Gunakan sertifikat SSL yang dikelola Google

Ringkasan:

Dalam artikel ini, kita akan membahas penggunaan sertifikat SSL yang dikelola Google untuk penyeimbang beban di Google Cloud. Kami akan membahas ikhtisar sertifikat SSL, metode untuk mengonfigurasinya, jenis sertifikat yang tersedia, dan bagaimana mereka dapat digunakan dengan penyeimbang Google Cloud Load.

Poin -Poin Kunci:

1. Transport Layer Security (TLS) digunakan untuk mengenkripsi informasi melalui jaringan.
2. Penyeimbang Load Proxy Google Cloud memerlukan sertifikat SSL untuk enkripsi.
3. Ada dua metode untuk mengonfigurasi Sertifikat SSL: Hitung Mesin Sumber Daya Sertifikat SSL dan Manajer Sertifikat.
4. Sertifikat SSL yang dikelola sendiri dan dikelola Google tersedia.
5. Sertifikat yang dikelola sendiri dapat berupa sertifikat domain (DV), validasi organisasi (OV), atau validasi diperpanjang (EV).
6. Google Cloud Load Balancers mendukung berbagai jenis sertifikat SSL berdasarkan tingkat.
7. Beberapa sertifikat SSL dapat di -host pada proxy target tunggal.
8. Sumber Daya Sertifikat SSL Hitung Mesin SSL memiliki batas maksimum per proxy target.
9. Sertifikat SSL Mesin Komput pertama dianggap sebagai sertifikat default.
10. Manajer Sertifikat Mengaktifkan referensi beberapa sertifikat menggunakan peta sertifikat.

Pertanyaan dan jawaban:

T1: Apa tujuan sertifikat SSL di google cloud load balancers?

A1: Tujuan dari sertifikat SSL adalah untuk memberikan enkripsi antara penyeimbang beban dan klien yang mengakses penyeimbang beban.

T2: Berapa banyak metode yang tersedia untuk mengonfigurasi sertifikat SSL untuk penyeimbang beban?

A2: Ada dua metode yang tersedia: Komputasi Mesin Sumber Daya Sertifikat SSL dan Manajer Sertifikat.

T3: Jenis sertifikat SSL apa yang dapat digunakan dengan penyeimbang Google Cloud Load?

A3: Sertifikat SSL yang dikelola sendiri dan yang dikelola Google dapat digunakan. Sertifikat yang dikelola sendiri dapat berupa sertifikat DV, OV, atau EV.

T4: Jenis penyeimbang beban mana yang mendukung sertifikat komputasi SSL yang dikelola sendiri?

A4: Global External HTTP (S) Load Balancer, Global External HTTP (S) Load Balancer (Classic), dan External SSL Proxy Load Balancer di Premium Tier Dukungan Mesin Kompute yang Dikelola Sendiri Sertifikat SSL Self-Managed SSL.

T5: Apakah mungkin untuk meng -host beberapa sertifikat SSL pada proxy target tunggal?

A5: Ya, dimungkinkan untuk meng -host beberapa sertifikat SSL pada proxy target tunggal, terutama ketika penyeimbang beban mendukung beberapa nama domain.

T6: Berapa jumlah maksimum sertifikat SSL per proxy target saat menggunakan sumber daya sertifikat SSL Compute Engine?

A6: Jumlah maksimum sertifikat SSL per proxy target tidak dapat dikonfigurasi. Silakan merujuk ke kuota balancing beban dan membatasi dokumentasi untuk informasi lebih lanjut.

T7: Sertifikat SSL mana yang dianggap sebagai sertifikat default saat menggunakan sumber daya sertifikat SSL Compute Engine?

A7: Sertifikat SSL Mesin Komput pertama yang dirujuk oleh proxy target dianggap sebagai sertifikat default untuk penyeimbang beban.

T8: Dapat beberapa sertifikat SSL dirujuk menggunakan Certificate Manager?

A8: Ya, Certificate Manager memungkinkan referensi beberapa sertifikat SSL menggunakan peta sertifikat.

Q9: Penyeimbang beban mana yang menggunakan proxy https target regional?

A9: Penyeimbang beban http eksternal regional dan balancer beban http internal menggunakan proxy https target regional.

T10: Apa tujuan dari Transport Layer Security (TLS)?

A10: Transport Layer Security (TLS) digunakan untuk mengenkripsi informasi yang dikirim melalui jaringan, memastikan privasi antara klien dan server atau penyeimbang beban.

Gunakan sertifikat SSL yang dikelola Google

Sebelum menghapus sertifikat SSL, pastikan tidak ada HTTPS atau SSL Target Proxy Reference Certificate ini. Anda dapat melakukan ini dengan dua cara:

Ikhtisar Sertifikat SSL

Transport Layer Security (TLS) digunakan untuk mengenkripsi informasi saat dikirim melalui jaringan, memberikan privasi antara klien dan server atau penyeimbang beban. Google Cloud Proxy Load Balancers yang aturan penerusannya merujuk target https proxy atau target proxy SSL memerlukan kunci pribadi dan sertifikat SSL sebagai bagian dari konfigurasi proxy target load balancer.

Catatan: Halaman ini membahas sertifikat SSL dalam konteks enkripsi dalam transit antara google cloud proxy load balancer dan klien (hilir) yang terhubung ke google cloud load balancer. Untuk detail tentang enkripsi dalam transit antara penyeimbang google cloud load dan backends (hulu), lihat enkripsi ke backends.

Metode konfigurasi sertifikat

Google Cloud menawarkan dua metode untuk mengonfigurasi sertifikat SSL untuk HTTP (S) dan penyeimbang beban proxy SSL. Kedua metode mendukung sertifikat SSL yang dikelola sendiri dan dikelola Google.

