Utilizzare i certificati SSL gestiti da Google

Riepilogo:

In questo articolo, discuteremo dell’utilizzo dei certificati SSL gestiti da Google per i bilanciatori del carico in Google Cloud. Copriremo la panoramica dei certificati SSL, i metodi per configurarli, i tipi di certificati disponibili e come possono essere utilizzati con i bilanciatori del carico di Google Cloud.

Punti chiave:

1. La sicurezza del livello di trasporto (TLS) viene utilizzata per la crittografia delle informazioni su una rete.
2. I bilanciatori del carico proxy di Google Cloud richiedono certificati SSL per la crittografia.
3. Esistono due metodi per configurare i certificati SSL: Compute Engine SSL Certificate Resource and Certificate Manager.
4. Sono disponibili certificati SSL autogestiti e gestiti da Google.
5. I certificati autogestiti possono essere certificati di convalida del dominio (DV), convalida dell’organizzazione (OV) o convalida estesa (EV).
6. Google Cloud Load Bilancers supporta diversi tipi di certificati SSL in base al livello.
7. Più certificati SSL possono essere ospitati su un singolo proxy di destinazione.
8. Le risorse del certificato SSL del motore di calcolo hanno un limite massimo per proxy target.
9. Il primo certificato SSL del motore di calcolo è considerato il certificato predefinito.
10. Il gestore certificato abilita il riferimento a più certificati utilizzando una mappa del certificato.

Domande e risposte:

Q1: qual è lo scopo dei certificati SSL in Google Cloud Load Balancers?

A1: Lo scopo dei certificati SSL è fornire la crittografia tra il bilanciamento del carico e i clienti che accedono al bilanciamento del carico.

Q2: quanti metodi sono disponibili per configurare i certificati SSL per i bilanciatori del carico?

A2: Sono disponibili due metodi: Compute Engine SSL Certificate Resource and Certificate Manager.

Q3: quali tipi di certificati SSL possono essere utilizzati con i bilanciatori di carico di Google Cloud?

A3: I certificati SSL autogestiti e gestiti da Google possono essere utilizzati. I certificati autogestiti possono essere certificati DV, OV o EV.

Q4: quali tipi di bilanciatori del carico supportano certificati SSL del motore di calcolo autogestiti?

A4: bilanciamento del carico HTTP (s) esterno globale, bilanciamento del carico HTTP (s) esterno globale (classico) e bilanciamento del carico di proxy SSL esterno nel supporto di calcolo autogesiato di livello autogesiato.

Q5: è possibile ospitare più certificati SSL su un singolo proxy di destinazione?

A5: Sì, è possibile ospitare più certificati SSL su un singolo proxy di destinazione, specialmente quando il bilanciamento del carico supporta più nomi di dominio.

Q6: qual è il numero massimo di certificati SSL per proxy target quando si utilizzano le risorse del certificato SSL SSL?

A6: il numero massimo di certificati SSL per proxy target non è configurabile. Per ulteriori informazioni, consultare le quote di bilanciamento del carico e limiti.

Q7: quale certificato SSL è considerato il certificato predefinito quando si utilizzano le risorse del certificato SSL del motore di calcolo?

A7: il primo certificato SSL del motore di calcolo a cui si fa riferimento a un proxy target è considerato il certificato predefinito per il bilanciamento del carico.

Q8: è possibile fare riferimento a più certificati SSL utilizzando il gestore certificato?

A8: Sì, il gestore certificato consente di fare riferimento a più certificati SSL utilizzando una mappa del certificato.

Q9: quali bilanciatori di carico utilizzano proxy HTTPS di destinazione regionali?

A9: il bilanciamento del carico HTTP (s) esterno regionale e il bilanciamento del carico HTTP (S) interni utilizzano proxy di target regionale HTTPS.

Q10: qual è lo scopo della sicurezza del livello di trasporto (TLS)?

A10: Transport Layer Security (TLS) viene utilizzato per crittografare le informazioni inviate su una rete, garantendo la privacy tra il client e il server o il bilanciamento del carico.

Utilizzare i certificati SSL gestiti da Google

Prima di eliminare un certificato SSL, assicurarsi che nessun proxy target HTTPS o SSL fa riferimento a questo certificato. Puoi farlo in due modi:

Panoramica dei certificati SSL

La sicurezza del livello di trasporto (TLS) viene utilizzata per crittografare le informazioni mentre viene inviata su una rete, fornendo privacy tra un client e un server o un bilanciamento del carico. Google Cloud Proxy Bilanciatori di carico le cui regole di inoltro fanno riferimento a un proxy HTTPS di destinazione o proxy SSL target richiedono una chiave privata e un certificato SSL come parte della configurazione del proxy target del bilanciamento del carico.

Nota: Questa pagina discute i certificati SSL nel contesto della crittografia in transito tra un bilanciamento del carico proxy di Google Cloud e client (a valle) che si collegano al bilanciamento di Google Cloud Load. Per i dettagli sulla crittografia in transito tra il bilanciamento del carico di Google Cloud e i suoi backend (a monte), consultare la crittografia dei backend.

Metodi di configurazione del certificato

Google Cloud offre due metodi per configurare i certificati SSL per i bilanciatori di carico proxy HTTP e SSL. Entrambi i metodi supportano certificati SSL autogestiti e gestiti da Google.

