Menggunakan sertifikat SSL yang dikelola Google.

Gunakan sertifikat SSL yang dikelola Google Compute Engine untuk menyederhanakan pengamanan domain Anda dengan mengotomatiskan perolehan, pengelolaan, dan perpanjangan sertifikat Validasi Domain (DV). Sertifikat ini mendukung beberapa nama host dan Google Cloud memperpanjang sertifikat secara otomatis.

Sertifikat yang dikelola Google Compute Engine didukung dengan load balancer berikut:

• Load Balancer Aplikasi eksternal global
• Load Balancer Aplikasi klasik
• Load Balancer Jaringan proxy eksternal (dengan proxy SSL target)

Sertifikat SSL yang dikelola Google Compute Engine tidak didukung untuk Load Balancer Aplikasi eksternal regional, Load Balancer Aplikasi internal regional, atau Load Balancer Aplikasi internal lintas region. Untuk load balancer ini, Anda dapat menggunakan sertifikat SSL yang dikelola sendiri oleh Compute Engine. Atau, Anda dapat menggunakan Certificate Manager, yang mendukung sertifikat yang dikelola sendiri dan dikelola Google untuk sebagian besar load balancer.

Anda juga dapat menggunakan sertifikat SSL terkelola dengan Google Kubernetes Engine. Untuk mengetahui informasi selengkapnya, lihat Menggunakan sertifikat SSL yang dikelola Google.

Anda dapat membuat sertifikat yang dikelola Google sebelum, selama, atau setelah membuat load balancer. Halaman ini mengasumsikan bahwa Anda membuat sertifikat Compute Engine sebelum atau setelah membuat load balancer, bukan selama proses pembuatan. Untuk membuat sertifikat saat membuat load balancer, lihat halaman petunjuk load balancer.

Sebelum memulai

• Pastikan Anda memahami ringkasan sertifikat SSL.
• Pastikan Anda memiliki nama domain yang ingin digunakan untuk sertifikat SSL yang dikelola Google. Jika Anda menggunakan Cloud Domains, lihat Mendaftarkan domain.

• Pastikan Anda telah mengaktifkan Compute Engine API untuk project Anda.

  Mengaktifkan Compute Engine API

Izin

Untuk mengikuti panduan ini, Anda harus dapat membuat dan mengubah sertifikat SSL di project Anda. Anda dapat melakukannya jika salah satu hal berikut berlaku:

• Anda adalah Pemilik atau Editor project (roles/owner atau roles/editor).
• Anda memiliki peran Compute Security Admin (compute.securityAdmin) dan peran Compute Network Admin (compute.networkAdmin) dalam project.
• Anda memiliki peran khusus untuk project yang menyertakan izin compute.sslCertificates.* dan salah satu atau kedua izin compute.targetHttpsProxies.* dan compute.targetSslProxies.*, bergantung pada jenis load balancer yang Anda gunakan.

Langkah 1. Membuat sertifikat SSL yang dikelola Google

Catatan: Untuk sertifikat yang dikelola Google untuk Ingress GKE, lihat Menggunakan sertifikat SSL yang dikelola Google.

Anda dapat membuat sertifikat yang dikelola Google sebelum, selama, atau setelah membuat load balancer. Selama proses pembuatan load balancer di konsolGoogle Cloud , Anda dapat menggunakan konsol Google Cloud untuk membuat sertifikat. Atau, Anda dapat membuat sertifikat sebelum atau setelah membuat load balancer. Langkah ini menunjukkan cara membuat sertifikat yang nantinya dapat Anda tambahkan ke satu atau beberapa load balancer.

Jika sudah membuat sertifikat SSL yang dikelola Google, Anda dapat melewati langkah ini.

Konsol

Anda dapat menggunakan sertifikat SSL global di tab Classic Certificates di halaman Certificate Manager.

Catatan: Prosedur berikut akan mengarahkan Anda langsung ke tab Classic Certificates. Anda dapat menemukan tab Sertifikat Klasik di halaman Pengelola Sertifikat yang ditautkan dari halaman Keamanan tingkat teratas.