• Hitung mesin sertifikat SSL: With this method, the target proxy for a global external HTTP(S) load balancer, global external HTTP(S) load balancer (classic), external SSL proxy load balancer, regional external HTTP(S) load balancer, or internal HTTP(S) load balancer is configured to reference a Compute Engine SSL certificate resource. Sumber Daya Sertifikat SSL berisi kunci pribadi, sertifikat yang sesuai, dan – secara optial – sertifikat CA. Metode ini mendukung semua tingkatan layanan jaringan yang didukung oleh penyeimbang beban.
• Manajer Sertifikat: Dengan metode ini, proxy target untuk penyeimbang beban http eksternal global, penyeimbang beban http eksternal global (s) balancer (klasik), atau penyeimbang beban proxy eksternal SSL dikonfigurasikan ke referensi a Peta Sertifikat. Peta sertifikat berisi satu atau lebih entri sertifikat. Setiap entri sertifikat merujuk sumber daya sertifikat manajer sertifikat tunggal, dan setiap sumber daya sertifikat berisi kunci pribadi dan sertifikat. Dengan Certificate Manager, proxy https target atau target proxy SSL dapat merujuk peta sertifikat dengan ribuan entri sertifikat SSL. Metode ini hanya tersedia saat penyeimbang beban menggunakan tingkat layanan jaringan premium. Untuk informasi lebih lanjut, lihat Ikhtisar Manajer Sertifikat.

Jenis Sertifikat

Anda dapat membuat sertifikat sendiri atau Google dapat mengelolanya untuk Anda:

• Sertifikat SSL yang dikelola sendiri adalah sertifikat yang Anda peroleh, penyediaan, dan perbarui diri. Sertifikat yang dikelola sendiri dapat berupa jenis sertifikat kunci publik ini:
  • Validasi Domain (DV)
  • Validasi Organisasi (OV)
  • Sertifikat Validasi Perpanjangan (EV)

  Untuk informasi lebih lanjut tentang sertifikat SSL Compute Engine yang dikelola sendiri, lihat Gunakan sertifikat SSL yang dikelola sendiri.

  Untuk informasi lebih lanjut tentang sertifikat SSL yang dikelola sendiri dan manajer sertifikat, lihat Unggah Sertifikat yang Dipimpin sendiri dalam Dokumentasi Manajer Sertifikat atau menggunakan sertifikat yang dikelola sendiri untuk tutorial ujung ke ujung.

  Sertifikat dan penyeimbang google cloud load

  Tabel berikut menunjukkan bahwa Google Cloud Load Balancers mendukung sertifikat SSL Compute Engine yang dikelola sendiri, sertifikat SSL Compute Engine yang dikelola Google, atau Sertifikat Sertifikat (baik sertifikat yang dikelola sendiri maupun yang dikelola Google).

  • Global External HTTP (S) Load Balancer a
  • Global External HTTP (S) Load Balancer (klasik) di tingkat premium a
  • Penyeimbang muatan proxy eksternal di tingkat premium b b
  • Global External HTTP (S) Load Balancer (klasik) di Tingkat Standar A
  • Penyeimbang muatan proxy eksternal di tingkat standar b b
  • Balancer beban eksternal http (s) c
  • Balancer beban http (s) c (s)

  A The Global External HTTP (S) Load Balancer dan Global External HTTP (S) Load Balancer (Classic) menggunakan proxy https target global, bahkan ketika global eksternal http (s) load balancer (klasik) menggunakan tier standar.

  b The External SSL Proxy Load Balancer menggunakan proxy SSL target global, bahkan di tingkat standar.

  C Regional eksternal http (s) load balancer dan balancer beban http internal menggunakan target regional https proxy.

  Beberapa sertifikat SSL

  Anda dapat menggunakan proxy https target yang sama atau target proxy SSL untuk meng -host beberapa sertifikat – umum ketika penyeimbang beban mendukung beberapa nama domain. Anda dapat mengonfigurasi aturan penerusan tunggal (alamat IP tunggal dan port) untuk merujuk proxy target umum, atau Anda dapat mengonfigurasi beberapa aturan penerusan (alamat IP dan port yang berbeda) untuk merujuk proxy target umum yang umum.

  Sumber Daya Sertifikat SSL Mesin Komput

  Saat menggunakan sumber daya sertifikat SSL Compute Engine, setiap sumber daya proxy target dapat merujuk hingga yang tidak dapat dikonfigurasi Jumlah maksimum sertifikat SSL per https target atau proxy SSL target. Untuk informasi lebih lanjut, lihat kumpulan target dan proxy target dalam kuota penyeimbang beban dan membatasi dokumentasi.

  Sumber daya sertifikat SSL mesin komputasi pertama yang dirujuk oleh proxy target penyeimbang beban dianggap sebagai sertifikat default (primer) untuk penyeimbang beban.

  Beberapa Sertifikat SSL Menggunakan Manajer Sertifikat

  Saat menggunakan Certificate Manager, setiap sumber daya proxy target merujuk satu peta sertifikat tunggal. Peta sertifikat merujuk satu atau lebih entri sertifikat, dan Anda dapat mengonfigurasi entri sertifikat mana yang merupakan sertifikat default (primer) untuk peta. Jumlah peta, entri, dan sertifikat sertifikat sertifikat dapat dikonfigurasi, kuota per proyek. Untuk informasi lebih lanjut, lihat Kuota Sumber Daya di Dokumentasi Manajer Sertifikat.

  Jika Anda menggunakan penyeimbang beban yang mendukung manajer sertifikat dan Anda perlu meng -host lebih dari beberapa sertifikat SSL per proxy target, pastikan Anda menggunakan Certificate Manager alih -alih menghitung sumber daya sertifikat SSL Engine.

  Metode pemilihan sertifikat

  Setelah klien terhubung ke HTTP (S) atau SSL Proxy Load Balancer, klien dan penyeimbang beban menegosiasikan sesi TLS. Selama negosiasi sesi TLS, klien mengirimkan load balancer daftar tls ciphers yang didukungnya (di clienthello). Load Balancer memilih sertifikat yang algoritma kunci publiknya kompatibel dengan klien. Klien juga dapat mengirim nama host indikasi nama server (SNI) ke Load Balancer sebagai bagian dari negosiasi ini. Data nama host SNI kadang -kadang digunakan untuk membantu penyeimbang beban memilih sertifikat yang harus dikirim ke klien.

  Anda dapat memodelkan proses yang digunakan oleh penyeimbang beban proxy google cloud untuk memilih sertifikat untuk dikirim ke klien sebagai berikut. Dalam model Anda, mulailah dengan semua sertifikat SSL yang telah dikonfigurasi pada proxy https target atau target proxy SSL – terlepas dari metode konfigurasi.