• Calcola Resource certificato SSL SSL: Con questo metodo, il proxy target per un bilanciamento del carico HTTP (s) esterno globale, il bilanciamento del carico HTTP (s) esterno globale (classico), il bilanciamento del carico SSL esterno, il bilanciamento del carico di HTTP (s) esterno regionale è configurato per fare riferimento a una risorsa di certificazione di certificazione SSL regionale SSL. La risorsa del certificato SSL contiene la chiave privata, il certificato corrispondente e i certificati di CA. Questo metodo supporta tutti i livelli di servizio di rete supportati dal bilanciamento del carico.
• Gestore certificato: Con questo metodo, il proxy target per un bilanciamento del carico HTTP (s) esterno globale, il bilanciamento del carico HTTP (s) esterno globale (classico) o il bilanciamento del carico SSL esterno è configurato per riferimento a riferimento a Mappa del certificato. La mappa del certificato contiene uno o più Voci di certificato. Ogni voce di certificato fa riferimento a una risorsa di certificato di gestore di certificati singoli e ogni risorsa del certificato contiene una chiave privata e un certificato. Con il gestore certificato, un proxy HTTPS di destinazione o un proxy SSL di destinazione può fare riferimento a una mappa del certificato con migliaia di voci di certificato SSL. Questo metodo è disponibile solo quando il bilanciamento del carico utilizza il livello di servizio di rete premium. Per ulteriori informazioni, consultare la panoramica del gestore certificato.

Tipi di certificato

Puoi creare i tuoi certificati o Google può gestirli per te:

• Certificati SSL autogestiti sono certificati che ottieni, forniti e rinnovati. I certificati autogestiti possono essere uno di questi tipi di certificati chiave pubblici:
  • Convalida del dominio (DV)
  • Convalida dell’organizzazione (OV)
  • Certificati di convalida estesa (EV)

  Per ulteriori informazioni sui certificati SSL del motore di calcolo autogestiti, consultare Utilizza certificati SSL autogestiti.

  Per ulteriori informazioni sui certificati SSL e il gestore certificato autogestiti, vedere Carica un certificato autogestito nella documentazione del gestore certificato o distribuire un certificato autogestito per un tutorial end-to-end.

  Certificati e bilanciatori di carico di Google Cloud

  La tabella seguente mostra quali certificati SSL SSL del motore di calcolo autogestiti di Google Cloud supportano i certificati SSL SSL del motore a computato Google (certificati di certificati (sia i certificati gestiti da Google).

  • Bilanciatore di carico HTTP (s) esterno globale a
  • Bilanciatore del carico HTTP (s) esterno globale (classico) nel livello premium A
  • Bilanciatore del carico proxy SSL esterno in livello premium B
  • Bilanciatore del carico HTTP (S) esterno globale (classico) in livello standard A
  • Bilanciatore del carico proxy SSL esterno in livello standard B
  • Bilanciatore di carico HTTP (s) esterno regionale C
  • Bilanciatore carico HTTP (s) interno C

  A Il bilanciamento del carico HTTP (s) esterno globale e il bilanciamento del carico HTTP (S) esterno globale utilizzano i proxy HTTPS di target globali, anche quando un bilanciamento del carico HTTP (S) esterno globale usa il livello standard.

  b Il bilanciamento del carico proxy SSL esterno utilizza proxy SSL target globali, anche in livello standard.

  C Il bilanciamento del carico HTTP (s) esterno regionale e il bilanciamento del carico HTTP (S) interno utilizzano proxy HTTPS di destinazione regionale.

  Più certificati SSL

  È possibile utilizzare lo stesso proxy HTTPS di destinazione o il proxy SSL di destinazione per ospitare più certificati, comuni quando il bilanciamento del carico supporta più nomi di dominio. È possibile configurare una singola regola di inoltro (un singolo indirizzo IP e porta) per fare riferimento a un proxy target comune oppure è possibile configurare più regole di inoltro (diversi indirizzi e porte IP) per fare riferimento a un proxy target comune.

  Risorse per certificati SSL a più motori a più calco

  Quando si utilizzano le risorse del certificato SSL del motore Calco Numero massimo di certificati SSL per target HTTPS o proxy SSL target. Per ulteriori informazioni, consultare i pool di destinazione e i proxy target nelle quote di bilanciamento del carico e limita la documentazione.

  La prima risorsa certificato SSL del motore di calcolo riferito dal proxy target di un bilanciamento del carico è considerato il certificato predefinito (primario) per il bilanciamento del carico.

  Più certificati SSL utilizzando Certificate Manager

  Quando si utilizza il gestore certificato, ogni risorsa proxy target fa riferimento a una singola mappa del certificato. Una mappa del certificato fa riferimento a una o più voci di certificato ed è possibile configurare quale voce certificata è il certificato predefinito (primario) per la mappa. Il numero di mappe, voci e certificati di gestore di certificati sono configurabili, quote per progetto. Per ulteriori informazioni, consultare le quote di risorse nella documentazione del gestore certificato.

  Se stai utilizzando un bilanciamento del carico che supporta il gestore certificato e devi ospitare più di alcuni certificati SSL per proxy target, assicurarsi di utilizzare il gestore certificati anziché le risorse di certificato SSL SSL del motore di calcolo.

  Metodo di selezione del certificato

  Dopo che un client si collega a un bilanciamento del carico proxy HTTP o SSL, il bilanciamento del client e del carico negoziano una sessione TLS. Durante la negoziazione della sessione TLS, il client invia al bilanciamento del carico un elenco di cifre TLS che supporta (in ClientHello). Il bilanciamento del carico seleziona un certificato il cui algoritmo della chiave pubblica è compatibile con il client. Il client può anche inviare un nome host di indicazione del nome server (SNI) al bilanciamento del carico come parte di questa negoziazione. I dati Host SNI vengono talvolta utilizzati per aiutare il bilanciamento del carico a scegliere quale certificato dovrebbe inviare al client.

