부하 분산기의 수명 주기 관리 구성

이 제품이나 기능에는 서비스별 약관이 적용됩니다. GA 이전 제품과 기능은 '있는 그대로' 제공되며 지원이 제한될 수 있습니다. 자세한 내용은 출시 단계 설명을 참조하세요.

이 문서에서는 인증서 관리자 (2세대)를 사용하여 애플리케이션 부하 분산기의 인증서 수명 주기 관리를 구성하는 방법을 보여줍니다.

부하 분산기의 속성과 이전에 구성된 인증서 구성 매개변수에 따라 부하 분산기의 인증서를 구성하는 방법은 여러 가지가 있습니다. 인증서 관리자 (2세대) 인터페이스는 특정 부하 분산기에 사용할 수 있는 항목을 기반으로 적절한 구성 방법을 감지하고 표시합니다.

사용할 수 있는 옵션은 다음과 같습니다.

1. SSL 인증서로 전역 부하 분산기를 구성합니다.
2. 네트워킹 인증서 또는 Compute SSL 인증서로 리전 부하 분산기를 구성합니다.
3. 인증서 맵으로 전역 부하 분산기를 구성합니다.
4. 네트워킹 인증서로 전역 부하 분산기를 구성합니다.

시작하기 전에

계정에 로그인합니다. Google Cloud 를 처음 사용하는 경우 계정을 만들어 실제 시나리오에서 제품의 성능을 평가하세요. Google Cloud신규 고객에게는 워크로드를 실행, 테스트, 배포하는 데 사용할 수 있는 $300의 무료 크레딧이 제공됩니다.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

1. 대상 HTTPS 프록시가 하나 이상 있는 기존 애플리케이션 부하 분산기가 있는지 확인합니다. 자세한 내용은 부하 분산기 선택을 참조하세요.

필요한 역할

수명 주기 관리를 구성하는 데 필요한 권한을 얻으려면 관리자에게 프로젝트에 대한 다음 IAM 역할을 부여해 달라고 요청하세요.

• 인증서 관리자 편집자 (roles/certificatemanager.editor)
• Compute 네트워크 관리자 (roles/compute.networkAdmin)

역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

커스텀 역할이나 다른 사전 정의된 역할을 통해 필요한 권한을 얻을 수도 있습니다.

부하 분산기의 수명 주기 구성

부하 분산기 인증서의 수명 주기 관리를 구성하려면 특정 부하 분산기 구성의 단계를 따르세요.

Compute SSL 인증서가 있는 전역 부하 분산기

1. 콘솔에서 인증서 관리자 (2세대)로 이동합니다. Google Cloud

   인증서 관리자 (2세대)로 이동

2. 탐색 메뉴에서 수명 주기 관리 를 클릭합니다.

3. 부하 분산 탭을 클릭합니다. 부하 분산기 목록이 표시됩니다.

4. 부하 분산기를 찾고 전환 노드를 클릭하여 행을 펼쳐 연결된 대상 프록시를 확인합니다.

5. 대상 프록시의 이름을 클릭합니다.

6. 수명 주기 관리 구성 을 클릭합니다. 페이지에 이 대상 프록시와 연결된 인증서가 표시됩니다.

7. 사용 가능한 목록에서 인증서를 선택합니다. 자체 인증서 또는 Google 관리형 인증서를 사용할 수 있습니다.

8. 추가 인증서 를 클릭한 후 인증서 추가 를 클릭합니다.

9. 사용 가능한 목록에서 인증서를 선택합니다. 부하 분산기의 각 전달 규칙에는 추가 인증서가 1~14개 포함될 수 있습니다.

10. 업데이트 를 클릭하여 변경사항을 대상 프록시에 적용합니다. 이 작업은 기본 인증서 맵 항목을 업데이트하거나 새 항목을 만듭니다.

네트워킹 또는 SSL 인증서가 있는 리전 부하 분산기

1. 콘솔에서 인증서 관리자 (2세대)로 이동합니다. Google Cloud

   인증서 관리자 (2세대)로 이동

2. 탐색 메뉴에서 수명 주기 관리 를 클릭합니다.

3. 부하 분산 탭을 클릭합니다. 부하 분산기 목록이 표시됩니다.

4. 부하 분산기를 찾고 전환 노드를 클릭하여 행을 펼쳐 연결된 대상 프록시를 확인합니다.

5. 대상 프록시의 이름을 클릭합니다.

6. 수명 주기 관리 구성 을 클릭합니다. 페이지에 이 대상 프록시의 유효 인증서 맵과 연결된 인증서가 표시됩니다.

7. 저장소 유형으로 인증서 또는 기존 인증서 를 선택합니다.

8. 인증서 추가 를 클릭합니다.

9. 기존 인증서를 선택하거나 새 인증서를 만듭니다.

10. 새 인증서에 대해 다음 세부정보를 입력합니다.

