איך פועל Certificate Manager (דור שני)

במאמר הזה מוסבר על הרכיבים העיקריים של Certificate Manager (דור שני) ואיך הם פועלים עם משאבי Google Cloud ומקורות חיצוניים של רשויות אישורים.

Certificate Manager (דור שני) מאפשר לכם להטמיע תכונות באופן הדרגתי. אתם יכולים להתחיל במעקב על מלאי האישורים הקיים שלכם, ואז להוסיף הנפקה אוטומטית או ניהול של אמון ככל שהצרכים שלכם גדלים.

רכיבי ליבה

Certificate Manager (דור שני) כולל את רכיבי הליבה הבאים:

  • ספריית אישורים: רשימה מאוחדת של כל האישורים שזוהו ושל האישורים שהועלו באופן ידני בפרויקט.
  • מרכז בקרה של סקירה כללית: כלי מעקב שמסכם את סביבת האישורים, כולל התראות על תפוגה ומגמות אבטחה.
  • הגדרות הנפקה: מדיניות לשימוש חוזר שמגדירה איך Certificate Manager (דור שני) יוצר ומנהל חידושים אוטומטיים של אישורים.
  • הגדרות מהימנות: הגדרות של עוגני מהימנות, כמו אישורי CA בסיסיים, שעומסי עבודה משתמשים בהם ל-TLS בו-זמני (mTLS) כדי לאמת זהויות.

סקירה כללית של הארכיטקטורה

הדיאגרמה הבאה מציגה את האינטראקציות בין הרכיבים האלה:

דיאגרמת ארכיטקטורה שבה מוצגים הרכיבים העיקריים של Certificate Manager (דור שני) והאינטראקציות שלהם עם משאבי Google Cloud ומקורות חיצוניים של רשויות אישורים (CA).
ארכיטקטורה של Certificate Manager (דור שני) שבה מוצגות אינטראקציות בין רכיבים.

מלאי האישורים מוסיף אישורים משירות CA וממשאבים משולבים של Google Cloud . אתם יכולים להשתמש בלוח הבקרה של הסקירה הכללית כדי לעקוב אחרי תקינות האישורים, ולהגדיר את הגדרות ההנפקה והאמון כדי להפוך את ניהול מחזור החיים לאוטומטי. בקטעים הבאים מפורט כל רכיב.

ניראות (observability) של אישורים

Certificate Manager (דור שני) עוקב אוטומטית אחרי הסביבה שלכם ומאכלס את ספריית האישורים מהמקורות הבאים:

  • שירותים Google Cloud משולבים: אישורים שמשמשים שירותים כמו ניהול זהויות של עומסי עבודה ו-Cloud Load Balancing (כולל אישורים שהועלו ואישורים קלאסיים).
  • Certificate Authority Service: אישורים שמונפקים על ידי מאגרי CA פרטיים.

מעקב אחר אישורים

מרכז הבקרה של הסקירה הכללית משתמש בנתונים ממאגר האישורים כדי לסכם את מצב הבריאות והאבטחה של הסביבה שלכם. אתם יכולים להשתמש בלוח הבקרה כדי לבצע את המשימות הבאות:

  • זיהוי אישורים שעומד לפוג התוקף שלהם: אפשר לתת עדיפות לחידושים על ידי בדיקה של האישורים שעומד לפוג התוקף שלהם בכל השירותים.
  • ביקורת על מצב האבטחה: מעקב אחרי ההפצה של אלגוריתמים קריפטוגרפיים ואורכי מפתחות כדי לוודא שהם עומדים בתקני האבטחה.
  • מעקב אחרי מגמות הנפקה: קבלת תובנות לגבי השימוש באישורים והנפקתם לאורך זמן.

ניהול אוטומטי של מחזור החיים של אישורים

אתם יכולים להגדיר את ההנפקה ואת הגדרות האמון כדי לאפשר ניהול אוטומטי של האישורים:

  • הגדרות הנפקה: הגדרה של פרמטרים כמו אורך חיים, אלגוריתם מפתח וחלון רוטציה. כשמשייכים הגדרת הנפקה למשאב, Certificate Manager (דור שני) יוצר ומחדש את האישור באופן אוטומטי.
  • הגדרות אמון: הפצת עוגני אמון לאפליקציות כדי לאבטח תקשורת בין עומסי עבודה באמצעות TLS הדדי (mTLS). הגישה הזו מבטיחה שהאפליקציות יסתמכו רק על אישורים שאושרו.

המאמרים הבאים