  È possibile modellare il processo che i bilanciatori del carico proxy di Google Cloud utilizzano per selezionare un certificato da inviare a un client come segue. Nel tuo modello, inizia con tutti i certificati SSL configurati sul proxy HTTPS di destinazione o proxy SSL di destinazione, senza regolamenti del metodo di configurazione.

  1. Il bilanciamento del carico seleziona un singolo candidato certificato:
     • Se un proxy target di un bilanciamento del carico fa riferimento a una risorsa certificato SSL SSL solo un motore di calcolo o se il proxy target di un bilanciamento del carico fa riferimento a una mappa del gestore certificato con una sola voce di certificato, il bilanciamento del carico utilizza un solo certificato configurato come candidato certificato. Il valore del nome host SNI (se fornito) non influenza affatto il bilanciamento del carico. Procedere al passaggio 2.
     • Se il proxy target di un bilanciamento del carico fa riferimento a due o più risorse di certificato SSL del motore di calcolo o se il proxy target di un bilanciamento del carico fa riferimento separare candidato al certificato:
       • Se il client non invia alcun nome host SNI nel proprio clientHello, il bilanciamento del carico utilizza il certificato SSL predefinito (primario) come candidato del certificato. Procedere al passaggio 2.
       • Se il client invia un nome host SNI che non corrisponde al nome comune (CN) di certificato e non corrisponde a nessun nome alternativo oggetto certificato (SAN), il bilanciamento del carico utilizza il certificato SSL predefinito (primario) come candidato del certificato. Procedere al passaggio 2.
       • Il bilanciamento del carico seleziona un candidato del certificato che corrisponde al nome host SNI inviato dal client. La corrispondenza viene eseguita dal prefisso più lungo contro gli attributi del certificato Nome COMMON (CN) e Nome alternativo in materia, con una preferenza per i certificati ECDSA rispetto ai certificati RSA. Per illustrare il metodo di abbinamento, considera un proxy target che fa riferimento a un certificato il cui CN è gatto.animali domestici.esempio.com e un altro certificato il cui CN è i cani.animali domestici.esempio.com . Oltre a includere ogni valore CN nei suoi sans, ogni certificato include *.animali domestici.esempio.com, e *.esempio.com nei suoi sans.
         • Se il nome host SNI fornito è gatti.animali domestici.esempio.com, il bilanciamento del carico utilizza il certificato il cui CN è gatto.animali domestici.esempio.com come candidato al certificato. Procedere al passaggio 2.
         • Se il nome host SNI fornito è furetti.animali domestici.esempio.com, il bilanciamento del carico utilizza uno dei due Certificati come candidato del certificato perché entrambi i certificati configurati hanno Sans che includono *.animali domestici.esempio.com . Non puoi controllare Quale dei due I certificati diventano il candidato del certificato in questa situazione. Procedere al passaggio 2.
  2. Il candidato del certificato viene inviato al cliente se il candidato del certificato utilizza un algoritmo chiave pubblica compatibile con uno dei cifre dichiarati del cliente.
     • La negoziazione TLS può fallire se il client non supporta una suite di cifratura che include l’algoritmo chiave pubblica (ECDSA o RSA) del certificato.
     • Il bilanciamento del carico non utilizza gli attributi notvalidbefore e notvalidafter del certificato come parte del metodo di selezione dei candidati. Ad esempio, il bilanciamento del carico può servire un certificato scaduto se il certificato scaduto è stato selezionato come candidato del certificato.

  Prezzi

  Si sono commessi di spese di networking quando si utilizzano i bilanciatori del carico di Google Cloud. Per ulteriori informazioni, consultare tutti i prezzi di networking. Per i prezzi del gestore del certificato, consultare i prezzi nella documentazione del gestore certificato. Non ci sono costi aggiuntivi per l’utilizzo delle risorse del certificato SSL del motore Calco.

  Qual è il prossimo

  • Per ulteriori informazioni sui certificati SSL del motore di calcolo, consultare le seguenti pagine:
    • Per ulteriori informazioni sui certificati SSL del motore di calcolo autogestiti, consultare Utilizza certificati SSL autogestiti.
    • Per ulteriori informazioni sui certificati SSL del motore di calcolo gestito da Google, consultare Utilizzo dei certificati SSL gestiti da Google.
    • Per conoscere le quote e i limiti (comprese le lunghezze dei tasti supportate) per i certificati SSL del motore di calcolo, consultare i certificati SSL e i pool di destinazione e i proxy di destinazione nella documentazione del bilanciamento del carico.
    • Panoramica del gestore del certificato.
    • Per ulteriori informazioni sui certificati SSL e il gestore certificato autogestiti, vedere Carica un certificato autogestito nella documentazione del gestore certificato o distribuire un certificato autogestito per un tutorial end-to-end.
    • Per ulteriori informazioni sui certificati SSL gestiti da Google e il gestore certificato, consultare i certificati nella documentazione del gestore certificato.
    • Per conoscere le quote e i limiti per il gestore certificato, consultare le quote di risorse nella documentazione del gestore certificato.

    Provalo da solo

    Se sei nuovo a Google Cloud, crea un account per valutare come i nostri prodotti si comportano in scenari del mondo reale. I nuovi clienti ricevono anche $ 300 in crediti gratuiti per eseguire, testare e distribuire carichi di lavoro.

    Invia feedback

    Salvo quanto diversamente indicato, il contenuto di questa pagina è concesso in licenza ai sensi dell’attribuzione Creative Commons 4.0 Licenza e campioni di codice sono autorizzati ai sensi dell’Apache 2.0 licenza. Per i dettagli, consultare le politiche del sito degli sviluppatori di Google. Java è un marchio registrato di Oracle e/o delle sue affiliate.