    • 이름: 이 인증서 리소스의 고유한 이름 (예: my-lb-cert).
    • 범위: 적절한 키 배포 범위를 선택합니다 (예: Default).
    • 인증서 유형: 자체 관리형 또는 Google 관리형 인증서 유형.
    • 도메인 이름: 이 인증서가 적용되는 도메인 이름 (예: app.example.com). 이 도메인은 사용자가 제어하는 도메인이어야 합니다.
    • 발급 구성: 목록에서 기존 발급 구성을 선택합니다. 이 구성은 CA, 수명, 키 유형을 지정합니다.

11. 만들기 를 클릭합니다. 콘솔에서 대상 프록시의 목록에 새 인증서를 추가합니다.

12. 인증서 목록을 검토한 후 업데이트 를 클릭하여 변경사항을 대상 프록시에 적용합니다. 이 작업은 기본 인증서 맵 항목을 업데이트하거나 새 항목을 만듭니다.

인증서 맵이 있는 전역 부하 분산기

1. 콘솔에서 인증서 관리자 (2세대)로 이동합니다. Google Cloud

   인증서 관리자 (2세대)로 이동

2. 탐색 메뉴에서 수명 주기 관리 를 클릭합니다.

3. 부하 분산 탭을 클릭합니다. 부하 분산기 목록이 표시됩니다.

4. 부하 분산기를 찾고 전환 노드를 클릭하여 행을 펼쳐 연결된 대상 프록시를 확인합니다.

5. 대상 프록시의 이름을 클릭합니다.

6. 인증서 맵 업데이트 를 클릭합니다. 페이지에 인증서 맵 세부정보와 인증서 맵 항목이 표시됩니다.

7. 수정 을 클릭한 후 맵 항목 추가 를 클릭합니다.

8. 새 맵 항목에 대해 다음 세부정보를 입력합니다.

   • 이름: 이 인증서 리소스의 고유한 이름 (예: my-lb-cert).
   • 호스트 이름: 적절한 호스트 이름을 선택합니다. 인증서 검색은 입력한 호스트 이름과 정확히 일치시킵니다. 단일 수준 하위 도메인의 경우 검색에는 상위 도메인 와일드 카드에 발급된 인증서도 포함됩니다. 예를 들어 app.example.com을 입력하면 app.example.com과 *.example.com의 인증서가 둘 다 반환됩니다.

9. 기존 인증서를 선택하거나 새 인증서를 만듭니다.

10. 추가 를 클릭합니다. 콘솔에서 대상 프록시의 목록에 새 인증서를 추가합니다.

11. 인증서 목록을 검토한 후 저장 을 클릭하여 변경사항을 대상 프록시에 적용합니다. 이 작업은 기본 인증서 맵 항목을 업데이트하거나 새 항목을 만듭니다.

네트워킹 인증서가 있는 전역 부하 분산기

1. 콘솔에서 인증서 관리자 (2세대)로 이동합니다. Google Cloud

   인증서 관리자 (2세대)로 이동

2. 탐색 메뉴에서 수명 주기 관리 를 클릭합니다.

3. 부하 분산 탭을 클릭합니다. 부하 분산기 목록이 표시됩니다.

4. 부하 분산기를 찾고 전환 노드를 클릭하여 행을 펼쳐 연결된 대상 프록시를 확인합니다.

5. 대상 프록시의 이름을 클릭합니다.

6. 수명 주기 관리 구성 을 클릭합니다. 페이지에 이 대상 프록시의 유효 인증서 맵과 연결된 인증서가 표시됩니다.

7. 인증서 추가 를 클릭합니다.

8. 기존 인증서를 선택하거나 새 인증서를 만듭니다.

9. 새 인증서에 대해 다음 세부정보를 입력합니다.

   • 이름: 이 인증서 리소스의 고유한 이름 (예: my-lb-cert).
   • 범위: 적절한 키 배포 범위를 선택합니다 (예: Default).
   • 인증서 유형: 자체 관리형 또는 Google 관리형 인증서 유형.
   • 도메인 이름: 이 인증서가 적용되는 도메인 이름 (예: app.example.com). 이 도메인은 사용자가 제어하는 도메인이어야 합니다.
   • 발급 구성: 목록에서 기존 발급 구성을 선택합니다. 이 구성은 CA, 수명, 키 유형을 지정합니다.

10. 만들기 를 클릭합니다. 콘솔에서 대상 프록시의 목록에 새 인증서를 추가합니다.

11. 인증서 목록을 검토한 후 업데이트 를 클릭하여 변경사항을 대상 프록시에 적용합니다. 이 작업은 기본 인증서 맵 항목을 업데이트하거나 새 항목을 만듭니다.

다음 단계

• 인증서 관리자 (2세대)의 작동 방식
• 관리형 워크로드의 수명 주기 관리 구성
• 트러스트 구성 만들기
• 인증서 인벤토리 보기
• 인증서 모니터링