האם גוגל מנפיק אישורי SSL
השתמש בתעודות SSL המנוהלות על ידי גוגל
סיכום:
במאמר זה נדון בשימוש בתעודות SSL המנוהלות על ידי גוגל עבור מאזני עומסים ב- Google Cloud. אנו נסקור את הסקירה של תעודות SSL, את השיטות להגדרת התצורה, סוגי התעודות הקיימות וכיצד ניתן להשתמש בהן עם איזון עומסי ענן של גוגל.
נקודות מפתח:
- אבטחת שכבת תובלה (TLS) משמשת להצפנת מידע ברשת.
- מאזני עומס Proxy Cloud Google דורשים תעודות SSL לצורך הצפנה.
- ישנן שתי שיטות להגדרת תצורת אישורי SSL: מחשב מנוע SSL משאב ותעודות אישור.
- תעודות SSL מנוהלות על ידי עצמן וניהול גוגל זמינות.
- תעודות מנוהלות על ידי עצמית יכולות להיות אימות דומיין (DV), אימות ארגון (OV) או תעודות אימות מורחב (EV).
- מאזני עומס ענן של גוגל תומכים בסוגים שונים של תעודות SSL המבוססות על הרובד.
- ניתן לארח מספר תעודות SSL על פרוקסי יעד יחיד.
- למשאבי תעודת SSL של מנוע מחשוב יש מגבלה מקסימאלית לכל פרוקסי יעד.
- תעודת SSL של מנוע המחשוב הראשון נחשבת לתעודת ברירת המחדל.
- מנהל תעודות מאפשר התייחסות לתעודות מרובות באמצעות מפת תעודות.
שאלות ותשובות:
ש 1: מה המטרה של תעודות SSL במאזני עומס ענן של גוגל?
A1: מטרת תעודות SSL היא לספק הצפנה בין איזון העומס ללקוחות הגישה למאזן העומס.
Q2: כמה שיטות זמינות להגדרת תצורת תעודות SSL עבור מאזני עומס?
A2: ישנן שתי שיטות זמינות: מחשב מנוע SSL משאב ותעודות אישור.
Q3: באילו סוגים של תעודות SSL ניתן להשתמש עם מאזני עומס ענן של גוגל?
A3: ניתן להשתמש בתעודות SSL המנוהלות על ידי עצמי וגם עם גוגל. תעודות מנוהלות על ידי עצמן יכולות להיות תעודות DV, OV או EV.
Q4: אילו סוגים של איזון עומסים תומכים בתעודות SSL של מנוע מחשוב מנוהל על ידי עצמם?
A4: איזון עומס HTTP (ים) גלובלי חיצוני, איזון עומס חיצוני (ים) גלובלי (קלאסי), ואיזון עומס פרוקסי SSL חיצוני בתמיכה של מנוע מחשוב מנוהל על ידי SSL SSL Proxy.
Q5: האם ניתן לארח מספר תעודות SSL במספר פרוקסי יעד יחיד?
A5: כן, ניתן לארח מספר תעודות SSL במספר פרוקסי יעד יחיד, במיוחד כאשר איזון העומס תומך בשמות דומיינים מרובים.
Q6: מה המספר המרבי של תעודות SSL לכל פרוקסי יעד בעת שימוש במשאבי תעודת SSL של מנוע מחשוב?
A6: המספר המרבי של תעודות SSL לכל פרוקסי יעד אינו ניתן להגדרה. אנא עיין בתיעוד של מכסות איזון העומס ומגבלות למידע נוסף.
Q7: איזה תעודת SSL נחשב לתעודת ברירת המחדל בעת שימוש במשאבי תעודת SSL של מנוע מחשוב SSL?
A7: אישור SSL של מנוע המחשוב הראשון אליו הפונה על ידי פרוקסי יעד נחשב לתעודת ברירת המחדל עבור איזון העומס.
Q8: האם ניתן להפנות לתעודות SSL מרובות באמצעות מנהל תעודות?
A8: כן, מנהל תעודות מאפשר התייחסות למספר תעודות SSL באמצעות מפת תעודות.