    Ultimo aggiornamento 2023-05-08 UTC.

    Utilizzare i certificati SSL gestiti da Google

    Questa pagina discute come creare e utilizzare i certificati SSL gestiti da Google.

    I certificati SSL gestiti da Google sono certificati di convalida del dominio (DV) che Google Cloud ottiene e gestisce per i tuoi domini. Supportano più nomi host in ciascun certificato e Google rinnova automaticamente i certificati.

    I certificati gestiti da Google sono supportati con i seguenti bilanciatori del carico:

    • Bilanciatore del carico HTTP (s) esterno globale
    • Bilanciatore del carico HTTP (s) esterno globale (classico)
    • Bilanciamento del carico proxy SSL esterno

    I certificati SSL gestiti da Google non sono supportati per i bilanciatori di carico HTTP (s) esterni regionali e i bilanciatori di carico HTTP interni. Per questi bilanciatori del carico, utilizzare i certificati SSL autogestiti.

    Puoi anche utilizzare i certificati SSL gestiti con il motore Google Kubernetes. Per ulteriori informazioni, consultare utilizzando i certificati SSL gestiti da Google.

    Puoi creare un certificato gestito da Google prima, durante o dopo aver creato il bilanciamento del carico. Questa pagina presuppone che tu stia creando il certificato prima o dopo la creazione del bilanciamento del carico, non durante. Per creare il certificato durante la creazione del bilanciamento del carico, consultare il bilanciamento del carico How-To Pages.

    Prima di iniziare

    • Assicurati di avere familiarità con la panoramica dei certificati SSL.
    • Assicurati di avere i nomi di dominio che desideri utilizzare per il tuo certificato SSL gestito da Google. Se stai utilizzando Google Domains, consultare il passaggio 1: registra un nome di dominio utilizzando Google Domains.
    • Assicurati di aver abilitato l’API del motore di calcolo per il tuo progetto. Abilita l’API del motore di calcolo

    Autorizzazioni

    Per seguire questa guida, devi essere in grado di creare e modificare i certificati SSL nel progetto. Puoi farlo se uno dei seguenti è vero:

    • Sei un proprietario o un editore del progetto (ruoli/proprietario o ruoli/editore).
    • Hai sia il ruolo di amministratore di sicurezza calcola (calcola.SecurityAdmin) e il ruolo di amministrazione della rete di calcolo (calcolo.NetworkAdmin) nel progetto.
    • Hai un ruolo personalizzato per il progetto che include il calcolo.sslcertificates.* autorizzazioni e uno o entrambi di calcolo.TargeThtpsProxies.* e calcola.TargetSslProxies.*, a seconda del tipo di bilanciamento del carico che si sta usando.

    Passo 1. Crea un certificato SSL gestito da Google

    Puoi creare un certificato gestito da Google prima, durante o dopo aver creato il bilanciamento del carico. Durante il processo di creazione di un bilanciamento del carico nella console di Google Cloud, è possibile utilizzare la console di Google Cloud per creare il certificato. In alternativa, puoi creare il tuo certificato prima o dopo aver creato il bilanciamento del carico. Questo passaggio mostra come creare un certificato che puoi successivamente aggiungere a uno o più bilanciatori di carico.

    Se hai già creato il tuo certificato SSL gestito da Google, puoi saltare questo passaggio.

    Console

    Puoi lavorare con i certificati SSL globali su Certificati classici Scheda sulla Gestore certificato pagina.

    1. Vai al Certificati classici Scheda nella console di Google Cloud.
       Vai ai certificati classici
    2. Clic Crea certificato SSL.
    3. Immettere un nome e una descrizione opzionale per il certificato.
    4. Selezionare Crea certificato gestito da Google.
    5. Aggiungi i domini.
    6. Clic Creare.

    gcloud

    Per creare un certificato SSL gestito da Google globale per un bilanciamento del carico HTTP (s) esterno globale o il bilanciamento del carico proxy SSL esterno, utilizzare il comando Gcloud Compute SSL Crea comando:

    Gcloud Calcola i certificati ssl creano Certificato_name \ -Description =DESCRIZIONE \ - -domains =Domain_list \ -Global

    Sostituire quanto segue:

    • Certificate_name: un nome per il certificato SSL globale
    • Descrizione: una descrizione per il certificato SSL globale
    • Domain_list: un nome di dominio singolo o un elenco di nomi di dominio delimitato da virgola da utilizzare per questo certificato

    Terraform

    Per creare il certificato SSL Mesaged Google, utilizzare la risorsa Google_Compute_Managed_SSL_Certificate.

    risorsa "Google_Compute_Managed_SSL_CERTIFATE" "LB_DEFAULT" < provider = google-beta name = "myservice-ssl-cert" managed < domains = [var.domain_name] >>

    API

    Crea SSLCertificates.Inserisci il metodo, sostituendo Project_id con l’ID progetto.

    Post https: // calcola.Googleapis.COM/COMPUTE/V1/PROGETTI/[PROGETTO_ID]/GLOBAL/SSLCertificates < "name": "ssl-certificate-name", "managed": < "domains": [ "www.example.com" ] >, "tipo": "gestito"> 

    Controlla lo stato di un certificato SSL gestito da Google

    Console

    Puoi controllare lo stato dei certificati SSL globali su Certificati classici Scheda sulla Gestore certificato pagina.

