סקירה כללית על Certificate Manager (דור שני)

‫Certificate Manager (דור שני) הוא שירות של Google Cloud שמאפשר לנהל, לפרוס ולהפוך לאוטומטיים את אישורי ה-SSL/TLS בכל הארגון. בעזרת Certificate Manager (דור שני), אתם יכולים לנהל אישורים לשירותים שונים של Google Cloud , לעומסי עבודה בהתאמה אישית ולסביבות מקומיות, דרך ממשק אחד מרכזי.

מנהל האישורים תומך בעיקר בGoogle Cloud , ואילו מנהל האישורים (דור שני) תומך גם בעומסי עבודה של Google Kubernetes Engine (GKE), במכונות Compute Engine ובסביבות היברידיות.

כדי להבין את ההבדלים בין הדור הראשון לדור השני של Certificate Manager, ראו השוואה בין הגרסאות של Certificate Manager.

התכונות של Certificate Manager (דור שני)

בעזרת Certificate Manager (דור שני) אתם יכולים:

  • מעקב אחרי אישורים: משתמשים בדף Overview במסוףGoogle Cloud כדי לעקוב אחרי תקינות האישורים, כולל אישורים פעילים לכל אחד מהשירותים, אישורים שתוקפם עומד לפוג והתפלגות האלגוריתמים הקריפטוגרפיים. למידע נוסף, קראו את המאמר מעקב אחרי אישורים.

  • חיפוש וגילוי אישורים: משתמשים בדף Certificates במסוף Google Cloud כדי לראות את כל האישורים, כולל אלה שלא הונפקו ישירות על ידי Certificate Manager. אפשר לסנן לפי סוג המשאב, סטטוס התפוגה וסטטוס הניהול. מידע נוסף זמין במאמר הצגת ספריית האישורים.

  • אוטומציה של מחזורי חיים של אישורים: שליטה ביצירה וברוטציה של אישורים במשאבי Google Cloud כמו מאזני עומסים, ובעומסי עבודה (workloads) שלGoogle Cloud על ידי הגדרת כללי מדיניות באמצעות הגדרות הנפקה. אפשר לציין את ההגדרות הבאות לרוטציה בניהול אוטומטי:

    • משך החיים של האישור
    • אלגוריתם מפתח
    • חלון הרוטציה

    מידע נוסף זמין במאמרים יצירת הגדרות הנפקה, הגדרת ניהול מחזור החיים של מאזני עומסים והגדרת ניהול מחזור החיים של עומסי עבודה מנוהלים.

  • תקשורת מאובטחת של עומסי עבודה: מגדירים ומפיצים ישויות עוגן אמינות, כמו אישורי CA בסיסיים ואישורי ביניים, כדי לוודא שעומסי העבודה מסתמכים רק על אישורים מורשים. מידע נוסף מופיע במאמר יצירת הגדרות אמון.

שירותי Google Cloud נתמכים

Certificate Manager (דור 2) משתלב ישירות עם Certificate Authority Service ועם Public CA, כדי לפשט את הניהול של אישורים פרטיים וציבוריים. הוא תומך בשני מודלים של שילוב:

  1. Certificate Manager (דור שני) מנהל באופן אוטומטי את האישורים לשירותים הבאים:

    • סביבות מנוהלות שמופעלת בהן זהות של עומסי עבודה:
      • ‫GKE: הנפקה ורוטציה אוטומטית של אישורים לעומסי העבודה ב-GKE.
      • ‫Compute Engine: ניהול אוטומטי של אישורים במכונות של Compute Engine.
    • ‫Cloud Load Balancing: הכלי Certificate Manager (דור שני) מאפשר להקצות ולחדש באופן אוטומטי אישורי TLS ל-Cloud Load Balancing באמצעות הגדרות הנפקה. האוטומציה הזו כוללת אבטחה של תקשורת Mutual TLS (mTLS) בין מאזני עומסים של אפליקציות לבין הקצוות העורפיים שלהם.

  2. שירות CA מנהל באופן אוטומטי את האישורים לשירותים הבאים, ו-Certificate Manager (דור שני) צופה בהם:

    • סביבות שבהן Agent Identity מופעל:
      • ‫Vertex AI Agent Engine: ניהול אוטומטי של אישורים כדי לאפשר אימות מאובטח ל- Google Cloud ולממשקי API של צד שלישי.
      • ‫Gemini Enterprise: ניהול אישורים אוטומטי לסוכני בסיס, לסוכנים שנוצרו בלי תכנות ולסוכנים בניהול Google בפלטפורמת Gemini Enterprise.
    • ‫Cloud SQL: מכונות של Cloud SQL עם אישורים שהונפקו על ידי שירות ה-CA שלכם מופיעות ב-Certificate Manager (דור שני) לצורך ניהול וניטור.
    • ‫Secure Web Proxy: שרתי proxy עם אישורים שהונפקו על ידי שירות ה-CA שלכם מופיעים ב-Certificate Manager (דור שני) לצורך ניהול וניטור.
    • ‫Cloud Service Mesh: לעומסי עבודה ב-GKE שמשתמשים ב-Cloud Service Mesh יש אישורים ש-Certificate Manager (דור שני) מנטר ומנהל.
    • שליטה במישור הבקרה של GKE: אשכולות GKE שמשתמשים ברשות אישורים ובאישורים בהתאמה אישית (מ-CA Service) כדי לחתום על פרטי כניסה ולאמת אותם במישור הבקרה של GKE, כוללים אישורים ש-Certificate Manager (דור שני) מנטר ומנהל.

איך Certificate Manager (דור שני) משפיע על ממשקי API, על ה-CLI של gcloud ועל Terraform

Certificate Manager (דור 2) מציג תכונות שמבוססות על ממשקי ה-API הקיימים ועל ה-API החדש.

  • Certificate Manager (דור שני): תכונות מהדור השני נתמכות באופן מלא וניתן לנהל אותן במסוף Google Cloud .
  • ‫Certificate Manager: ממשקי ה-API הקיימים לא הוצאו משימוש. אתם יכולים להמשיך להשתמש ב-CLI של gcloud, ב-Terraform ובקריאות ישירות ל-HTTP API כדי להשתמש בתכונות של הדור הראשון.

ב-Certificate Manager (דור שני) משתמשים במרחבי השמות של ה-API‏ v1 ו-v2.

ברשימה הבאה מפורטת החלוקה של מרחב השמות של ה-API לכל משאב:

  • מרחב השמות v2: מכיל את Observed Certificates API‏ (v2/projects.locations.observedCertificates)
  • מרחב השמות v1: מכיל את ממשקי ה-API לניהול ליבה שמשמשים בשני הדורות:
    • ‫Certificate API‏ (v1/projects.locations.certificates)
    • ‫Certificate Map API ‏ (v1/projects.locations.certificateMaps)
    • Certificate Issuance Config API (v1/projects.locations.certificateIssuanceConfigs)
    • ‫Trust Config API ‏ (v1/projects.locations.trustConfigs)

המאמרים הבאים