  1. Load Balancer memilih satu kandidat sertifikat:
     • Jika Proxy Target Load Balancer Referensi hanya satu sumber daya sertifikat SSL Compute Engine, atau jika proxy target penyeimbang beban merujuk peta manajer sertifikat dengan hanya satu entri sertifikat, penyeimbang beban menggunakan satu dan satu -satunya sertifikat yang dikonfigurasi sebagai kandidat sertifikat, penyeimbang sertifikat menggunakan satu dan satu -satunya sertifikat yang dikonfigurasi sebagai kandidat sertifikat,. Nilai nama host SNI (jika disediakan) tidak mempengaruhi penyeimbang beban sama sekali. Lanjutkan ke Langkah 2.
     • Jika Proxy Target Load Balancer merujuk dua atau lebih mesin sertifikat SSL Compute Engine SSL, atau jika proxy target penyeimbang beban merujuk peta manajer sertifikat dengan dua atau lebih entri sertifikat, penyeimbang beban menggunakan proses berikut untuk memilih a lajang Kandidat Sertifikat:
       • Jika klien tidak mengirim nama host SNI di kliennya, penyeimbang beban menggunakan sertifikat SSL default (primer) sebagai kandidat sertifikat. Lanjutkan ke Langkah 2.
       • Jika klien mengirimkan nama host SNI yang tidak cocok dengan Name Umum Sertifikat (CN) dan tidak cocok dengan Name Alternatif Subjek Sertifikat (SAN), Load Balancer menggunakan sertifikat SSL default (primer) sebagai kandidat sertifikat sebagai kandidat sertifikat sebagai kandidat sertifikat sebagai sertifikat sertifikat sebagai kandidat sertifikat sebagai sertifikat sertifikat sebagai kandidat sertifikat dari sertifikat tersebut sebagai sertifikat sertifikat sebagai sertifikat sertifikat sebagai sertifikat sertifikat sebagai sertifikat sertifikat sebagai sertifikat sertifikat sebagai sertifikat sertifikat sebagai sertifikat sertifikat sebagai sertifikat sertifikat tersebut sebagai kandidat sertifikat sertifikat dari sertifikat sertifikat Default (. Lanjutkan ke Langkah 2.
       • Load Balancer memilih kandidat sertifikat yang cocok dengan nama host SNI yang dikirim oleh klien. Pencocokan dilakukan dengan awalan terpanjang terhadap nama umum (CN) dan atribut sertifikat alternatif subjek (SAN), dengan preferensi untuk sertifikat ECDSA dibandingkan sertifikat RSA. Untuk mengilustrasikan metode pencocokan, pertimbangkan proxy target yang merujuk satu sertifikat yang CN adalah kucing.hewan peliharaan.contoh.com dan sertifikat lain yang CN adalah anjing.hewan peliharaan.contoh.com . Selain memasukkan setiap nilai CN dalam SANnya, setiap sertifikat termasuk *.hewan peliharaan.contoh.com, dan *.contoh.com di sansnya.
         • Jika nama host SNI yang disediakan adalah kucing.hewan peliharaan.contoh.com, penyeimbang beban menggunakan sertifikat yang CN adalah kucing.hewan peliharaan.contoh.com sebagai kandidat sertifikat. Lanjutkan ke Langkah 2.
         • Jika nama host SNI yang disediakan adalah musang.hewan peliharaan.contoh.com, balancer beban menggunakan salah satu dari keduanya Sertifikat sebagai kandidat sertifikat karena kedua sertifikat yang dikonfigurasi memiliki SAN yang termasuk *.hewan peliharaan.contoh.com . Anda tidak dapat mengontrol Manakah dari keduanya Sertifikat menjadi kandidat sertifikat dalam situasi ini. Lanjutkan ke Langkah 2.
  2. Kandidat sertifikat dikirim ke klien jika kandidat sertifikat menggunakan algoritma kunci publik yang kompatibel dengan salah satu cipher yang dinyatakan klien.
     • Negosiasi TLS dapat gagal jika klien tidak mendukung cipher suite yang mencakup algoritma kunci publik (ECDSA atau RSA) dari sertifikat.
     • Balancer beban tidak menggunakan atribut NotValidBefore dan Notvalidafter sertifikat sebagai bagian dari metode pemilihan kandidat mana pun. Misalnya, penyeimbang beban dapat melayani sertifikat kadaluwarsa jika sertifikat kadaluwarsa dipilih sebagai kandidat sertifikat.

  Harga

  Anda mengeluarkan biaya jaringan saat Anda menggunakan penyeimbang Google Cloud Load. Untuk informasi lebih lanjut, lihat semua harga jaringan. Untuk harga Certificate Manager, lihat harga dalam dokumentasi Certificate Manager. Tidak ada biaya tambahan untuk menggunakan sumber daya sertifikat SSL Compute Engine.

  Apa berikutnya

  • Untuk informasi lebih lanjut tentang sertifikat SSL Compute Engine, lihat halaman -halaman berikut:
    • Untuk informasi lebih lanjut tentang sertifikat SSL Compute Engine yang dikelola sendiri, lihat Gunakan sertifikat SSL yang dikelola sendiri.
    • Untuk informasi lebih lanjut tentang sertifikat SSL Compute Engine yang dikelola Google, lihat Gunakan Sertifikat SSL yang dikelola Google.
    • Untuk mempelajari tentang kuota dan batasan (termasuk panjang kunci yang didukung) untuk sertifikat SSL mesin komputasi, lihat sertifikat SSL dan kumpulan target dan proksi target dalam dokumentasi Load Balancer.
    • Ikhtisar Manajer Sertifikat.
    • Untuk informasi lebih lanjut tentang sertifikat SSL yang dikelola sendiri dan manajer sertifikat, lihat Unggah Sertifikat yang Dipimpin sendiri dalam Dokumentasi Manajer Sertifikat atau menggunakan sertifikat yang dikelola sendiri untuk tutorial ujung ke ujung.
    • Untuk informasi lebih lanjut tentang sertifikat SSL yang dikelola Google dan Manajer Sertifikat, lihat Kelola Sertifikat dalam Dokumentasi Manajer Sertifikat.
    • Untuk mempelajari tentang kuota dan batasan untuk Manajer Sertifikat, lihat Kuota Sumber Daya dalam Dokumentasi Manajer Sertifikat.