1. Buka tab Classic Certificates di konsol Google Cloud .
   Buka Classic Certificates
2. Klik Buat sertifikat SSL.
3. Masukkan nama dan deskripsi opsional untuk sertifikat.
4. Pilih Create Google-managed certificate.
5. Tambahkan domain.
6. Klik Create.

gcloud

Untuk membuat sertifikat SSL global yang dikelola Google untuk Load Balancer Aplikasi eksternal global atau Load Balancer Jaringan proxy eksternal, gunakan perintah gcloud compute ssl-certificates create:

gcloud compute ssl-certificates create CERTIFICATE_NAME \
    --description=DESCRIPTION \
    --domains=DOMAIN_LIST \
    --global

Ganti kode berikut:

• CERTIFICATE_NAME: nama untuk sertifikat SSL global
• DESCRIPTION: deskripsi untuk sertifikat SSL global
• DOMAIN_LIST: satu nama domain atau daftar nama domain yang dipisahkan koma untuk digunakan pada sertifikat ini

Terraform

Untuk membuat sertifikat SSL yang dikelola Google, gunakan resource google_compute_managed_ssl_certificate.

resource "google_compute_managed_ssl_certificate" "lb_default" {
  provider = google-beta
  name     = "myservice-ssl-cert"

  managed {
    domains = ["example.com"]
  }
}

api

Buat resource sertifikat yang dikelola Google dengan metode sslCertificates.insert, ganti PROJECT_ID dengan project ID Anda.

POST https://compute.googleapis.com/compute/v1/projects/<var>PROJECT_ID</var>/global/sslCertificates
{
  "name": "ssl-certificate-name",
  "managed": {
    "domains": [
      "www.example.com"
    ]
  },
  "type": "MANAGED"
}

Memeriksa status sertifikat SSL yang dikelola Google

Konsol

Anda dapat memeriksa status sertifikat SSL global di tab Classic Certificates pada halaman Certificate Manager.

1. Buka tab Classic Certificates di konsol Google Cloud .
   Buka Sertifikat Klasik
2. Opsional: Memfilter daftar sertifikat SSL.
3. Periksa kolom Status.
4. Untuk melihat detail selengkapnya, klik nama sertifikat.

gcloud

Untuk menentukan status sertifikat yang dikelola Google, Anda dapat menggunakan perintah gcloud compute. Setelah menjalankan perintah yang sesuai, perhatikan hal berikut:

• Status terkelola.
• Status domain.

Untuk mencantumkan sertifikat SSL yang dikelola Google, gunakan perintah gcloud compute ssl-certificates list dengan flag --global .

gcloud compute ssl-certificates list \
   --global

Anda dapat menggunakan perintah gcloud compute ssl-certificates describe, dengan mengganti CERTIFICATE_NAME:

gcloud compute ssl-certificates describe CERTIFICATE_NAME \
   --global \
   --format="get(name,managed.status, managed.domainStatus)"

Pada tahap ini, status sertifikat dan status domain adalah PROVISIONING. Setelah Anda menyelesaikan langkah-langkah di halaman ini, status akan berubah menjadi ACTIVE.

Untuk mengetahui informasi selengkapnya tentang status, lihat halaman pemecahan masalah.

Langkah 2: Buat atau perbarui load balancer Anda

Agar menjadi ACTIVE, sertifikat SSL yang dikelola Google harus dikaitkan dengan load balancer, khususnya proxy target load balancer.

Setelah membuat sertifikat SSL dan sertifikat tersebut berada dalam status PROVISIONING, Anda dapat menggunakannya selama pembuatan load balancer, seperti yang dijelaskan dalam panduan cara kerja berikut:

• Menyiapkan Load Balancer Aplikasi eksternal global dengan backend Compute Engine
• Menyiapkan Load Balancer Aplikasi klasik dengan backend Compute Engine
• Menyiapkan Load Balancer Jaringan proxy eksternal dengan proxy SSL

Atau, Anda dapat menggunakannya untuk mengupdate load balancer yang ada, seperti yang dijelaskan di sini:

Konsol

Saat Anda mengupdate Load Balancer Aplikasi eksternal global atau Load Balancer Jaringan proxy eksternal menggunakan konsolGoogle Cloud , Google Cloud akan otomatis mengaitkan sertifikat SSL Anda dengan proxy target yang benar.

