Configurar o gerenciamento do ciclo de vida para balanceadores de carga

Visualizar

Este produto ou recurso está sujeito aos Termos das Soluções Pré-GA na seção Termos Gerais de Serviço dos Termos Específicos de Serviço. Os produtos e recursos pré-GA estão disponíveis "no estado em que se encontram" e podem ter suporte limitado. Para mais informações, consulte as descrições da fase de lançamento.

Neste documento, mostramos como configurar o gerenciamento do ciclo de vida de certificados para balanceadores de carga de aplicativo usando o Certificate Manager (2ª geração).

Há diferentes maneiras de configurar os certificados de um balanceador de carga, dependendo das propriedades dele e dos parâmetros de configuração de certificado definidos anteriormente. A interface do Gerenciador de Certificados (2ª geração) detecta e mostra o método de configuração apropriado com base no que está disponível para um determinado balanceador de carga.

As seguintes opções estão disponíveis:

1. Configurar um balanceador de carga global com um certificado SSL.
2. Configurar um balanceador de carga regional com um certificado de rede ou um certificado SSL do Compute.
3. Configurar um balanceador de carga global com um mapa de certificados.
4. Configurar um balanceador de carga global com um certificado de rede.

Antes de começar

Faça login na sua conta do Google Cloud . Se você começou a usar o Google Cloudagora, crie uma conta para avaliar o desempenho dos nossos produtos em situações reais. Clientes novos também recebem US $300 em créditos para executar, testar e implantar cargas de trabalho sem custos financeiros.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

1. Verifique se você tem um balanceador de carga de aplicativo com pelo menos um proxy HTTPS de destino. Para mais informações, consulte Escolher um balanceador de carga.

Funções exigidas

Para receber as permissões necessárias para configurar o gerenciamento do ciclo de vida, peça ao administrador para conceder a você os seguintes papéis do IAM no projeto:

• Editor do Certificate Manager (roles/certificatemanager.editor)
• Administrador de rede do Compute (roles/compute.networkAdmin)

Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Também é possível conseguir as permissões necessárias usando papéis personalizados ou outros papéis predefinidos.

Configurar o ciclo de vida dos balanceadores de carga

Para configurar o gerenciamento do ciclo de vida do certificado do balanceador de carga, siga as etapas para sua configuração específica do balanceador de carga:

Balanceador de carga global com certificados SSL do Compute

1. No console do Google Cloud , acesse o Gerenciador de Certificados (2ª geração).

   Acessar o Certificate Manager (2ª geração)

2. No menu de navegação, clique em Gerenciar ciclo de vida.

3. Clique na guia Balanceamento de carga. Uma lista dos balanceadores de carga será exibida.

4. Localize o balanceador de carga e clique no nó de alternância para expandir a linha e ver os proxies de destino associados.

5. Clique no nome do proxy de destino.

6. Clique em Configurar gerenciamento do ciclo de vida. A página mostra os certificados associados a esse proxy de destino.

7. Selecione um certificado na lista disponível. Use seu próprio certificado ou um certificado gerenciado pelo Google.

8. Clique em Certificados adicionais e em Adicionar um certificado.

9. Selecione um certificado na lista disponível. Cada regra de encaminhamento do balanceador de carga pode ter de 1 a 14 certificados adicionais.

10. Clique em Atualizar para aplicar as mudanças ao proxy de destino. Essa ação atualiza o item no mapa de certificados ou cria um novo.

Balanceador de carga regional com rede ou certificados SSL

1. No console do Google Cloud , acesse o Gerenciador de Certificados (2ª geração).

   Acessar o Certificate Manager (2ª geração)

2. No menu de navegação, clique em Gerenciar ciclo de vida.

3. Clique na guia Balanceamento de carga. Uma lista dos balanceadores de carga será exibida.

4. Localize o balanceador de carga e clique no nó de alternância para expandir a linha e ver os proxies de destino associados.

5. Clique no nome do proxy de destino.

6. Clique em Configurar gerenciamento do ciclo de vida. A página mostra os certificados associados ao mapa de certificados em vigor desse proxy de destino.