    1. Vai al Certificati classici Scheda nella console di Google Cloud.
       Vai ai certificati classici
    2. (Opzionale) Filtra l’elenco dei certificati SSL.
    3. Controlla il Stato colonna.
    4. Per visualizzare maggiori dettagli, fare clic sul nome del certificato.

    gcloud

    Per determinare lo stato del tuo certificato gestito da Google, è possibile utilizzare i comandi di calcolo Gcloud. Dopo aver eseguito il comando appropriato, nota quanto segue:

    Per elencare i tuoi certificati SSL gestiti da Google, utilizzare il comando Elenco SSL-Certificates Gcloud Calcod con il flag-Global .

    Gcloud Calcod SSL-certificati Elenco \-Global

    È possibile utilizzare il comando Gcloud Compute SSL Descrivi il comando, Sostituzione di certificate_name:

    Gcloud Calcol-certificati Descrivi Certificato_name \ --global \ - -format = "get (nome, gestito.stato, gestito.Domainstatus) "

    A questo punto, lo stato del certificato e lo stato del dominio stanno provocando . Dopo aver completato i passaggi in questa pagina, gli stati cambiano in attivo .

    Per ulteriori informazioni sugli stati, consultare la pagina di risoluzione dei problemi.

    Passaggio 2: creare o aggiornare il bilanciamento del carico

    Per diventare attivo, il certificato SSL gestito da Google deve essere associato a un bilanciamento del carico, in particolare il proxy target del bilanciamento del carico.

    Dopo aver creato il tuo certificato SSL ed è nello stato di provisioning, puoi usarlo durante la creazione del bilanciamento del carico, come descritto nelle seguenti guide di istruzione:

    • Imposta un bilanciamento del carico HTTP (s) esterno globale con un back -end del motore di calcolo
    • Imposta un bilanciatore di carico HTTP (s) esterno globale (classico) con backend di un motore di calcolo
    • Imposta un bilanciamento del carico proxy SSL esterno

    Oppure puoi usarlo per aggiornare un bilanciamento del carico esistente, come descritto qui:

    Console

    Quando si aggiorna un bilanciamento di carico HTTP (s) esterno globale o bilanciamento del carico di proxy SSL esterno utilizzando Google Cloud Console, Google Cloud associa automaticamente il tuo certificato SSL con il proxy target corretto.

    1. Vai al Bilancio del carico Pagina nella console di Google Cloud.
       Vai al bilanciamento del carico
    2. Fai clic sul nome del bilanciamento del carico.
    3. Clic Modificare modificare .
    4. Clic Configurazione del frontend.
    5. Fare clic sulla parte anteriore corretta (deve essere HTTPS, HTTP/2, SSL).
    6. Clic Certificati aggiuntivi, e seleziona il tuo certificato gestito da Google dall’elenco a discesa.
    7. Clic Creare.

    gcloud

    Per associare un certificato SSL al proxy HTTPS di destinazione per un bilanciamento del carico HTTP (S) esterno globale, utilizzare il comando di aggiornamento GCLOUD TARB TARB-HTTPS-Proxies con-Global-SSL-certificati e-Global Flagss:

    Gcloud Calcod Target-Https-Proxies Aggiornamento Target_proxy_name \--SSL-certificati Ssl_certificate_list \-Global-SSL-certificati \-Global

    Per associare un certificato SSL al proxy SSL di destinazione per un bilanciamento del carico proxy SSL esterno, utilizzare il comando di aggiornamento Gcloud Calcod Target-SSL-Proxies:

    Gcloud Calcod Target-SSL-Proxies Aggiornamento Target_proxy_name \--SSL-certificati Ssl_certificate_list 

    Sostituire quanto segue:

    • Target_proxy_name: il nome del proxy target del bilanciamento del carico
    • SSL_CERTIFATE_LIST: un elenco di risorse del certificato di SSL delimitato da virgola assicurarsi che l’elenco dei certificati di riferimento includa tutti i vecchi certificati SSL validi e il nuovo certificato SSL. Il comando di aggiornamento Target-SSL-Proxies di Gcloud Calcoud sovrascrive i valori originali per–SSL-certificati con il nuovo valore.

    Terraform

    Per creare il proxy HTTPS di destinazione, utilizzare la risorsa Google_Compute_target_https_proxy.

    Per creare il proxy SSL di destinazione, utilizzare la risorsa Google_Compute_Target_SSL_Proxy.

    risorsa "Google_compute_target_https_proxy" "lb_default"

    Ogni proxy HTTPS di destinazione o proxy SSL target deve fare riferimento ad almeno un certificato SSL. Un proxy target può fare riferimento a più di un certificato SSL. Per i dettagli, consultare i pool di destinazione e i proxy di destinazione nelle quote e sui limiti delle risorse di bilanciamento del carico.

    Importante: Per i bilanciatori di carico di proxy SSL esterni con certificati SSL gestiti da Google, la regola di inoltro del bilanciamento del carico deve utilizzare la porta TCP 443 per il certificato gestito da Google da provocare inizialmente e rinnovare automaticamente.

    Passaggio 3: verificare l’associazione proxy target

    Dopo aver creato o aggiornato il bilanciamento del carico, puoi assicurarti che il certificato SSL sia associato al proxy target del bilanciamento del carico.

    Se non si conosce già il nome del proxy target, utilizzare l’elenco Gcloud Calcod Target-Https-Proxies e i comandi dell’elenco Target-SSL-Proxies Gcloud Calcoud per elencare i proxy di destinazione nel progetto.

    Verifica l’associazione tra il certificato SSL e il proxy target eseguendo il comando seguente.