1. Buka halaman Load balancing di konsol Google Cloud .
   Buka Load balancing
2. Klik nama load balancer Anda.
3. Klik Edit .
4. Klik Frontend configuration.
5. Klik front end yang benar (harus HTTPS, HTTP/2, SSL).
6. Klik Sertifikat tambahan, lalu pilih sertifikat yang dikelola Google dari menu drop-down.
7. Klik Create.

gcloud

Untuk mengaitkan sertifikat SSL dengan proxy HTTPS target untuk Load Balancer Aplikasi eksternal global, gunakan perintah gcloud compute target-https-proxies update dengan flag --global-ssl-certificates dan --global:

gcloud compute target-https-proxies update TARGET_PROXY_NAME \
    --ssl-certificates SSL_CERTIFICATE_LIST \
    --global-ssl-certificates \
    --global

Untuk mengaitkan sertifikat SSL dengan proxy SSL target untuk Load Balancer Jaringan proxy eksternal, gunakan perintah gcloud compute target-ssl-proxies update:

gcloud compute target-ssl-proxies update TARGET_PROXY_NAME \
    --ssl-certificates SSL_CERTIFICATE_LIST

Ganti kode berikut:

• TARGET_PROXY_NAME: nama proxy target load balancer

• SSL_CERTIFICATE_LIST: daftar resource sertifikat SSL yang dipisahkan koma

  Pastikan daftar sertifikat yang dirujuk mencakup semua sertifikat SSL lama yang valid serta sertifikat SSL baru. Perintah gcloud compute target-ssl-proxies update mengganti nilai asli untuk --ssl-certificates dengan nilai baru.

Terraform

Untuk membuat proxy HTTPS target, gunakan resource google_compute_target_https_proxy.

Untuk membuat proxy SSL target, gunakan resource google_compute_target_ssl_proxy.

resource "google_compute_target_https_proxy" "lb_default" {
  provider = google-beta
  name     = "myservice-https-proxy"
  url_map  = google_compute_url_map.lb_default.id
  ssl_certificates = [
    google_compute_managed_ssl_certificate.lb_default.name
  ]
  depends_on = [
    google_compute_managed_ssl_certificate.lb_default
  ]
}

Setiap proxy HTTPS target atau proxy SSL target harus mereferensikan setidaknya satu sertifikat SSL. Proxy target dapat mereferensikan lebih dari satu sertifikat SSL. Untuk mengetahui detailnya, lihat Kumpulan target dan proxy target dalam kuota dan batas resource load balancing.

Penting: Aturan penerusan load balancer Anda harus menggunakan port TCP 443 agar sertifikat yang dikelola Google dapat disediakan di awal dan diperpanjang secara otomatis.

Langkah 3: Memverifikasi pengaitan proxy target

Setelah membuat atau memperbarui load balancer, Anda dapat memastikan bahwa sertifikat SSL dikaitkan dengan proxy target load balancer.

Jika Anda belum mengetahui nama proxy target, gunakan perintah gcloud compute target-https-proxies list dan gcloud compute target-ssl-proxies list untuk mencantumkan proxy target dalam project Anda.

Verifikasi pengaitan antara sertifikat SSL dan proxy target dengan menjalankan perintah berikut.

Untuk Load Balancer Aplikasi eksternal global:

gcloud compute target-https-proxies describe TARGET_HTTPS_PROXY_NAME \
    --global \
    --format="get(sslCertificates)"

Untuk Load Balancer Jaringan proxy eksternal:

gcloud compute target-ssl-proxies describe TARGET_SSL_PROXY_NAME \
    --format="get(sslCertificates)"

Pada tahap ini, status sertifikat yang dikelola Google mungkin masih PROVISIONING. Google Cloud sedang bekerja sama dengan Certificate Authority untuk menerbitkan sertifikat. Penyediaan sertifikat yang dikelola Google mungkin memerlukan waktu hingga 60 menit.

Langkah 4: Perbarui data A dan AAAA DNS agar mengarah ke alamat IP load balancer

Data DNS Anda mungkin dikelola di situs registrar, host DNS, atau ISP Anda.

Saat mengelola catatan Anda, perhatikan hal berikut:

• Pastikan data DNS A (untuk IPv4) dan data DNS AAAA (untuk IPv6) untuk domain dan subdomain Anda mengarah ke alamat IP yang terkait dengan aturan penerusan load balancer.