    Cobalah sendiri

    Jika Anda baru mengenal Google Cloud, buat akun untuk mengevaluasi kinerja produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis $ 300 untuk menjalankan, menguji, dan menggunakan beban kerja.

    Kirim umpan balik

    Kecuali sebagaimana dicatat, konten halaman ini dilisensikan di bawah Atribusi Creative Commons 4.0 lisensi, dan sampel kode dilisensikan di bawah Apache 2.0 lisensi. Untuk detailnya, lihat Kebijakan Situs Pengembang Google. Java adalah merek dagang terdaftar dari Oracle dan/atau afiliasinya.

    Terakhir diperbarui 2023-05-08 UTC.

    Gunakan sertifikat SSL yang dikelola Google

    Halaman ini membahas cara membuat dan menggunakan sertifikat SSL yang dikelola Google.

    Sertifikat SSL yang dikelola Google adalah sertifikat domain validasi (DV) yang diperoleh dan dikelola oleh Google Cloud untuk domain Anda. Mereka mendukung beberapa nama host di setiap sertifikat, dan Google memperbarui sertifikat secara otomatis.

    Sertifikat yang dikelola Google didukung dengan penyeimbang beban berikut:

    • Global External HTTP (S) Load Balancer
    • Global External HTTP (S) Load Balancer (klasik)
    • Penyeimbang beban proxy eksternal SSL

    Sertifikat SSL yang dikelola Google tidak didukung untuk penyeimbang beban http eksternal regional dan penyeimbang beban http internal (s). Untuk penyeimbang beban ini, gunakan sertifikat SSL yang dikelola sendiri.

    Anda juga dapat menggunakan sertifikat SSL yang dikelola dengan mesin Google Kubernetes. Untuk informasi lebih lanjut, lihat Menggunakan Sertifikat SSL yang dikelola Google.

    Anda dapat membuat sertifikat yang dikelola Google sebelum, selama, atau setelah membuat penyeimbang beban Anda. Halaman ini mengasumsikan bahwa Anda membuat sertifikat sebelum atau setelah membuat penyeimbang beban, bukan selama. Untuk membuat sertifikat saat membuat balancer beban Anda, lihat halaman caranya penyeimbang beban.

    Sebelum kamu memulai

    • Pastikan bahwa Anda terbiasa dengan ikhtisar Sertifikat SSL.
    • Pastikan bahwa Anda memiliki nama domain yang ingin Anda gunakan untuk sertifikat SSL yang dikelola Google. Jika Anda menggunakan Google Domains, lihat Langkah 1: Daftarkan nama domain menggunakan Google Domains.
    • Pastikan bahwa Anda telah mengaktifkan API Mesin Hitung untuk proyek Anda. Aktifkan API Mesin Hitung

    Izin

    Untuk mengikuti panduan ini, Anda harus dapat membuat dan memodifikasi sertifikat SSL di proyek Anda. Anda dapat melakukan ini jika salah satu dari yang berikut ini benar:

    • Anda adalah pemilik proyek atau editor (peran/pemilik atau peran/editor).
    • Anda memiliki kedua peran admin keamanan komputasi (komputasi.Securityadmin) dan peran admin jaringan komputasi (komputasi.networkadmin) dalam proyek.
    • Anda memiliki peran khusus untuk proyek yang mencakup komputasi.sslcertificates.* izin dan satu atau kedua komputasi.TargetHttpsproxies.* dan menghitung.TargetSlproxies.*, tergantung pada jenis penyeimbang beban yang Anda gunakan.

    Langkah 1. Buat sertifikat SSL yang dikelola Google

    Anda dapat membuat sertifikat yang dikelola Google sebelum, selama, atau setelah membuat penyeimbang beban Anda. Selama proses pembuatan penyeimbang beban di Google Cloud Console, Anda dapat menggunakan Google Cloud Console untuk membuat sertifikat Anda. Atau, Anda dapat membuat sertifikat Anda sebelum atau setelah membuat penyeimbang beban Anda. Langkah ini menunjukkan kepada Anda cara membuat sertifikat yang nanti dapat Anda tambahkan ke satu atau lebih penyeimbang beban.

    Jika Anda telah membuat sertifikat SSL yang dikelola Google, Anda dapat melewatkan langkah ini.

    Menghibur

    Anda dapat bekerja dengan sertifikat SSL global di Sertifikat klasik tab di Manajer Sertifikat halaman.

    1. Pergi ke Sertifikat klasik Tab di Google Cloud Console.
       Pergi ke sertifikat klasik
    2. Klik Buat Sertifikat SSL.
    3. Masukkan nama dan deskripsi opsional untuk sertifikat.
    4. Pilih Buat sertifikat yang dikelola Google.
    5. Tambahkan domain.
    6. Klik Membuat.

    GCloud

    Untuk membuat sertifikat SSL yang dikelola Google global untuk balancer beban eksternal http eksternal atau penyeimbang muatan proxy eksternal SSL, gunakan sertifikat SSL komputasi GCLOUD

    GCLOUD Hitung SSL-Sertifikat Buat Sertifikat_name \ --description =KETERANGAN \ --Main =Domain_list \ --global

    Ganti yang berikut:

    • Certificate_name: Nama untuk Sertifikat SSL Global
    • Deskripsi: Deskripsi untuk sertifikat SSL global
    • Domain_list: Nama domain tunggal atau daftar nama domain yang tidak terbatas koma untuk digunakan untuk sertifikat ini

    Terraform

    Untuk membuat sertifikat SSL yang dikelola Google, gunakan sumber daya google_compute_managed_ssl_certificate.

    sumber daya "google_compute_managed_ssl_certificate" "lb_default" < provider = google-beta name = "myservice-ssl-cert" managed < domains = [var.domain_name] >>

    API

    Buat SSLCertificates Sumber Daya Sertifikat Google.Masukkan metode, mengganti Project_id dengan ID Proyek Anda.