Q9: איזה מאזני עומס משתמשים ב- Proxies Https Https אזורי?
A9: איזון העומס החיצוני האזורי HTTP (ים) ומאזן העומס הפנימי של HTTP (ים) משתמשים ב- HTTPS HTTPS אזורי.
Q10: מה המטרה של אבטחת שכבת התחבורה (TLS)?
A10: אבטחת שכבת תחבורה (TLS) משמשת להצפנת מידע שנשלח דרך רשת, מה שמבטיח פרטיות בין הלקוח לשרת או איזון עומס.
השתמש בתעודות SSL המנוהלות על ידי גוגל
לפני מחיקת תעודת SSL, וודאו כי אין פרוקסי HTTPS או SSL מפנים תעודה זו. אתה יכול לעשות זאת בשתי דרכים:
סקירה כללית של אישורי SSL
אבטחת שכבת הובלה (TLS) משמשת להצפנת מידע בזמן שהיא נשלחת דרך רשת, ומספקת פרטיות בין לקוח לשרת או איזון עומס. איזני עומס של Proxy Google Cloud Proxy שכללי ההעברה שלהם מתייחסים למטרה של פרוקסי HTTP.
הערה: דף זה דן בתעודות SSL בהקשר של הצפנה במעבר בין איזון עומס Proxy Proxy של Google Cloud ו- (במורד הזרם) שמתחברים למאזן העומס של Google Cloud Cloud. לפרטים אודות הצפנה במעבר בין איזון העומס של גוגל ענן לבין הגיבוי (במעלה הזרם), ראה הצפנה לתגובה.
שיטות תצורת אישור
Google Cloud מציעה שתי שיטות להגדרת תצורת אישורי SSL עבור HTTP (S) ו- SSL Proxy Balancers Balancers. שתי השיטות תומכות בתעודות SSL המנוהלות על ידי עצמן ומנוהלות על ידי גוגל.
- חישוב משאב אישור SSL של מנוע: With this method, the target proxy for a global external HTTP(S) load balancer, global external HTTP(S) load balancer (classic), external SSL proxy load balancer, regional external HTTP(S) load balancer, or internal HTTP(S) load balancer is configured to reference a Compute Engine SSL certificate resource. משאב תעודת SSL מכיל את המפתח הפרטי, תעודה תואמת, ובאופן אופציונלי – תעודות CA. שיטה זו תומכת בכל שכבות שירות הרשת הנתמכות על ידי איזון העומס.
- מנהל תעודות: בשיטה זו, פרוקסי היעד למאזן עומס HTTP (ים) חיצוני גלובלי, איזון עומס חיצוני חיצוני (קלאסי) גלובלי, או איזון עומס פרוקסי SSL חיצוני מוגדר להתייחסות ל- A מפת תעודות. מפת האישור מכילה אחת או יותר רשומות תעודה. כל כניסת תעודה מתייחסת למשאב אישור של מנהל תעודה יחיד, וכל משאב תעודה מכיל מפתח ותעודה פרטית. עם מנהל תעודות, יעד פרוקסי HTTP. שיטה זו זמינה רק כאשר איזון העומס משתמש ברובד שירותי הרשת הפרימיום. למידע נוסף, עיין בסקירה כללית של מנהל האישורים.
סוגי תעודות
אתה יכול ליצור אישורים משלך או שגוגל תוכל לנהל אותם עבורך:
- תעודות SSL המנוהלות על ידי עצמית הם תעודות שאתה מקבל, מספקים ומחדשים את עצמך. תעודות המנוהלות על עצמן יכולות להיות כל אחד מסוגי תעודות המפתח הציבוריות הללו:
- אימות דומיין (DV)
- אימות ארגון (OV)
- תעודות אימות מורחבות (EV)
למידע נוסף על אישורי SSL של מנוע מחשוב מנוהל על ידי עצמם, ראה השתמש בתעודות SSL המנוהלות על ידי עצמן.
למידע נוסף על תעודות SSL המנוהלות על ידי עצמי ומנהל תעודות, ראה העלאת תעודה מנוהלת על עצמה בתיעוד מנהל התעודות או לפרוס תעודה מנוהלת על עצמה להדרכה מקצה לקצה.