  Untuk menyediakan sertifikat SSL, pastikan data A dan AAAA mengarah ke alamat IP load balancer di DNS publik.

• Jika Anda menggunakan Cloud DNS, siapkan domain Anda dan perbarui server nama Anda.

• Jika Anda memiliki beberapa domain dalam sertifikat yang dikelola Google, tambahkan atau perbarui data DNS untuk semua domain dan subdomain agar mengarah ke alamat IP load balancer Anda. Validasi sertifikat gagal jika domain dan subdomain dalam sertifikat yang dikelola Google mengarah ke IP lain selain alamat IP aturan penerusan load balancer.

• Pastikan penyedia DNS Anda merespons secara konsisten semua permintaan validasi domain global.

Sertifikat terkelola berhasil disediakan jika hal berikut terpenuhi:

• Data DNS domain Anda menggunakan data CNAME yang mengarah ke domain lain.
• Domain lain berisi data A atau AAAA yang mengarah ke alamat IP load balancer Anda.

Penting: Sebaiknya pastikan domain Anda diarahkan langsung ke alamat IP load balancer. Untuk load balancer yang mengaktifkan Cloud CDN, beberapa penyedia CDN pihak ketiga mungkin mencegah keberhasilan permintaan validasi. Hal ini dapat terjadi jika penyedia CDN secara aktif melakukan proxy traffic HTTP(S).

Anda dapat memverifikasi penyiapan dengan menjalankan perintah dig. Misalnya, anggap domain Anda adalah www.example.com. Jalankan perintah dig berikut:

dig www.example.com

; <<>> DiG 9.10.6 <<>> www.example.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 31748
;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;www.example.com.           IN  A

;; ANSWER SECTION:
www.example.com. 1742    IN      CNAME   example.net.
example.net.      12     IN      A       34.95.64.10

;; Query time: 43 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Wed Jun 03 16:54:44 PDT 2020
;; MSG SIZE  rcvd: 193

Dalam contoh ini, 34.95.64.10 adalah alamat IP load balancer Anda.

Resolver DNS di internet berada di luar kontrol Google Cloud. Server ini meng-cache set data resource sesuai dengan time to live (TTL)-nya, yang berarti perintah dig atau nslookup mungkin menampilkan nilai yang di-cache. Jika Anda menggunakan Cloud DNS, lihat Penerapan perubahan.

Catatan: Validasi domain DNS adalah proses otomatis yang secara berkala memeriksa data A dan AAAA domain untuk alamat IP yang cocok dari load balancer Google Cloud. Proses ini memiliki backoff eksponensial otomatis untuk waktu tunggu di antara pemeriksaan validasi. Jika deployment disiapkan sebelumnya dan waktu cutover layanan direncanakan selama masa pemeliharaan tertentu sehari atau lebih setelah deployment awal, Google merekomendasikan agar Anda membuat atau membuat ulang sertifikat sesaat sebelum atau selama masa pemeliharaan daripada mengandalkan validasi domain yang berjalan selama waktu tertentu (karena backoff timer).

Waktu propagasi data DNS

Data DNS A dan AAAA yang baru diupdate dapat memerlukan waktu yang signifikan untuk diterapkan sepenuhnya. Terkadang, propagasi di seluruh internet memerlukan waktu hingga 72 jam di seluruh dunia, meskipun biasanya hanya memerlukan waktu beberapa jam.

Jalankan kembali perintah berikut:

gcloud compute ssl-certificates describe CERTIFICATE_NAME \
    --format="get(managed.domainStatus)"

Jika status domain Anda adalah FAILED_NOT_VISIBLE, hal ini mungkin karena propagasi belum selesai.

Untuk mengetahui informasi mendetail, lihat bagian Status domain sertifikat SSL yang dikelola Google di halaman Pemecahan masalah.