    Per i bilanciatori del carico HTTP (s) esterni globali:

    Gloud Calcod Target-Https-Proxies Descrive Target_https_proxy_name \ --Global \ - -Format = "get (sslCertificates)"

    Per bilanciatori di carico proxy SSL esterni:

    Gcloud Calcod Target-SSL-Proxies Descrive Target_SSL_Proxy_name \ - -format = "get (sslCertificates)"

    A questo punto, lo stato del certificato gestito da Google potrebbe ancora essere provocare . Google Cloud sta lavorando con l’autorità certificata per emettere il certificato. Il provisioning di un certificato gestito da Google potrebbe richiedere fino a 60 minuti.

    Passaggio 4: aggiorna i record DNS A e AAAA per indicare l’indirizzo IP del bilanciamento del carico

    I tuoi record DNS potrebbero essere gestiti sul sito del tuo registrar, l’host DNS o ISP. Laddove i tuoi record DNS siano gestiti, assicurati di aggiungere o aggiornare i record DNS A (per IPv4) e i record AAAA DNS (per IPv6) per i tuoi domini e eventuali sottodomini.

    Assicurarsi che i record puntino all’indirizzo IP associato alla regola di inoltro del bilanciamento del carico o alle regole utilizzando un record A/AAAA.

    Se si dispone di più domini in un certificato gestito da Google, aggiungi o aggiorna i record DNS per tutti i domini e i sottodomini. Devono tutti indicare l’indirizzo IP del tuo bilanciamento del carico.

    I certificati gestiti possono fornire correttamente se i seguenti sono veri:

    • I record DNS del tuo dominio utilizzano un record CNAME che indica un altro dominio.
    • L’altro dominio contiene un record A o AAAA che indica l’indirizzo IP del bilanciamento del carico.

    È possibile verificare la configurazione eseguendo il comando Dig. Ad esempio, supponiamo che il tuo dominio sia www.esempio.com . Esegui il seguente comando Dig:

    Dig www.esempio.com

    ; > Dig 9.10.6> www.esempio.com ;; Opzioni globali: +CMD ;; Ho ricevuto risposta: ;; ->> intestazione
    
    In questo esempio, 34.95.64.10 è l'indirizzo IP del bilanciamento del carico.
    I risolutori DNS su Internet sono al di fuori del controllo di Google Cloud. Mabbinono la creazione dei set di record di risorse in base al loro tempo di vivere (TTL), il che significa che un comando Dig o Nslookup potrebbe restituire un valore memorizzato nella cache. Se stai usando il cloud DNS, consultare la propagazione delle modifiche.
    DNS Registra il tempo di propagazione
    
    I record DNS A e AAAA di recente aggiornamento possono richiedere molto tempo per essere completamente propagati. A volte la propagazione su Internet richiede fino a 72 ore in tutto il mondo, anche se in genere ci vogliono alcune ore.
    Rifuoco il seguente comando:
    Gcloud Calcol-certificati Descrivi Certificato_name \ - -format = "get (gestito.Domainstatus) "
     
     
    Se lo stato del tuo dominio è fallito_not_visible, potrebbe essere perché la propagazione non è completa.
     
    Passaggio 5: prova con OpenSSL
     
     
    Dopo che il certificato e gli stati del dominio sono attivi, possono essere necessari fino a 30 minuti per iniziare il tuo bilanciamento del carico utilizzando il certificato SSL gestito da Google.
     
    Per testare, eseguire il seguente comando OpenSSL, sostituendo il dominio con il nome DNS e IP_ADDRESS con l'indirizzo IP del bilanciamento del carico.
     
    Echo | OpenSSL S_Client -Showcerts -ServerName DOMINIO -Collegare INDIRIZZO IP: 443 -verify 99 -verify_return_error
     
     
    Questo comando emette i certificati che il bilanciamento del carico presenta al client. Insieme ad altre informazioni dettagliate, l'output dovrebbe includere la catena del certificato e verificare il codice di ritorno: 0 (OK) .
     
    Procedure aggiuntive
     
     
    Questa sezione contiene ulteriori procedure per la gestione dei certificati.
     
    Supporta più domini con un certificato SSL gestito da Google
     
     
    Sono supportati più nomi alternativi in ​​materia. Ogni certificato SSL gestito da Google supporta fino al numero massimo di domini per certificato SSL gestito da Google.
     
    Se hai più del numero massimo di domini, è necessario richiedere più certificati gestiti da Google. Ad esempio, se si tenta di creare un certificato gestito da Google con (massimo + 1) domini, Google non emette alcun certificato. Invece, è necessario creare due o più certificati gestiti da Google e indicare esplicitamente quali domini sono associati a ciascun certificato.
     
    Google Cloud implementa l'indicazione del nome del server (SNI), come definito in RFC 6066.
     
    Se uno qualsiasi dei domini o sottodomini in un certificato gestito non indica l'indirizzo IP del bilanciamento del carico, il processo di rinnovo fallisce. Per evitare il fallimento del rinnovamento, assicurati che tutti i tuoi domini e sottodomi indicano l'indirizzo IP del bilanciamento del carico.
     
    Rinnova un certificato SSL gestito da Google
     
     
    Certificati gestiti con disposizioni cloud di Google Validi per 90 giorni. Circa un mese prima della scadenza, il processo per rinnovare automaticamente il certificato. Per questo, viene scelta un'autorità di certificazione (CA) che è sia nell'autorizzazione dell'autorità di certificazione del tuo dominio (CAA) che record DNS e nell'elenco di CAS.
     
    La CA utilizzata per il rinnovo potrebbe essere diversa dalla CA utilizzata per emettere una versione precedente del certificato gestito da Google. Puoi controllare la CA che Google Cloud utilizza per il rinnovo assicurando che il record CAA DNS del tuo dominio specifica una singola CA dall'elenco di CAS utilizzati dai certificati gestiti da Google.
     