תעודות ומאזן עומסי ענן של גוגל
הטבלה הבאה מציגה אילו מאזני עומס ענן של גוגל תומכים בתעודות SSL של מנוע מחשוב מנוהל על ידי Google, תעודות SSL של מנוע מחשוב מנוהל על ידי גוגל או מנהל תעודות (תעודות מנוהלות על ידי עצמי וגם בניגוד גוגל).
- איזון עומס חיצוני חיצוני גלובלי
- איזון עומס חיצוני חיצוני גלובלי (קלאסי) ברובד פרימיום A
- איזון עומס פרוקסי SSL חיצוני ברובד פרמיום B
- איזון עומס חיצוני חיצוני גלובלי (קלאסי) ברובד סטנדרטי A
- איזון עומס פרוקסי SSL חיצוני ברובד סטנדרטי B
- איזון עומס חיצוני חיצוני אזורי C
- HTTP פנימי (ים) איזון עומס C
איזון העומס החיצוני החיצוני הגלובלי וחיצוני HTTP (ים) איזון עומס חיצוני (קלאסי) השתמשו ב- Global Target HTTP.
B איזן העומס החיצוני של SSL Proxy משתמש בפרוקסי SSL יעדים גלובליים, אפילו ברובד סטנדרטי.
ג איזון העומס החיצוני האזורי HTTP (ים) ומאזן עומס HTTP (ים) משתמשים ב- HTTPS אזורי HTTPS HTTPS.
מספר תעודות SSL
אתה יכול להשתמש באותו יעד HTTPS Proxy או Proxy SSL יעד כדי לארח תעודות מרובות – שכיחות כאשר איזון העומס תומך בשמות דומיינים מרובים. באפשרותך להגדיר כלל העברה יחיד (כתובת IP ויציאה יחידה) כדי להתייחס לפרוקסי יעד נפוץ, או שתוכל להגדיר כללי העברה מרובים (כתובות ויציאות IP שונות) כדי להתייחס לפרוקסי יעד נפוץ.
משאבי תעודת SSL של מנוע מחשוב מרובים
בעת שימוש במשאבי תעודת SSL של מנוע מחשוב, כל משאב פרוקסי יעד יכול להתייחס עד לא ניתן להגדרה מספר מקסימאלי של תעודות SSL לכל יעד HTTPS או Proxy SSL יעד. למידע נוסף, עיין בבריכות יעד ופרוקסי יעד במכסות איזון העומס ותיעוד מגבלות.
משאב אישור ה- SSL של מנוע המחשוב הראשון שהוזכר על ידי פרוקסי היעד של איזון עומס נחשב לתעודת ברירת המחדל (ראשית) עבור איזון העומס.
מספר תעודות SSL באמצעות מנהל תעודות
בעת שימוש במנהל תעודות, כל משאב פרוקסי יעד מתייחס למפת תעודה יחידה. מפת תעודה מתייחסת לרשמת תעודה אחת או יותר, ותוכל להגדיר איזו כניסה לתעודה היא תעודת ברירת המחדל (ראשי) עבור המפה. מספר המפות, הערכים ותעודות מנהל התעודות ניתן להגדרה, מכסות לפרויקט. למידע נוסף, ראה מכסות משאבים בתיעוד מנהל התעודות.
אם אתה משתמש במאזן עומסים התומך במנהל תעודות ועליך לארח יותר מכמה תעודות SSL לכל פרוקסי יעד, וודא שאתה משתמש במנהל תעודות במקום במשאבי תעודת SSL של מנוע מחשוב מנוע.
שיטת בחירת אישורים
לאחר שלקוח מתחבר ל- HTTP (S) או SSL Proxy Balancer, מאזן הלקוח והעומסים משא ומתן על הפעלת TLS. במהלך משא ומתן על הפעלת TLS, הלקוח שולח למאזן העומס רשימה של CIPHers TLS שהוא תומך בו (ב- ClientHello). איזון העומס בוחר תעודה שאלגוריתם המפתח הציבורי שלו תואם את הלקוח. הלקוח יכול גם לשלוח את שם המארח של שם שרת (SNI) לאיזון העומס כחלק ממשא ומתן זה. נתוני שם המארח של SNI משמשים לעיתים כדי לעזור למאזן העומס לבחור באיזה תעודה זה צריך לשלוח ללקוח.