Validasi domain multi-perspektif

Google Cloud memperpanjang sertifikat yang dikelola Google secara berkala dengan memintanya dari certificate authority (CA). CA yang Google Cloud bekerja sama dengan untuk memperpanjang sertifikat Anda menggunakan metode validasi domain multi-perspektif yang dikenal sebagai Multi-Perspective Issuance Corroboration (MPIC). Sebagai bagian dari proses ini, certificate authority memverifikasi kontrol domain dengan memeriksa setelan DNS domain dan mencoba menghubungi server di balik alamat IP domain. Verifikasi ini dilakukan dari beberapa sudut pandang di seluruh internet. Jika proses validasi gagal, sertifikat yang dikelola Google akan gagal diperpanjang. Akibatnya, load balancer Anda menyajikan sertifikat yang sudah tidak berlaku kepada klien, sehingga pengguna browser mengalami error sertifikat dan klien API mengalami kegagalan koneksi.

Untuk mencegah kegagalan validasi domain multi-perspektif untuk data DNS yang salah dikonfigurasi, perhatikan hal berikut:

• Data DNS A (IPv4) dan data DNS AAAA (IPv6) untuk domain dan subdomain Anda hanya mengarah ke alamat IP yang terkait dengan aturan penerusan load balancer. Adanya alamat lain dalam catatan dapat menyebabkan validasi gagal.
• CA, yang melakukan validasi data DNS, mengkueri data DNS dari beberapa lokasi. Pastikan penyedia DNS Anda merespons semua permintaan validasi domain global secara konsisten.
• Menggunakan GeoDNS (menampilkan alamat IP yang berbeda berdasarkan lokasi permintaan) atau kebijakan DNS berbasis lokasi dapat menyebabkan respons yang tidak konsisten dan menyebabkan validasi gagal. Jika penyedia DNS Anda menggunakan GeoDNS, nonaktifkan, atau pastikan semua region menampilkan alamat IP load balancer yang sama.
• Anda harus secara eksplisit menentukan alamat IP load balancer dalam konfigurasi DNS. Lapisan perantara, seperti CDN, dapat menyebabkan perilaku yang tidak dapat diprediksi. Alamat IP harus dapat diakses secara langsung tanpa pengalihan, firewall, atau CDN apa pun di jalur permintaan. Untuk mempelajari lebih lanjut, lihat bagian Load balancer di belakang CDN dalam dokumen ini.
• Sebaiknya Anda menggunakan pemeriksa propagasi global DNS pilihan Anda untuk memverifikasi bahwa semua data DNS yang relevan diselesaikan dengan benar dan konsisten di seluruh dunia.

Memverifikasi perubahan konfigurasi

Setelah mengonfigurasi data DNS, Anda dapat memverifikasi bahwa data tersebut sudah benar dengan membuat sertifikat baru dan menghubungkannya ke load balancer bersama dengan sertifikat yang ada. Langkah ini akan memaksa pemeriksaan penyediaan sertifikat langsung dengan CA, sehingga Anda dapat memverifikasi perubahan konfigurasi dalam hitungan menit. Tanpa hal ini, perpanjangan otomatis sertifikat yang ada dapat memakan waktu berhari-hari atau berminggu-minggu, sehingga menimbulkan ketidakpastian tentang penyiapan Anda.

Jika status sertifikat menjadi ACTIVE, berarti sertifikat telah diterbitkan, sehingga mengonfirmasi bahwa konfigurasi DNS Anda sudah benar. Pada tahap ini, sebaiknya hapus sertifikat sebelumnya untuk menghindari kepemilikan dua sertifikat terpisah untuk domain yang sama. Proses ini tidak mengganggu traffic ke load balancer Anda.

Sertifikat baru berfungsi sebagai alat validasi—pembuatannya mengonfirmasi bahwa validasi domain multi-perspektif menggunakan MPIC berfungsi dengan benar untuk penyiapan Anda.

Load balancer di balik CDN

Untuk load balancer yang mengaktifkan CDN, beberapa penyedia CDN pihak ketiga di jalur permintaan mungkin mencegah permintaan validasi berhasil. Hal ini dapat terjadi jika penyedia CDN secara aktif mem-proxy traffic HTTP(S).

Dalam kasus tersebut, sebaiknya migrasikan sertifikat Anda ke Certificate Manager dan gunakan metode otorisasi DNS untuk menyediakan sertifikat yang dikelola Google. Pendekatan yang kedua tidak mengharuskan CA untuk menghubungi load balancer Anda.