    Se uno qualsiasi dei domini o sottodomini in un certificato gestito non indica l'indirizzo IP del bilanciamento del carico, il processo di rinnovo fallisce. Per evitare il fallimento del rinnovamento, assicurati che tutti i tuoi domini e sottodomi indicano l'indirizzo IP del bilanciamento del carico.
     
    Specifica il CAS che può emettere il tuo certificato gestito da Google
     
     
    Nel tuo software DNS, ti consigliamo di autorizzare esplicitamente il CAS che desideri consentire di emettere il tuo certificato gestito da Google. Sebbene non richiesto in ogni scenario, questo è necessario in determinate situazioni.
     
    Ad esempio, se si utilizza un servizio DNS esterno e il tuo certificato gestito da Google viene revocato, il servizio potrebbe solo convalidare un nuovo certificato emesso da uno o più CAS specifico.
     
    Per fare ciò, creare o modificare un record CAA per includere PKI.Goog o letSencrypt.org o entrambi. Se non si dispone di un record CAA, il comportamento predefinito è consentire entrambi i PKI.Goog e letSencrypt.org .
     
    DOMINIO. CAA 0 Numero "PKI.Goog " DOMINIO. CAA 0 numero "LetSencrypt.org "
     
     
    Supporto per letSencrypt.I certificati ORG sono forniti su base migliore. Per la migliore affidabilità, consenti entrambi a PKI.Goog e letSencrypt.org . Se si specifica solo uno dei CA, solo quella CA viene utilizzata per creare e rinnovare il tuo certificato. Questo approccio non è consigliato.
     
    Quando crei per la prima volta il tuo certificato, Google Cloud seleziona PKI.Goog o letSencrypt.org e lo usa per emettere il tuo certificato. Quando Google rinnova il tuo certificato, il tuo certificato potrebbe essere emesso dall'altra CA, a seconda del CAS che hai specificato nel record CAA (se ne hai creato uno). Il certificato potrebbe essere rinnovato da una CA diversa in uno dei seguenti casi:
     
     
    Non hai un record DNS CAA per il tuo dominio.
     
    Hai incluso entrambi i CA nel record DNS CAA.
     
     
    Per ulteriori informazioni, consultare il record RFC, CAA DNS.
     
    LetSencrypt.Org Issues Nomi di dominio internazionalizzati (IDNS). pki.Goog non supporta attualmente IDNS.
     
    Se stai utilizzando Cloud DNS, impara a aggiungere un record e assicurati di impostare la flag --Type su CAA .
     
    Nota: Quando si aggiunge una CA nel record CAA, potrebbe richiedere molto tempo perché il DNS propaga tale cambiamento e lo rende visibile alla CA. Di conseguenza, il processo di rinnovo del certificato potrebbe inizialmente fallire, ma alla fine ha successo. Per ulteriori informazioni, consultare la risoluzione dei certificati SSL.
     
    Sostituire un certificato SSL esistente
     
     
    Per sostituire un certificato SSL esistente:
     
     
    Avvia il processo per la creazione del certificato SSL gestito da Google sostitutivo. Questo certificato non diventa attivo a questo punto.
     
    Aggiorna il proxy di destinazione in modo che l'elenco dei certificati referenziati includa il certificato SSL sostitutivo insieme ai certificati SSL correnti. I passaggi per aggiornare il proxy target variano, come segue: 
     
    Aggiorna un proxy HTTPS di destinazione
     
    Aggiorna un proxy SSL di destinazione
     
     
    Nota: Per continuare a servire il traffico, il proxy target deve continuare a fare riferimento ai certificati SSL correnti. Affinché il certificato di sostituzione completasse il suo processo di provisioning, il proxy target deve fare riferimento anche al certificato di sostituzione.
     
     
    Attendere che il certificato SSL sostitutivo completi il ​​provisioning. Il provisioning potrebbe richiedere fino a 60 minuti. Al termine del provisioning, lo stato del certificato diventa attivo . Nota: Il provisioning di un certificato gestito da Google potrebbe richiedere 60 minuti Dal momento in cui le modifiche alla configurazione del bilanciamento DNS e del carico si sono propagate su Internet. Se hai aggiornato la configurazione DNS di recente, può richiedere molto tempo per le modifiche a propagare completamente. A volte la propagazione richiede fino a 72 ore in tutto il mondo, anche se in genere ci vogliono alcune ore. Per ulteriori informazioni sulla propagazione di DNS, vedere la propagazione dei cambiamenti.
     
    Attendi altri 30 minuti per assicurarti che il certificato di sostituzione sia disponibile per tutti i front -end di Google (GFES).
     
    Aggiorna il proxy di destinazione per rimuovere il certificato SSL che stai sostituendo dall'elenco dei certificati di riferimento. I passaggi per aggiornare un proxy target variano, come segue: 
     
    Aggiorna un proxy HTTPS di destinazione
     
    Aggiorna un proxy SSL di destinazione
     
     
     
    Attendere 10 minuti e confermare che il bilanciamento del carico utilizza il certificato SSL sostitutivo anziché quello vecchio.
     
    Aggiorna nuovamente il proxy di destinazione, rimuovendo la vecchia risorsa del certificato SSL. È possibile eliminare la risorsa del certificato SSL se non è più referenziata da alcun proxy target.
     
     
    Se non si elimina il vecchio certificato SSL, rimane attivo fino alla scadenza.
     
    Migrare dai certificati SSL autogestiti ai certificati SSL gestiti da Google
     
     
    Quando si migra un bilanciamento del carico dall'utilizzo dei certificati SSL autogestiti ai certificati SSL gestiti da Google, è necessario eseguire i seguenti passaggi in questa sequenza:
     
     
    Crea un nuovo certificato gestito da Google.
     