באפשרותך לדגמן את התהליך בו משתמשים מאזני עומס Proxy Cloud Google כדי לבחור אישור כדי לשלוח ללקוח כדלקמן. במודל שלך, התחל עם כל תעודות ה- SSL שהוגדרו בתצורת היעד של פרוקסי HTTPS או Proxy SSL יעד – ללא קשר לשיטת התצורה.
- איזון העומס בוחר מועמד לתעודה אחת:
- אם מפנה פרוקסי של איזון עומס מפנה רק משאב אישור SSL של מנוע מחשוב אחד, או אם פרוקסי יעד של איזון עומס מתייחס למפה של מנהל תעודות עם כניסת תעודה אחת בלבד, איזון העומס משתמש בתעודה האחת ורק המוגדרת כמועמד לתעודה. הערך של שם המארח של SNI (אם מסופק) אינו משפיע בכלל על איזון העומס. המשך לשלב 2.
- אם פרוקסי יעד של איזון עומס מתייחס לשני משאבי תעודת SSL של מנוע מחשוב או יותר, או אם פרוקסי יעד של איזון עומס מפנה מפה של מנהל תעודות עם שתי ערכי תעודה או יותר, איזון העומס משתמש בתהליך הבא כדי לבחור A יחיד מועמד לתעודה:
- אם הלקוח אינו שולח שם מארח SNI כלשהו ב- ClientHello שלו, איזון העומס משתמש בתעודת SSL ברירת המחדל (ראשית) כמועמד לתעודה. המשך לשלב 2.
- אם הלקוח שולח שם מארח SNI שאינו תואם כל תעודה שם משותף (CN) ואינו תואם כל שם אלטרנטיבי בנושא תעודה (SAN), איזון טעינה משתמש בתעודת SSL ברירת המחדל (ראשית) כמועמד לתעודה. המשך לשלב 2.
- איזון העומס בוחר מועמד לתעודה התואם את שם המארח של SNI שנשלח על ידי הלקוח. ההתאמה נעשית על ידי קידומת ארוכה ביותר גם נגד תכונות תעודת השם הנפוץ (CN) והן לתעודות שם אלטרנטיבי (SAN), עם העדפה לתעודות ECDSA על פני תעודות RSA. כדי להמחיש את שיטת ההתאמה, שקול פרוקסי יעד שמתייחס לתעודה אחת שה- CN שלה הוא חתולים.חיות מחמד.דוגמא.com ותעודה נוספת שה- CN שלהם הוא כלבים.חיות מחמד.דוגמא.com . בנוסף לכלול כל ערך CN בסאנס שלו, כל תעודה כוללת *.חיות מחמד.דוגמא.com, ו- *.דוגמא.com בסאנס שלה.
- אם שם המארח של SNI המסופק הוא חתולים.חיות מחמד.דוגמא.com, איזון העומס משתמש בתעודה שה- CN שלו הוא חתולים.חיות מחמד.דוגמא.com כמועמד לתעודה. המשך לשלב 2.
- אם שם המארח של SNI המסופק הוא חמוסים.חיות מחמד.דוגמא.com, איזון העומס משתמש אחד מהשניים תעודות כמועמד לתעודות מכיוון שלשני האישורים המוגדרים יש SANs הכוללים *.חיות מחמד.דוגמא.com . אתה לא יכול לשלוט איזה מבין השניים אישורים הופכים למועמד לתעודה במצב זה. המשך לשלב 2.
- המועמד לתעודה נשלח ללקוח אם המועמד לתעודה משתמש באלגוריתם מפתח ציבורי התואם לאחד הצופים המוצהרים של הלקוח.
- משא ומתן על TLS יכול להיכשל אם הלקוח אינו תומך בחבילת צופן הכוללת את אלגוריתם המפתח הציבורי (ECDSA או RSA) של התעודה.