Langkah 5: Uji dengan OpenSSL

Setelah status sertifikat dan domain menjadi aktif, diperlukan waktu hingga 30 menit agar load balancer Anda mulai menggunakan sertifikat SSL yang dikelola Google.

Untuk menguji, jalankan perintah OpenSSL berikut, dengan mengganti DOMAIN dengan nama DNS Anda dan IP_ADDRESS dengan alamat IP load balancer Anda.

echo | openssl s_client -showcerts -servername DOMAIN -connect IP_ADDRESS:443 -verify 99 -verify_return_error

Perintah ini menampilkan sertifikat yang diberikan load balancer kepada klien. Selain informasi mendetail lainnya, output harus menyertakan rantai sertifikat dan Verify return code: 0 (ok).

Prosedur tambahan

Bagian ini berisi prosedur tambahan untuk mengelola sertifikat Anda.

Mendukung beberapa domain dengan sertifikat SSL yang dikelola Google

Beberapa nama alternatif subjek didukung. Setiap sertifikat SSL yang dikelola Google mendukung hingga jumlah maksimum domain per sertifikat SSL yang dikelola Google.

Jika Anda memiliki lebih dari jumlah maksimum domain, Anda harus meminta beberapa sertifikat yang dikelola Google. Misalnya, jika Anda mencoba membuat sertifikat yang dikelola Google dengan (jumlah maksimum + 1) domain, Google tidak akan menerbitkan sertifikat apa pun. Sebagai gantinya, Anda harus membuat dua atau beberapa sertifikat yang dikelola Google dan menyatakan secara eksplisit domain mana yang terkait dengan setiap sertifikat.

Google Cloud menerapkan Server Name Indication (SNI), seperti yang didefinisikan dalam RFC 6066.

Untuk membantu memastikan bahwa sertifikat Anda tidak gagal dalam langkah validasi domain pada proses perpanjangan, tinjau persyaratan untuk data A dan AAAA DNS Anda.

Anda tidak dapat mengubah daftar nama domain pada sertifikat SSL yang dikelola Google yang sudah ada. Jika perlu menambahkan atau menghapus domain, Anda harus membuat sertifikat baru yang menyertakan semua domain yang ingin Anda amankan, lalu menggunakan proses penggantian yang dijelaskan dalam dokumen ini.

Memperpanjang sertifikat SSL yang dikelola Google

Sertifikat SSL Compute Engine hanya mendukung Public Certificate Authority (pki.goog) dan Let's Encrypt CA (letsencrypt.org) untuk menerbitkan sertifikat yang dikelola Google yang dipercaya secara publik. Google Cloud menyediakan sertifikat yang dikelola Google dengan masa berlaku 45 hari atau 90 hari, bergantung pada Certificate Authority (CA) yang menerbitkan:

• Sertifikat yang diterbitkan oleh Public Certificate Authority secara bertahap beralih dari periode validitas 90 hari menjadi periode validitas 45 hari. Sertifikat 90 hari yang ada tetap berlaku selama 90 hari hingga perpanjangan berikutnya.
• Sertifikat yang diterbitkan oleh CA Let's Encrypt memiliki masa berlaku 90 hari.

Google Cloud otomatis memulai proses perpanjangan saat sekitar sepertiga masa berlaku sertifikat tersisa. Perpanjangan dimulai sekitar 15 hari sebelum masa berlaku berakhir untuk sertifikat 45 hari dan sekitar 30 hari sebelum masa berlaku berakhir untuk sertifikat 90 hari.

Untuk perpanjangan, Google Cloud memilih CA yang ada di data DNS Otorisasi Certificate Authority (CAA) domain Anda dan di daftar CA. CA yang digunakan untuk perpanjangan mungkin berbeda dengan CA yang digunakan untuk menerbitkan versi sertifikat yang dikelola Google sebelumnya.

Untuk membantu memastikan bahwa sertifikat Anda tidak gagal dalam langkah validasi domain pada proses perpanjangan, tinjau persyaratan untuk data A dan AAAA DNS Anda.

Menentukan CA yang dapat menerbitkan sertifikat yang dikelola Google

Di software DNS, sebaiknya Anda secara eksplisit memberikan otorisasi kepada CA yang ingin Anda izinkan untuk menerbitkan sertifikat yang dikelola Google. Meskipun tidak diperlukan dalam setiap skenario, hal ini diperlukan dalam situasi tertentu.

