューで、[ライフサイクルを管理] をクリックします。

3. [ロード バランシング] タブをクリックします。ロードバランサのリストが表示されます。

4. ロードバランサを見つけて、切り替えノードをクリックして行を開き、関連付けられているターゲット プロキシを表示します。

5. ターゲット プロキシの名前をクリックします。

6. [ライフサイクル管理を構成する] をクリックします。このページには、このターゲット プロキシの有効な証明書マップに関連付けられている証明書が表示されます。

7. リポジトリ タイプ（[証明書] または [従来の証明書]）を選択します。

8. [証明書を追加] をクリックします。

9. 既存の証明書を選択するか、新しい証明書を作成します。

10. 新しい証明書の次の詳細情報を入力します。

    • 名前: この証明書リソースの一意の名前（例: my-lb-cert）。
    • スコープ: 適切な鍵配布スコープ（Default など）を選択します。
    • 証明書の種類: セルフマネージドまたは Google マネージドの証明書の種類。
    • ドメイン名: この証明書が対象とするドメイン名（例: app.example.com）。このドメインは、お客様が管理するドメインである必要があります。
    • 発行構成: リストから既存の発行構成を選択します。この構成により、CA、存続期間、鍵タイプが指定されます。

11. [作成] をクリックします。コンソールで、新しい証明書がターゲット プロキシのリストに追加されます。

12. 証明書のリストを確認し、[更新] をクリックして、ターゲット プロキシに変更を適用します。このアクションにより、基になる証明書マップエントリが更新されるか、新しいエントリが作成されます。

証明書マップを使用するグローバル ロードバランサ

1. Google Cloud コンソールで、[Certificate Manager（第 2 世代）] に移動します。

   Certificate Manager（第 2 世代）に移動

2. ナビゲーション メニューで、[ライフサイクルを管理] をクリックします。

3. [ロード バランシング] タブをクリックします。ロードバランサのリストが表示されます。

4. ロードバランサを見つけて、切り替えノードをクリックして行を開き、関連付けられているターゲット プロキシを表示します。

5. ターゲット プロキシの名前をクリックします。

6. [証明書マップを更新] をクリックします。このページには、証明書マップの詳細と証明書マップエントリが表示されます。

7. [編集] をクリックし、[マップエントリを追加] をクリックします。

8. 新しいマップエントリの次の詳細情報を入力します。

   • 名前: この証明書リソースの一意の名前（例: my-lb-cert）。
   • ホスト名: 適切なホスト名を選択します。証明書の検索では、指定された正確なホスト名と一致するものが検索されます。単一レベルのサブドメインの場合、検索には親ドメインのワイルドカードに対して発行された証明書も含まれます。たとえば、「app.example.com」と入力すると、app.example.com と *.example.com の両方の証明書が返されます。

9. 既存の証明書を選択するか、新しい証明書を作成します。

10. [追加] をクリックします。コンソールで、新しい証明書がターゲット プロキシのリストに追加されます。

11. 証明書のリストを確認し、[保存] をクリックして、ターゲット プロキシに変更を適用します。このアクションにより、基になる証明書マップエントリが更新されるか、新しいエントリが作成されます。

ネットワーキング証明書を使用したグローバル ロードバランサ

1. Google Cloud コンソールで、[Certificate Manager（第 2 世代）] に移動します。

   [Certificate Manager（第 2 世代）] に移動

2. ナビゲーション メニューで、[ライフサイクルを管理] をクリックします。

3. [ロード バランシング] タブをクリックします。ロードバランサのリストが表示されます。

4. ロードバランサを見つけて、切り替えノードをクリックして行を開き、関連付けられているターゲット プロキシを表示します。

5. ターゲット プロキシの名前をクリックします。

6. [ライフサイクル管理を構成する] をクリックします。このページには、このターゲット プロキシの有効な証明書マップに関連付けられている証明書が表示されます。

7. [証明書を追加] をクリックします。

8. 既存の証明書を選択するか、新しい証明書を作成します。

9. 新しい証明書の次の詳細情報を入力します。

   • 名前: この証明書リソースの一意の名前（例: my-lb-cert）。
   • スコープ: 適切な鍵配布スコープ（Default など）を選択します。
   • 証明書の種類: セルフマネージドまたは Google マネージドの証明書の種類。
   • ドメイン名: この証明書が対象とするドメイン名（例: app.example.com）。このドメインは、お客様が管理するドメインである必要があります。
   • 発行構成: リストから既存の発行構成を選択します。この構成により、CA、存続期間、鍵タイプが指定されます。

10. [作成] をクリックします。コンソールで、新しい証明書がターゲット プロキシのリストに追加されます。

11. 証明書のリストを確認し、[更新] をクリックして、ターゲット プロキシに変更を適用します。このアクションにより、基になる証明書マップエントリが更新されるか、新しいエントリが作成されます。

次のステップ

• Certificate Manager（第 2 世代）の仕組み
• マネージド ワークロードのライフサイクル管理を構成する
• 信頼構成を作成する
• 証明書インベントリを表示する
• 証明書をモニタリングする