הגדרת ניהול מחזור חיים לעומסי עבודה מנוהלים

השימוש במוצר או בתכונה כפוף לתנאי השימוש במוצרים בגרסת טרום-GA, בחלק "תנאים כלליים לשירות" של התנאים הספציפיים לשירות. השימוש בתכונות ובמוצרים בגרסת טרום-GA הוא "כפי שהם" (As is), ויכול להיות שהתמיכה בהם תהיה מוגבלת. מידע נוסף זמין בקטע תיאור שלבי ההשקה.

במאמר הזה מוסבר איך להגדיר ניהול של מחזור החיים של אישורים עבור עומסי עבודה מנוהלים כמו Compute Engine ו-Google Kubernetes Engine ‏ (GKE), באמצעות Certificate Manager (דור שני). אפשר להפוך את הנפקת האישורים והחידוש שלהם לאוטומטיים על ידי קישור מאגר זהויות של עומסי עבודה למאגר Certificate Authority Service באמצעות הגדרת הנפקת אישורים. כך אפשר למנוע הפסקות בשירות שנגרמות בגלל אישורים שתוקפם פג.

לפני שמתחילים

נכנסים לחשבון Google Cloud . אם אתם משתמשים חדשים ב- Google Cloud, צרו חשבון כדי שתוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the APIs

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the APIs

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות להגדרה של ניהול מחזור החיים, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בפרויקט:

• עריכה ב-Certificate Manager (roles/certificatemanager.editor)
• מנהל אישורים של שירות CA (roles/privateca.certificateManager)
• אדמין במאגר זהויות של עומסי עבודה (roles/iam.workloadIdentityPoolAdmin)

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

הגדרת מחזור חיים לעומסי עבודה מנוהלים

מגדירים מאגר זהויות מנוהל של עומסי עבודה כדי לציין איך עומסי עבודה משויכים מקבלים ומחדשים אישורים ממאגר קיים של CA Service.

1. נכנסים לדף Certificate Manager (דור שני) במסוף Google Cloud .

   מעבר אל Certificate Manager (דור שני)

2. בחלונית הניווט, לוחצים על Manage Lifecycle (ניהול מחזור החיים).
3. לוחצים על הכרטיסייה Managed Workload Identity (זהויות מנוהלות של עומסי עבודה).
4. מאתרים את מאגר הזהויות של עומסי עבודה שרוצים להגדיר ולוחצים על Configure lifecycle management (הגדרת ניהול מחזור חיים).
5. בוחרים את האזור ואת מאגר האישורים לאזור.
6. בשדה Certificate lifetime, מציינים את תוקף האישור שהונפק. הערך צריך להיות בין 21 ל-30 ימים.
7. מגדירים את חלון הרוטציה לערך בין 50 ל-80. זהו האחוז ממחזור החיים של האישור שמפעיל חידוש.
8. בשדה אלגוריתם המפתח, בוחרים את אלגוריתם ההצפנה שבו יש להשתמש כדי ליצור את המפתח הפרטי.
9. לוחצים על עדכון.

המאמרים הבאים

• צפייה במלאי האישורים
• יצירת הגדרת הנפקה
• מעקב אחרי האישורים
• הגדרת ניהול מחזור חיים למאזני עומסים
• יצירת הגדרת אמון