Misalnya, jika Anda menggunakan layanan DNS eksternal dan sertifikat yang dikelola Google dicabut, layanan tersebut mungkin hanya memvalidasi sertifikat baru yang diterbitkan oleh satu atau beberapa CA tertentu.

Untuk melakukannya, buat atau ubah data CAA untuk menyertakan pki.goog atau letsencrypt.org atau keduanya. Jika Anda tidak memiliki data CAA, perilaku defaultnya adalah mengizinkan pki.goog dan letsencrypt.org.

DOMAIN. CAA 0 issue "pki.goog"
DOMAIN. CAA 0 issue "letsencrypt.org"

Dukungan untuk sertifikat letsencrypt.org diberikan berdasarkan upaya terbaik. Untuk keandalan terbaik, izinkan pki.goog dan letsencrypt.org. Jika Anda hanya menentukan salah satu CA, hanya CA tersebut yang digunakan untuk membuat dan memperpanjang sertifikat Anda. Pendekatan ini tidak direkomendasikan.

Saat Anda pertama kali membuat sertifikat, Google Cloud memilih pki.goog atau letsencrypt.org dan menggunakannya untuk menerbitkan sertifikat Anda. Saat Google memperpanjang sertifikat Anda, sertifikat Anda mungkin diterbitkan oleh CA lain, bergantung pada CA yang telah Anda tentukan dalam data CAA (jika Anda membuatnya). Sertifikat Anda mungkin diperpanjang oleh CA yang berbeda dalam salah satu kasus berikut:

• Anda tidak memiliki data CAA DNS untuk domain Anda.
• Anda telah menyertakan kedua CA dalam data CAA DNS.

Untuk mengetahui informasi selengkapnya, lihat RFC, data DNS CAA.

letsencrypt.org masalah Nama Domain Internasional (IDN). pki.goog saat ini tidak mendukung IDN.

Jika Anda menggunakan Cloud DNS, pelajari cara menambahkan data, dan pastikan untuk menyetel flag --type ke CAA.

Catatan: Saat Anda menambahkan CA dalam data CAA, mungkin diperlukan waktu yang cukup lama agar DNS menyebarkan perubahan tersebut dan membuatnya terlihat oleh CA. Akibatnya, proses perpanjangan sertifikat mungkin awalnya gagal, tetapi pada akhirnya berhasil. Untuk mengetahui informasi selengkapnya, lihat Memecahkan masalah sertifikat SSL.

Mengganti sertifikat SSL yang ada

Untuk mengganti sertifikat SSL yang ada:

1. Mulai proses pembuatan sertifikat SSL pengganti yang dikelola Google. Sertifikat ini tidak menjadi AKTIF pada saat ini.

2. Perbarui proxy target sehingga daftar sertifikat yang direferensikan menyertakan sertifikat SSL pengganti beserta sertifikat SSL saat ini. Langkah-langkah untuk memperbarui proxy target bervariasi, sebagai berikut:

   • Memperbarui proxy HTTPS target
   • Mengupdate proxy SSL target
   Catatan: Untuk terus menyalurkan traffic, proxy target harus terus mereferensikan sertifikat SSL saat ini. Agar sertifikat pengganti dapat menyelesaikan proses penyediaannya, proxy target juga harus mereferensikan sertifikat pengganti.

3. Tunggu hingga sertifikat SSL pengganti selesai disediakan. Penyediaan mungkin memerlukan waktu hingga 60 menit. Setelah penyediaan selesai, status sertifikat akan menjadi ACTIVE.

   Catatan: Penyediaan sertifikat yang dikelola Google mungkin memerlukan waktu hingga 60 menit sejak perubahan konfigurasi DNS dan load balancer Anda diterapkan di internet. Jika Anda baru saja memperbarui konfigurasi DNS, mungkin perlu waktu yang cukup lama agar perubahan diterapkan sepenuhnya. Terkadang, penyebaran memerlukan waktu hingga 72 jam di seluruh dunia, meskipun biasanya hanya memerlukan waktu beberapa jam. Untuk mengetahui informasi selengkapnya tentang penerapan DNS, lihat Penerapan perubahan.