- איזון העומס אינו משתמש בתכונות ה- NOTVALID של האישור ובתכונות NOTVALIDAFTER כחלק משיטת בחירת המועמדים. לדוגמה, איזון העומס יכול לשרת תעודה שפג תוקפו אם האישור שפג תוקפו נבחר כמועמד לתעודה.
תמחור
אתה נוגע לחיובי רשת כשאתה משתמש במאזני עומס בענן של גוגל. למידע נוסף, עיין בכל תמחור הרשתות. לתמחור של מנהל תעודות, ראה תמחור בתיעוד מנהל התעודות. אין חיובים נוספים לשימוש במשאבי תעודת מחשב מנוע SSL.
מה הלאה
- למידע נוסף על תעודות SSL של מנוע מחשוב, עיין בדפים הבאים:
- למידע נוסף על אישורי SSL של מנוע מחשוב מנוהל על ידי עצמם, ראה השתמש בתעודות SSL המנוהלות על ידי עצמן.
- למידע נוסף על אישורי SSL של מנוע מחשוב מנוהל על ידי גוגל, ראה השתמש בתעודות SSL המנוהלות על ידי גוגל.
- כדי ללמוד על מכסות ומגבלות (כולל אורכי מפתח נתמכים) עבור תעודות SSL של מנוע מחשוב, עיין בתעודות SSL ובריכות יעד ופרוקסי יעד בתיעוד איזון העומס.
- סקירה כללית של מנהל אישורים.
- למידע נוסף על תעודות SSL המנוהלות על ידי עצמי ומנהל תעודות, ראה העלאת תעודה מנוהלת על עצמה בתיעוד מנהל התעודות או לפרוס תעודה מנוהלת על עצמה להדרכה מקצה לקצה.
- למידע נוסף על תעודות SSL המנוהלות על ידי גוגל ומנהל תעודות, עיין בניהול תעודות בתיעוד מנהל התעודות.
- למידע על מכסות ומגבלות למנהל תעודות, עיין במכסות משאבים בתיעוד מנהל התעודות.
נסה את זה בעצמך
אם אתה חדש ב- Google Cloud, צור חשבון כדי להעריך כיצד המוצרים שלנו מתפקדים בתרחישים בעולם האמיתי. לקוחות חדשים מקבלים גם 300 דולר בזיכויים בחינם להפעלה, בדיקה ופריסה של עומסי עבודה.
שלח משוב
למעט כפי שצוין אחרת, תוכן של דף זה מורשה תחת ייחוס Creative Commons 4.0 רישיון, ודגימות קוד מורשות תחת Apache 2.0 רישיון. לפרטים, עיין במדיניות אתר המפתחים של גוגל. Java הוא סימן מסחרי רשום של אורקל ו/או שלוחותיו.
עודכן לאחרונה 2023-05-08 UTC.
השתמש בתעודות SSL המנוהלות על ידי גוגל
דף זה דן כיצד ליצור ולהשתמש בתעודות SSL המנוהלות על ידי גוגל.
תעודות SSL המנוהלות על ידי גוגל הן תעודות אימות דומיין (DV) שגוגל ענן משיג ומנהלת לתחומים שלך. הם תומכים בשמות מארחים מרובים בכל תעודה, וגוגל מחדשת את האישורים באופן אוטומטי.
תעודות מנוהלות בגוגל נתמכות עם מאזני העומס הבאים:
- איזון עומס חיצוני חיצוני גלובלי
- איזון עומס חיצוני חיצוני גלובלי (קלאסי)
- איזון עומס פרוקסי SSL חיצוני
תעודות SSL המנוהלות על ידי גוגל אינן נתמכות עבור מאזני עומס HTTP (ים) אזוריים חיצוניים ומאזני עומסים פנימיים HTTP (ים). עבור מאזני עומסים אלה, השתמש בתעודות SSL המנוהלות על ידי עצמן.
אתה יכול גם להשתמש בתעודות SSL מנוהלות עם Google Kubernetes Engine. למידע נוסף, ראה שימוש בתעודות SSL המנוהלות על ידי גוגל.
