Lebenszyklusverwaltung für verwaltete Arbeitslasten konfigurieren

Vorschau

Dieses Produkt oder diese Funktion unterliegt den „Pre-GA-Angebotsbedingungen“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA-Produkte und -Features sind "im Ist-Zustand" verfügbar und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

In diesem Dokument wird beschrieben, wie Sie die Verwaltung des Zertifikatslebenszyklus für verwaltete Arbeitslasten wie Compute Engine und Google Kubernetes Engine (GKE) mit dem Zertifikatmanager (2. Generation) konfigurieren. Sie können die Ausstellung und Erneuerung von Zertifikaten automatisieren, indem Sie einen verwalteten Workload Identity-Pool mithilfe einer Konfiguration für die Zertifikatsausstellung mit einem Certificate Authority Service-Pool verknüpfen. So lassen sich Dienstausfälle aufgrund abgelaufener Zertifikate vermeiden.

Funktionsweise der verwalteten Workload Identity

Managed Workload Identity stellt Ihren Compute Engine- und GKE-Workloads eine attestierte Identität sowie ein Zertifikat und die Trust-Anchor bereit, die die Workloads zur gegenseitigen Authentifizierung über gegenseitiges TLS (mTLS) verwenden. Verwaltete Arbeitslastidentitäten werden in einem Workload Identity-Pool gruppiert, der als Vertrauensgrenze für die darin enthaltenen Identitäten dient.

Wenn Sie einen Workload Identity-Pool mit einem CA Service-Pool verknüpfen, stelltGoogle Cloud automatisch Zertifikate für Ihre Arbeitslasten aus und erneuert sie. Durch diese Automatisierung entfällt die manuelle Verwaltung von Anmeldedaten und Dienstausfälle werden verhindert.

Hinweis

Melden Sie sich in Ihrem Google Cloud -Konto an. Wenn Sie mit Google Cloudnoch nicht vertraut sind, erstellen Sie einfach ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

1. Prüfen Sie, ob Sie einen vorhandenen Workload Identity-Pool mit verwalteten Arbeitslastidentitäten haben. Weitere Informationen finden Sie unter Authentifizierung von verwaltetem Workload Identity für Compute Engine konfigurieren oder Authentifizierung von verwaltetem Workload Identity für GKE konfigurieren.
2. Sie benötigen einen vorhandenen CA Service-Pool, der Zertifikate für Ihre Arbeitslasten ausstellen kann. Weitere Informationen finden Sie unter CA-Pool erstellen.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für das Projekt zuzuweisen, damit Sie die nötigen Berechtigungen für die Konfiguration der Lebenszyklusverwaltung haben:

• Zertifikatmanager-Bearbeiter (roles/certificatemanager.editor)
• Zertifikatmanager für CA-Dienst (roles/privateca.certificateManager)
• Workload Identity Pool Admin (roles/iam.workloadIdentityPoolAdmin)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Lebenszyklus für verwaltete Arbeitslasten konfigurieren

Konfigurieren Sie einen verwalteten Workload Identity-Pool, um festzulegen, wie zugehörige Arbeitslasten Zertifikate von Ihrem vorhandenen CA Service-Pool erhalten und verlängern.

1. Rufen Sie in der Google Cloud Console die Seite Zertifikatmanager (2. Generation) auf.

   Zum Zertifikatmanager (2. Generation)

2. Klicken Sie im Navigationsbereich auf Lebenszyklus verwalten.
3. Wählen Sie den Tab Verwaltete Workload Identity aus.
4. Suchen Sie den Workload Identity-Pool, den Sie konfigurieren möchten, und klicken Sie dann auf Lebenszyklusverwaltung konfigurieren.
5. Wählen Sie die Region und den CA-Pool für die Region aus.
6. Geben Sie im Feld Zertifikatslebensdauer die Gültigkeit des ausgestellten Zertifikats an. Der Wert muss zwischen 21 und 30 Tagen liegen.
7. Legen Sie für das Rotationsfenster einen Wert zwischen 50 und 80 fest. Dies ist der Prozentsatz der Zertifikatslebensdauer, der eine Verlängerung auslöst.
8. Wählen Sie im Feld Schlüsselalgorithmus den Verschlüsselungsalgorithmus aus, der zum Generieren des privaten Schlüssels verwendet werden soll.
9. Klicken Sie auf Aktualisieren.

Nächste Schritte

• Zertifikatsinventar ansehen
• Ausstellungskonfiguration erstellen
• Zertifikate überwachen
• Lebenszyklusverwaltung für Load Balancer konfigurieren
• Konfiguration der Vertrauensstellung erstellen