    Posting https: // compute.Googleapis.com/compute/v1/project/[Project_id]/Global/SSLCertificates < "name": "ssl-certificate-name", "managed": < "domains": [ "www.example.com" ] >, "ketik": "dikelola"> 

    Periksa status sertifikat SSL yang dikelola Google

    Menghibur

    Anda dapat memeriksa status sertifikat SSL global Anda di Sertifikat klasik tab di Manajer Sertifikat halaman.

    1. Pergi ke Sertifikat klasik Tab di Google Cloud Console.
       Pergi ke sertifikat klasik
    2. (Opsional) Saring daftar sertifikat SSL.
    3. Periksalah Status kolom.
    4. Untuk melihat detail lebih lanjut, klik nama sertifikat.

    GCloud

    Untuk menentukan status sertifikat yang dikelola Google, Anda dapat menggunakan perintah komputasi gCloud. Setelah menjalankan perintah yang sesuai, perhatikan yang berikut:

    Untuk mendaftarkan sertifikat SSL yang dikelola Google Anda, gunakan perintah daftar SSL-sertifikat GCLOUD dengan bendera –Global .

    GCLOUD Hitung SSL-Sertifikat Daftar \ --Global

    Anda dapat menggunakan COMPUTE-COMPUTE SSL-CERTIFIKASI COMPANTS Jelaskan, Mengganti Certificate_name:

    gcroud menghitung sertifikat SSL menjelaskan Sertifikat_name \ --global \ --format = "dapatkan (nama, dikelola.status, dikelola.domainstatus) "

    Pada titik ini, status sertifikat dan status domain menyediakan . Setelah Anda menyelesaikan langkah pada halaman ini, status berubah menjadi aktif .

    Untuk informasi lebih lanjut tentang status, lihat halaman pemecahan masalah.

    Langkah 2: Buat atau perbarui penyeimbang beban Anda

    Untuk menjadi aktif, sertifikat SSL yang dikelola Google harus dikaitkan dengan penyeimbang beban, khususnya proxy target penyeimbang beban.

    Setelah Anda membuat sertifikat SSL Anda dan itu dalam keadaan penyediaan, Anda dapat menggunakannya selama pembuatan penyeimbang beban Anda, seperti yang dijelaskan dalam panduan cara berikut:

    • Siapkan penyeimbang beban http eksternal global dengan backend mesin komputasi
    • Siapkan balancer beban http eksternal global (klasik) dengan backend mesin komputasi
    • Siapkan penyeimbang beban proxy SSL eksternal

    Atau Anda dapat menggunakannya untuk memperbarui penyeimbang beban yang ada, seperti yang dijelaskan di sini:

    Menghibur

    Saat Anda memperbarui http eksternal global balancer beban atau penyeimbang muatan proxy eksternal SSL menggunakan Google Cloud Console, Google Cloud secara otomatis mengaitkan sertifikat SSL Anda dengan proxy target yang benar.

    1. Pergi ke Penyeimbang beban halaman di google cloud console.
       Pergi untuk memuat keseimbangan
    2. Klik nama penyeimbang beban Anda.
    3. Klik Edit edit .
    4. Klik Konfigurasi Frontend.
    5. Klik ujung depan yang benar (harus https, http/2, ssl).
    6. Klik Sertifikat tambahan, dan pilih sertifikat yang dikelola Google dari daftar drop-down.
    7. Klik Membuat.

    GCloud

    Untuk mengaitkan sertifikat SSL dengan proxy https target untuk penyeimbang beban http eksternal global, gunakan perintah pembaruan target-https-proxies gCloud dengan certificates -global-ssl-certificates dan –global flags:

    GCLOUD HUMPUTE TARGET-HTTPS-PROXIES UPDATE Target_proxy_name \ --ssl-sertifikat Ssl_certificate_list \ --global-ssl-sertifikat \ --global

    Untuk mengaitkan sertifikat SSL dengan proxy SSL target untuk penyeimbang beban proxy eksternal SSL, gunakan perintah pembaruan target-ssl-proxies gCloud:

    GCLOUD HUMPUTE TARGET-SSL-PROXIES UPDATE Target_proxy_name \ --ssl-sertifikat Ssl_certificate_list 

    Ganti yang berikut:

    • Target_proxy_name: Nama proxy target load balancer
    • SSL_CERTIFIKATE_LIST: Daftar sumber daya sertifikat SSL yang dibatasi koma, pastikan bahwa daftar sertifikat yang direferensikan mencakup semua sertifikat SSL yang lebih lama valid serta sertifikat SSL yang baru. Perintah Pembaruan Target-SSL-Proxies Compute GCloud menimpa nilai asli untuk-SSL-sertifikat dengan nilai baru.

    Terraform

    Untuk membuat proxy https target, gunakan sumber daya google_compute_target_https_proxy.

    Untuk membuat proxy SSL target, gunakan sumber daya google_compute_target_ssl_proxy.

    Sumber Daya "Google_COMPUTE_TARGET_HTTPS_PROXY" "lb_default"

    Setiap proxy https target atau target proxy SSL harus merujuk setidaknya satu sertifikat SSL. Proxy target dapat merujuk lebih dari satu sertifikat SSL. Untuk detailnya, lihat kumpulan target dan proxy target dalam kuota dan batas sumber daya penyeimbang beban.

    Penting: Untuk penyeimbang beban proxy eksternal SSL dengan sertifikat SSL yang dikelola Google, aturan penerusan load balancer harus menggunakan port TCP 443 untuk sertifikat yang dikelola Google untuk awalnya disediakan dan secara otomatis diperbarui secara otomatis diperbarui secara otomatis secara otomatis diperbarui secara otomatis secara otomatis secara otomatis secara otomatis secara otomatis.

    Langkah 3: Verifikasi Asosiasi Proxy Target

    Setelah Anda membuat atau memperbarui penyeimbang beban Anda, Anda dapat memastikan bahwa sertifikat SSL dikaitkan dengan proxy target penyeimbang beban Anda.

    Jika Anda belum tahu nama proxy target, gunakan daftar target-https-proxies Target GCLOUD dan GCLOUD menghitung perintah daftar ssl-proxies target untuk mendaftar proxy target dalam proyek Anda.

    Verifikasi hubungan antara sertifikat SSL dan proxy target dengan menjalankan perintah berikut.