    Associare il nuovo certificato gestito da Google con il proxy target corretto mantenendo l'associazione del proxy target con il certificato autogestito esistente.
     
    Attendere che lo stato del certificato gestito da Google sia attivo .
     
    Attendere 30 minuti per consentire al nuovo certificato di propagare al servizio di Google Front Ends (GFES)
     
    Aggiorna nuovamente il proxy target, rimuovendo la risorsa del certificato autogestito. È possibile eliminare la risorsa del certificato SSL autogestito se non è più referenziata da alcun proxy target.
     
     
    Elimina un certificato SSL
     
     
    Prima di eliminare un certificato SSL, assicurarsi che nessun proxy target HTTPS o SSL fa riferimento a questo certificato. Puoi farlo in due modi:
     
     
    Elimina i proxy target che fanno riferimento a questo certificato.
     
    Aggiorna i proxy di destinazione che fanno riferimento a questo certificato per escluderlo. I passaggi variano, come segue: 
     
    Aggiorna un proxy target HTTPS.
     
    Aggiorna un proxy di destinazione SSL.
     
     
    Per eliminare uno o più certificati SSL:
     
    Console
     
     
    È possibile eliminare i certificati SSL globali su Certificati classici Scheda sulla Gestore certificato pagina.
     
     
    Vai al Certificati classici Scheda nella console di Google Cloud. 
    Vai ai certificati classici
     
    Seleziona il certificato SSL che si desidera eliminare.
     
    Fare clic su Elimina Eliminare.
     
    Per confermare, fare clic su Elimina Eliminare Ancora.
     
     
    gcloud
     
     
    Per eliminare un certificato SSL globale (per i bilanciatori di carico HTTP (s) esterni globali o bilanciatori di carico di proxy SSL), utilizzare il comando GCLOUD Calcod SSL-Certificates con il comando --Global:
     
    Gcloud Calcola-certificati SSL Elimina Certificato_name \ -Global
     
     
    Sostituire quanto segue:
     
     
    Certificate_name: il nome del certificato SSL
     
     
    Qual è il prossimo
     
     
     
    Per risolvere i certificati SSL, vedere la risoluzione dei certificati SSL.
     
    Per utilizzare uno script Terraform che crea un certificato gestito da Google, consultare l'esempio di eseguire il cloud sul Esempi di moduli Terraform per bilanciamento del carico HTTP (s) esterno pagina.
     
     
    Invia feedback
     
    Salvo quanto diversamente indicato, il contenuto di questa pagina è concesso in licenza ai sensi dell'attribuzione Creative Commons 4.0 Licenza e campioni di codice sono autorizzati ai sensi dell'Apache 2.0 licenza. Per i dettagli, consultare le politiche del sito degli sviluppatori di Google. Java è un marchio registrato di Oracle e/o delle sue affiliate.
     
    Ultimo aggiornamento 2023-05-08 UTC.
     
    Emette Google Certificati SSL
     
     
     
     
    Semplici passaggi per proteggere il tuo sito web
     
    Qualsiasi dominio che registri con Google Domains viene fornito con protezione per la privacy, DNSSEC con un clic e verifica in 2 passaggi di Google, il tutto senza costi aggiuntivi. Se tu’Reavuzione di un progetto collaterale o espandere la tua attività’S Presenza online, ecco alcuni semplici passaggi che puoi intraprendere per proteggere meglio il tuo sito Web.
     
    Ottieni un certificato SSL per crittografare il tuo sito web
     
    Proteggi il tuo sito Web e proteggi i tuoi utenti’ Informazioni con crittografia HTTPS installando un certificato SSL. Un certificato SSL mantiene informazioni sensibili come i dati della carta di credito privati ​​per scrambleing dei dati mentre viaggia da e verso il tuo sito Web. E la crittografia HTTPS garantisce che nessuno possa accedere o monitorare le comunicazioni da o dal tuo sito Web.
     
     
     
    Proteggi il tuo sito Web dallo stripping SSL
     
    L'installazione di un certificato SSL è un must, ma SSL da solo non è’T completamente a prova di hacking: dovresti anche usare HSTS-Preloading. Senza HSTS, qualcuno può provare a rimuovere il tuo sito Web del suo certificato SSL in modo da poter caricare le tue pagine su HTTP (anziché HTTPS). Il modo migliore per proteggere il tuo sito Web da SSL Stripping è utilizzare un nome di dominio con carico HSTS o aggiungere il tuo sito Web all'elenco HSTS-Preload (un elenco di siti Web che i browser moderni caricano solo su una connessione crittografata). Ecco due modi per entrare nell'elenco HSTS-Preload:
     
     
     
    Registra un nome di dominio che’S HSTS-Preloded (consigliato)
     
    Il modo più veloce per entrare nell'elenco HSTS-Preload è utilizzare un dominio che termina come .app, .dev, o .Pagina quello’s già nella lista. Qualsiasi sito Web con un dominio di alto livello (TLD) nell'elenco è automaticamente protetto da HSTS-Preloading.
     
     
     
    Aggiungi il tuo sito Web all'elenco
     
    I proprietari di siti Web possono aggiungere individualmente il loro sito Web all'elenco HSTS-Preload su HSTSPreload.org. Ma tieni presente, questo è un processo lento poiché gli aggiornamenti all'elenco potrebbero non essere riconosciuti da un browser fino a un aggiornamento o una nuova versione. Possono essere necessari mesi per tutti i browser moderni per riconoscere che il tuo sito Web è stato aggiunto.