7. Selecione um tipo de repositório: Certificados ou Certificados clássicos.

8. Clique em Adicionar um certificado.

9. Selecione um certificado ou crie um novo.

10. Insira os seguintes detalhes do novo certificado:

    • Nome: um nome exclusivo para esse recurso de certificado (por exemplo, my-lb-cert).
    • Escopo: selecione o escopo de distribuição de chaves apropriado (por exemplo, Default).
    • Tipo de certificado: tipos de certificados autogerenciados ou gerenciados pelo Google.
    • Nome de domínio: o nome de domínio que esse certificado vai cobrir (por exemplo, app.example.com). Esse domínio precisa ser controlado por você.
    • Configuração de emissão: selecione sua configuração de emissão na lista. Essa configuração dita a CA, o ciclo de vida e o tipo de chave.

11. Clique em Criar. O console adiciona o novo certificado à lista do proxy de destino.

12. Revise a lista de certificados e clique em Atualizar para aplicar as alterações ao proxy de destino. Essa ação atualiza o item no mapa de certificados subjacente ou cria um novo.

Balanceador de carga global com um mapa de certificados

1. No console do Google Cloud , acesse o Gerenciador de Certificados (2ª geração).

   Acessar o Certificate Manager (2ª geração)

2. No menu de navegação, clique em Gerenciar ciclo de vida.

3. Clique na guia Balanceamento de carga. Uma lista dos balanceadores de carga será exibida.

4. Localize o balanceador de carga e clique no nó de alternância para expandir a linha e ver os proxies de destino associados.

5. Clique no nome do proxy de destino.

6. Clique em Atualizar mapa de certificados. A página mostra detalhes do mapa de certificados e itens no mapa de certificados.

7. Clique em Editar e em Adicionar entrada de mapa.

8. Insira os seguintes detalhes para a nova entrada de mapa:

   • Nome: um nome exclusivo para esse recurso de certificado (por exemplo, my-lb-cert).
   • Nome do host: selecione o nome do host apropriado. As pesquisas de certificado correspondem ao nome de host exato que foi fornecido. Para subdomínios de nível único, a pesquisa também inclui certificados emitidos para o caractere curinga do domínio pai. Por exemplo, inserir app.example.com retorna certificados para app.example.com e *.example.com.

9. Selecione um certificado ou crie um novo.

10. Clique em Adicionar. O console adiciona o novo certificado à lista do proxy de destino.

11. Revise a lista de certificados e clique em Salvar para aplicar as alterações ao proxy de destino. Essa ação atualiza o item no mapa de certificados subjacente ou cria um novo.

Balanceador de carga global com um certificado de rede

1. No console do Google Cloud , acesse o Gerenciador de Certificados (2ª geração).

   Acessar o Certificate Manager (2ª geração)

2. No menu de navegação, clique em Gerenciar ciclo de vida.

3. Clique na guia Balanceamento de carga. Uma lista dos balanceadores de carga será exibida.

4. Localize o balanceador de carga e clique no nó de alternância para expandir a linha e ver os proxies de destino associados.

5. Clique no nome do proxy de destino.

6. Clique em Configurar gerenciamento do ciclo de vida. A página mostra os certificados associados ao mapa de certificados em vigor desse proxy de destino.

7. Clique em Adicionar um certificado.

8. Selecione um certificado ou crie um novo.

9. Insira os seguintes detalhes do novo certificado:

   • Nome: um nome exclusivo para esse recurso de certificado (por exemplo, my-lb-cert).
   • Escopo: selecione o escopo de distribuição de chaves apropriado (por exemplo, Default).
   • Tipo de certificado: tipos de certificados autogerenciados ou gerenciados pelo Google.
   • Nome de domínio: o nome de domínio que esse certificado vai cobrir (por exemplo, app.example.com). Esse domínio precisa ser controlado por você.
   • Configuração de emissão: selecione sua configuração de emissão na lista. Essa configuração dita a CA, o ciclo de vida e o tipo de chave.

10. Clique em Criar. O console adiciona o novo certificado à lista do proxy de destino.

11. Revise a lista de certificados e clique em Atualizar para aplicar as alterações ao proxy de destino. Essa ação atualiza o item no mapa de certificados subjacente ou cria um novo.

A seguir

• Como funciona o Certificate Manager (2ª geração)
• Configurar o gerenciamento do ciclo de vida para cargas de trabalho gerenciadas
• Criar configuração de confiança
• Ver inventário de certificados
• Monitorar seus certificados