    Untuk penyeimbang beban eksternal global:

    gcroud compute target-https-proxies jelaskan Target_https_proxy_name \ --global \ --format = "get (sslcertificates)"

    Untuk penyeimbang beban proxy SSL eksternal:

    gcroud menghitung target-ssl-proxies menjelaskan Target_ssl_proxy_name \ --format = "get (sslcertificates)"

    Pada titik ini, status sertifikat yang dikelola Google mungkin masih disediakan . Google Cloud bekerja dengan otoritas sertifikat untuk mengeluarkan sertifikat. Menyediakan sertifikat yang dikelola Google mungkin memakan waktu hingga 60 menit.

    Langkah 4: Perbarui catatan DNS A dan AAAA untuk menunjuk ke alamat IP Load Balancer

    Catatan DNS Anda mungkin dikelola di situs pendaftar Anda, host DNS, atau ISP. Di mana catatan DNS Anda dikelola, pastikan untuk menambah atau memperbarui catatan DNS A (untuk IPv4) dan catatan DNS AAAA (untuk IPv6) untuk domain Anda dan subdomain apa pun.

    Pastikan bahwa catatan menunjuk ke alamat IP yang terkait dengan aturan atau aturan penerusan load balancer dengan menggunakan catatan A/AAAA.

    Jika Anda memiliki beberapa domain dalam sertifikat yang dikelola Google, tambahkan atau perbarui catatan DNS untuk semua domain dan subdomain. Mereka semua harus menunjuk ke alamat IP penyeimbang beban Anda.

    Sertifikat yang dikelola dapat disediakan dengan sukses jika berikut ini benar:

    • Catatan DNS domain Anda menggunakan catatan CNAME yang menunjuk ke domain lain.
    • Domain lain berisi catatan A atau AAAA yang menunjuk ke alamat IP penyeimbang beban Anda.

    Anda dapat memverifikasi pengaturan Anda dengan menjalankan perintah Dig. Misalnya, misalkan domain Anda adalah www.contoh.com . Jalankan perintah Dig berikut:

    Gali www.contoh.com

    ; > Dig 9.10.6> www.contoh.com ;; Opsi Global: +CMD ;; Punya Jawaban: ;; ->> header
    
    Dalam contoh ini, 34.95.64.10 adalah alamat IP penyeimbang beban Anda.
    DNS Resolvers di Internet berada di luar kendali Google Cloud. Mereka menyimpan catatan catatan sumber daya Anda sesuai dengan waktu mereka untuk hidup (TTL), yang berarti bahwa perintah penggalian atau nslookup mungkin mengembalikan nilai yang di -cache. Jika Anda menggunakan Cloud DNS, lihat propagasi perubahan.
    Waktu perambatan catatan DNS
    
    Catatan DNS A dan AAAA yang baru diperbarui dapat memakan waktu yang signifikan untuk sepenuhnya diperbanyak. Terkadang perambatan di internet membutuhkan waktu hingga 72 jam di seluruh dunia, meskipun biasanya membutuhkan beberapa jam.
    Rerun perintah berikut:
    gcroud menghitung sertifikat SSL menjelaskan Sertifikat_name \ --format = "dapatkan (dikelola.domainstatus) "
     
     
    Jika status domain Anda gagal_not_visible, mungkin karena propagasi tidak lengkap.
     
    Langkah 5: Uji dengan OpenSSL
     
     
    Setelah status sertifikat dan domain aktif, dapat memakan waktu hingga 30 menit untuk penyeimbang beban Anda untuk mulai menggunakan sertifikat SSL yang dikelola Google.
     
    Untuk menguji, jalankan perintah OpenSSL berikut, mengganti domain dengan nama DNS Anda dan IP_Address dengan alamat IP penyeimbang beban Anda.
     
    Echo | OpenSSL S_CLIENT -ShowCerts -Servername DOMAIN -Menghubung ALAMAT IP: 443 -Verifikasi 99 -verify_return_error
     
     
    Perintah ini menghasilkan sertifikat yang disajikan oleh penyeimbang beban kepada klien. Seiring dengan informasi terperinci lainnya, output harus menyertakan rantai sertifikat dan memverifikasi kode pengembalian: 0 (OK) .
     
    Prosedur tambahan
     
     
    Bagian ini berisi prosedur tambahan untuk mengelola sertifikat Anda.
     
    Dukung banyak domain dengan sertifikat SSL yang dikelola Google
     
     
    Beberapa nama alternatif subjek didukung. Setiap sertifikat SSL yang dikelola Google mendukung hingga jumlah maksimum domain per sertifikat SSL yang dikelola Google.
     
    Jika Anda memiliki lebih dari jumlah domain maksimum, Anda harus meminta beberapa sertifikat yang dikelola Google. Misalnya, jika Anda mencoba membuat sertifikat yang dikelola Google dengan (maksimum + 1) domain, Google tidak mengeluarkan sertifikat apa pun. Sebaliknya, Anda harus membuat dua atau lebih sertifikat yang dikelola Google dan secara eksplisit menyatakan domain mana yang terkait dengan masing-masing sertifikat.
     
    Google Cloud mengimplementasikan indikasi nama server (SNI), sebagaimana didefinisikan dalam RFC 6066.
     
    Jika salah satu domain atau subdomain dalam sertifikat yang dikelola tidak menunjuk ke alamat IP penyeimbang beban, proses pembaruan gagal. Untuk menghindari kegagalan pembaruan, pastikan bahwa semua domain dan subdomain Anda menunjuk ke alamat IP penyeimbang beban.
     
    Perbarui Sertifikat SSL yang dikelola Google
     
     
    Ketentuan Google Cloud Sertifikat dikelola valid selama 90 hari. Sekitar satu bulan sebelum kedaluwarsa, proses untuk memperbarui sertifikat Anda secara otomatis dimulai. Untuk ini, Otoritas Sertifikat (CA) dipilih yang keduanya dalam catatan DNS Otoritas Sertifikasi Domain Anda (CAA) dan dalam daftar CAS.
     
    CA yang digunakan untuk pembaruan mungkin berbeda dari CA yang digunakan untuk mengeluarkan versi sebelumnya dari sertifikat yang dikelola Google. Anda dapat mengontrol CA yang digunakan Google Cloud untuk pembaruan dengan memastikan bahwa catatan CAA DNS domain Anda menentukan satu CA dari daftar CAS yang digunakan oleh sertifikat yang dikelola Google.
     