4. Tunggu 30 menit lagi untuk memastikan bahwa sertifikat pengganti tersedia untuk semua Google Front End (GFE).

5. Perbarui proxy target untuk menghapus sertifikat SSL yang Anda ganti dari daftar sertifikat yang direferensikan. Langkah-langkah untuk memperbarui proxy target berbeda-beda, sebagai berikut:

   • Memperbarui proxy HTTPS target
   • Mengupdate proxy SSL target

6. Tunggu 10 menit, dan pastikan bahwa load balancer menggunakan sertifikat SSL pengganti, bukan sertifikat lama.

7. Perbarui proxy target lagi, dengan menghapus resource sertifikat SSL lama. Anda dapat menghapus resource sertifikat SSL jika tidak lagi direferensikan oleh proxy target mana pun.

Jika Anda tidak menghapus sertifikat SSL lama, sertifikat tersebut akan tetap AKTIF hingga masa berlakunya berakhir.

Bermigrasi dari sertifikat SSL yang dikelola sendiri ke sertifikat SSL yang dikelola Google

Saat Anda memigrasikan load balancer dari penggunaan sertifikat SSL yang dikelola sendiri ke sertifikat SSL yang dikelola Google, Anda harus melakukan langkah-langkah berikut dalam urutan ini:

1. Buat sertifikat baru yang dikelola Google.
2. Kaitkan sertifikat baru yang dikelola Google dengan proxy target yang benar sambil mempertahankan pengaitan proxy target dengan sertifikat yang dikelola sendiri yang sudah ada.
3. Tunggu hingga Status sertifikat yang dikelola Google menjadi ACTIVE.
4. Tunggu 30 menit agar sertifikat baru diterapkan ke Google Front End (GFE) yang aktif
5. Perbarui proxy target lagi, dengan menghapus resource sertifikat yang dikelola sendiri. Anda dapat menghapus resource sertifikat SSL yang dikelola sendiri jika tidak lagi direferensikan oleh proxy target mana pun.

Penting: Hanya hapus sertifikat yang dikelola sendiri dari proxy target setelah sertifikat baru Anda disediakan, ACTIVE, dan dikaitkan dengan proxy target. Jika Anda menghapus sertifikat yang dikelola sendiri terlalu cepat, load balancer Anda tidak akan memiliki sertifikat SSL yang valid, dan klien tidak dapat menggunakannya.

Menghapus sertifikat SSL

Sebelum menghapus sertifikat SSL, pastikan tidak ada proxy target HTTPS atau SSL yang mereferensikan sertifikat ini. Anda dapat melakukannya dengan dua cara:

• Hapus proxy target yang merujuk ke sertifikat ini.

• Perbarui proxy target yang merujuk ke sertifikat ini untuk mengecualikannya. Langkah-langkahnya berbeda-beda, sebagai berikut:

  • Memperbarui proxy target HTTPS.
  • Memperbarui proxy target SSL.

Untuk menghapus satu atau beberapa sertifikat SSL:

Konsol

Anda dapat menghapus sertifikat SSL global di tab Sertifikat Klasik di halaman Certificate Manager.

1. Buka tab Classic Certificates di konsol Google Cloud .
   Buka Sertifikat Klasik
2. Pilih sertifikat SSL yang ingin Anda hapus.
3. Klik Delete.
4. Untuk mengonfirmasi, klik Hapus lagi.

gcloud

Untuk menghapus sertifikat SSL global (untuk Load Balancer Aplikasi eksternal global atau Load Balancer Jaringan proxy eksternal), gunakan perintah gcloud compute ssl-certificates delete dengan perintah --global:

gcloud compute ssl-certificates delete CERTIFICATE_NAME \
    --global

Ganti kode berikut:

• CERTIFICATE_NAME: nama sertifikat SSL

Langkah berikutnya

• Untuk memecahkan masalah sertifikat SSL, lihat Memecahkan masalah sertifikat SSL.
• Untuk menggunakan skrip Terraform yang membuat sertifikat yang dikelola Google, lihat contoh Cloud Run di halaman Contoh modul Terraform untuk Load Balancer Aplikasi eksternal.