    Jika salah satu domain atau subdomain dalam sertifikat yang dikelola tidak menunjuk ke alamat IP penyeimbang beban, proses pembaruan gagal. Untuk menghindari kegagalan pembaruan, pastikan bahwa semua domain dan subdomain Anda menunjuk ke alamat IP penyeimbang beban.
     
    Tentukan CAS yang dapat mengeluarkan sertifikat yang dikelola Google
     
     
    Dalam perangkat lunak DNS Anda, kami sarankan Anda secara eksplisit mengesahkan CAS yang ingin Anda izinkan untuk mengeluarkan sertifikat yang dikelola Google. Meskipun tidak diperlukan dalam setiap skenario, ini diperlukan dalam situasi tertentu.
     
    Misalnya, jika Anda menggunakan layanan DNS eksternal dan sertifikat yang dikelola Google Anda dicabut, layanan ini hanya dapat memvalidasi sertifikat baru yang dikeluarkan oleh satu atau lebih CA spesifik.
     
    Untuk melakukan ini, buat atau memodifikasi catatan CAA untuk memasukkan PKI.goog atau letsencrypt.org atau keduanya. Jika Anda tidak memiliki catatan CAA, perilaku default adalah untuk memungkinkan kedua PKI.goog dan letsencrypt.org .
     
    DOMAIN. Caa 0 edisi "pki.Goog " DOMAIN. Caa 0 edisi "letsencrypt.org "
     
     
    Dukungan untuk Letsencrypt.Sertifikat org disediakan berdasarkan upaya terbaik. Untuk keandalan terbaik, izinkan kedua PKI.goog dan letsencrypt.org . Jika Anda menentukan hanya satu dari CAS, hanya CA yang digunakan untuk membuat dan memperbarui sertifikat Anda. Pendekatan ini tidak disarankan.
     
    Saat Anda pertama kali membuat sertifikat, Google Cloud memilih PKI.goog atau letsencrypt.org dan menggunakannya untuk mengeluarkan sertifikat Anda. Saat Google memperbarui sertifikat Anda, sertifikat Anda mungkin dikeluarkan oleh CA lainnya, tergantung pada CAS yang telah Anda tentukan dalam catatan CAA (jika Anda membuatnya). Sertifikat Anda mungkin diperbarui oleh CA yang berbeda dalam salah satu kasus berikut:
     
     
    Anda tidak memiliki catatan DNS CAA untuk domain Anda.
     
    Anda telah memasukkan kedua CAS dalam catatan DNS CAA.
     
     
    Untuk informasi lebih lanjut, lihat catatan RFC, CAA DNS.
     
    Letsencrypt.Masalah org Nama domain terasionalisasi (IDNS). pki.Goog saat ini tidak mendukung IDNS.
     
    Jika Anda menggunakan Cloud DNS, pelajari cara menambahkan catatan, dan pastikan untuk mengatur -tipe flag ke CAA .
     
    Catatan: Saat Anda menambahkan CA dalam catatan CAA, mungkin perlu waktu yang signifikan bagi DNS untuk menyebarkan perubahan itu dan membuatnya terlihat oleh CA. Akibatnya, proses pembaruan sertifikat pada awalnya mungkin gagal, tetapi akhirnya berhasil. Untuk informasi lebih lanjut, lihat Pemecahan Masalah Sertifikat SSL.
     
    Ganti sertifikat SSL yang ada
     
     
    Untuk mengganti sertifikat SSL yang ada:
     
     
    Mulai proses untuk membuat penggantian sertifikat SSL yang dikelola Google. Sertifikat ini tidak menjadi aktif pada saat ini.
     
    Perbarui proxy target sehingga daftar sertifikat yang direferensikan mencakup sertifikat SSL pengganti bersama dengan sertifikat SSL saat ini. Langkah -langkah untuk memperbarui proxy target bervariasi, sebagai berikut: 
     
    Perbarui proxy https target
     
    Perbarui proxy SSL target
     
     
    Catatan: Untuk tetap melayani lalu lintas, proxy target harus terus merujuk sertifikat SSL saat ini. Agar sertifikat penggantian untuk menyelesaikan proses penyediaannya, proxy target juga harus merujuk sertifikat penggantian.
     
     
    Tunggu sertifikat SSL penggantian untuk menyelesaikan penyediaan. Penyediaan mungkin memakan waktu hingga 60 menit. Saat penyediaan selesai, status sertifikat menjadi aktif . Catatan: Menyediakan sertifikat yang dikelola Google mungkin dilakukan 60 menit Dari saat DNS dan perubahan konfigurasi penyeimbang beban Anda telah diperbanyak di internet. Jika Anda telah memperbarui konfigurasi DNS Anda baru -baru ini, itu dapat memakan waktu yang signifikan untuk perubahan sepenuhnya menyebar. Terkadang propagasi memakan waktu hingga 72 jam di seluruh dunia, meskipun biasanya membutuhkan beberapa jam. Untuk informasi lebih lanjut tentang propagasi DNS, lihat propagasi perubahan.
     
    Tunggu 30 menit tambahan untuk memastikan bahwa sertifikat penggantian tersedia untuk semua ujung depan Google (GFE).
     
    Perbarui proxy target untuk menghapus sertifikat SSL yang Anda ganti dari daftar sertifikat yang direferensikan. Langkah -langkah untuk memperbarui proxy target bervariasi, sebagai berikut: 
     
    Perbarui proxy https target
     
    Perbarui proxy SSL target
     
     
     
    Tunggu 10 menit, dan konfirmasi bahwa penyeimbang beban menggunakan sertifikat SSL pengganti bukannya yang lama.
     
    Perbarui proxy target lagi, menghapus sumber daya sertifikat SSL lama. Anda dapat menghapus sumber daya sertifikat SSL jika tidak lagi dirujuk oleh proxy target apa pun.
     
     
    Jika Anda tidak menghapus sertifikat SSL lama, itu tetap aktif sampai berakhir.
     
    Migrasi dari sertifikat SSL yang dikelola sendiri ke sertifikat SSL yang dikelola Google
     
     
    Ketika Anda memigrasikan penyeimbang beban dari menggunakan sertifikat SSL yang dikelola sendiri ke sertifikat SSL yang dikelola Google, Anda harus melakukan langkah-langkah berikut dalam urutan ini:
     
     
    Buat sertifikat yang dikelola Google baru.
     
    Associate New Google-Managed Certificate dengan proxy target yang benar sambil mempertahankan asosiasi proxy target dengan sertifikat yang dikelola sendiri yang ada.
     
    Tunggu sampai status sertifikat yang dikelola Google aktif .
     
    Tunggu 30 menit untuk memungkinkan sertifikat baru menyebar ke Google Front Ends (GFE)
     
    Perbarui proxy target lagi, menghapus sumber daya sertifikat yang dikelola sendiri. Anda dapat menghapus sumber daya sertifikat SSL yang dikelola sendiri jika tidak lagi dirujuk oleh proxy target apa pun.
     
     
    Hapus sertifikat SSL
     
     
    Sebelum menghapus sertifikat SSL, pastikan tidak ada HTTPS atau SSL Target Proxy Reference Certificate ini. Anda dapat melakukan ini dengan dua cara:
     
     
    Hapus proxy target yang merujuk sertifikat ini.
     
    Perbarui proksi target yang merujuk sertifikat ini untuk mengecualikannya. Langkah -langkahnya bervariasi, sebagai berikut: 
     
    Perbarui proxy target https.
     
    Perbarui proxy target SSL.
     
     
    Untuk menghapus satu atau lebih sertifikat SSL:
     
    Menghibur
     
     
    Anda dapat menghapus sertifikat SSL global di Sertifikat klasik tab di Manajer Sertifikat halaman.
     
     
    Pergi ke Sertifikat klasik Tab di Google Cloud Console. 
    Pergi ke sertifikat klasik
     
    Pilih sertifikat SSL yang ingin Anda hapus.
     
    Klik Hapus Menghapus.
     
    Untuk mengonfirmasi, klik Hapus Menghapus lagi.
     
     
    GCloud
     
     
    Untuk menghapus sertifikat SSL global (untuk penyeimbang beban http eksternal global atau penyeimbang beban proxy SSL eksternal), gunakan perintah hapus sertifikat SSL GCLOUD SSL dengan perintah --global:
     
    gCloud menghitung ssl-sertifikat menghapus Sertifikat_name \ --global
     
     
    Ganti yang berikut:
     
     
    Certificate_name: Nama sertifikat SSL
     
     
    Apa berikutnya
     
     
     
    Untuk memecahkan masalah sertifikat SSL, lihat Pemecahan Masalah Sertifikat SSL.
     
    Untuk menggunakan skrip terraform yang menciptakan sertifikat yang dikelola Google, lihat contoh Cloud Run di Contoh modul terraform untuk penyeimbang beban http eksternal halaman.
     
     
    Kirim umpan balik
     
    Kecuali sebagaimana dicatat, konten halaman ini dilisensikan di bawah Atribusi Creative Commons 4.0 lisensi, dan sampel kode dilisensikan di bawah Apache 2.0 lisensi. Untuk detailnya, lihat Kebijakan Situs Pengembang Google. Java adalah merek dagang terdaftar dari Oracle dan/atau afiliasinya.
     
    Terakhir diperbarui 2023-05-08 UTC.
     
    Apakah Google mengeluarkan sertifikat SSL
     
     
     
     
    Langkah Sederhana Untuk Mengamankan Situs Web Anda
     
    Domain apa pun yang Anda terdaftar dengan Google Domains dilengkapi dengan Privacy Protection, One-Click DNSSEC, dan Google 2-Step Verifikasi-semuanya tanpa biaya tambahan. Apakah Anda’meluncurkan kembali proyek sampingan atau memperluas bisnis Anda’S Kehadiran online, berikut adalah beberapa langkah mudah yang dapat Anda ambil untuk melindungi situs web Anda dengan lebih baik.
     
    Dapatkan sertifikat SSL untuk mengenkripsi situs web Anda
     
    Amankan situs web Anda dan lindungi pengguna Anda’ Informasi dengan enkripsi HTTPS dengan menginstal sertifikat SSL. Sertifikat SSL menjaga informasi sensitif seperti data kartu kredit pribadi dengan mengacak data saat bepergian ke dan dari situs web Anda. Dan enkripsi https memastikan bahwa tidak ada yang dapat mengakses atau memantau komunikasi ke atau dari situs web Anda.
     
     
     
    Lindungi situs web Anda dari stripping SSL
     
    Memasang sertifikat SSL adalah suatu keharusan, tetapi SSL saja bukan’t benar-benar tahan hack: Anda juga harus menggunakan HSTS-preloading. Tanpa HSTS, seseorang dapat mencoba melucuti situs web Anda dari sertifikat SSL sehingga mereka dapat memuat halaman Anda melalui HTTP (bukan HTTPS). Cara terbaik untuk melindungi situs web Anda dari stripping SSL adalah dengan menggunakan nama domain yang dimuat HSTS atau menambahkan situs web Anda ke daftar HSTS-Preload (daftar situs web yang hanya dimuat oleh browser modern di atas koneksi terenkripsi). Berikut adalah dua cara untuk mendapatkan daftar HSTS-Preload:
     
     
     
    Daftarkan nama domain itu’s-preloaded (disarankan)
     
    Cara tercepat untuk masuk dalam daftar HSTS-Preload adalah dengan menggunakan domain akhir seperti .aplikasi, .dev, atau .halaman itu’S sudah ada dalam daftar. Situs web mana pun dengan domain tingkat atas (TLD) pada daftar secara otomatis dilindungi oleh HSTS-Preloading.
     
     
     
    Tambahkan situs web Anda ke daftar
     
    Pemilik situs web dapat secara individual menambahkan situs web mereka ke daftar HSTS-Preload di HSTSPRELOAD.org. Namun perlu diingat, ini adalah proses yang lambat karena pembaruan ke daftar mungkin tidak dikenali oleh browser sampai pembaruan atau rilis baru. Butuh waktu berbulan -bulan bagi semua browser modern untuk mengenali bahwa situs web Anda telah ditambahkan.