אתה יכול ליצור תעודה מנוהלת על ידי גוגל לפני, במהלך, או לאחר יצירת איזון העומס שלך. דף זה מניח שאתה יוצר את האישור לפני או אחרי יצירת איזון העומס, לא במהלך. כדי ליצור את האישור בעת יצירת איזון העומס שלך, עיין בדפי איזון העומס כיצד לבצע דפי.
לפני שאתה מתחיל
- וודא שאתה מכיר את סקירה כללית על אישורי SSL.
- וודא שיש לך את שמות הדומיין שבהם ברצונך להשתמש בתעודת SSL המנוהלת על ידי גוגל. אם אתה משתמש ב- Google Domains, ראה שלב 1: רשום שם דומיין באמצעות Google Domains.
- וודא שהאפשרת לממשק API של מנוע המחשוב לפרויקט שלך. הפעל את API של מנוע המחשוב
הרשאות
כדי לעקוב אחר מדריך זה, עליך להיות מסוגל ליצור ולשנות תעודות SSL בפרויקט שלך. אתה יכול לעשות זאת אם אחד מהדברים הבאים נכון:
- אתה בעל פרויקט או עורך (תפקידים/בעלים או תפקידים/עורך).
- יש לך גם את תפקיד מנהל האבטחה המחשוב (Compute.SecurityAdmin) ותפקיד מנהל הרשת המחשוב (Compute.NetworkAdmin) בפרויקט.
- יש לך תפקיד מותאם אישית לפרויקט הכולל את המחשוב.SSLCertificates.* הרשאות ואחת מחשוב או שניהם.targethttpsproxies.* ומחשבים.gordsSlproxies.*, תלוי בסוג איזון העומס שאתה משתמש בו.
שלב 1. צור תעודת SSL המנוהלת על ידי גוגל
אתה יכול ליצור תעודה מנוהלת על ידי גוגל לפני, במהלך, או לאחר יצירת איזון העומס שלך. במהלך תהליך יצירת איזון עומסים במסוף Google Cloud, אתה יכול להשתמש במסוף Google Cloud כדי ליצור את האישור שלך. לחלופין, אתה יכול ליצור את האישור שלך לפני או לאחר יצירת איזון העומס שלך. שלב זה מראה לך כיצד ליצור אישור שתוכל להוסיף אחר כך למאזן עומס אחד או יותר.
אם כבר יצרת את תעודת ה- SSL המנוהלת על ידי גוגל, אתה יכול לדלג על שלב זה.
לְנַחֵם
אתה יכול לעבוד עם תעודות SSL גלובליות ב- תעודות קלאסיות כרטיסייה על מנהל תעודות עמוד.
- לך אל תעודות קלאסיות כרטיסייה בקונסולת הענן של גוגל.
עבור לתעודות קלאסיות - נְקִישָׁה צור תעודת SSL.
- הזן שם ותיאור אופציונלי לתעודה.
- בחר צור תעודה מנוהלת על ידי גוגל.
- הוסף את התחומים.
- נְקִישָׁה לִיצוֹר.
gcloud
ליצירת תעודת SSL גלובלית המנוהלת על ידי גוגל עבור איזון עומס חיצוני חיצוני חיצוני או איזון עומס פרוקסי SSL חיצוני, השתמש במאזן העומס של gcloud compute ssl-computions:
gcloud compute ssl-cerificates creat שם התעודה \ -תיאור =תיאור \ -דומיינים =DOMAIN_LIST \ -גלובל
החלף את הדברים הבאים:
- אישור: שם: שם לתעודת SSL הגלובלית
- תיאור: תיאור לתעודת SSL הגלובלית
- DOMAIN_LIST: שם דומיין יחיד או רשימה מוגבלת של פסיק של שמות דומיין לשימוש לתעודה זו
טרפורם
ליצירת תעודת SSL המנוהלת על ידי גוגל, השתמש במשאב Google_Compute_Managed_SSL_CERTIFITITIFITE.
משאב "google_compute_managed_ssl_certificate" "lb_default" < provider = google-beta name = "myservice-ssl-cert" managed < domains = [var.domain_name] >>API
צור את משאב האישור המומנה בגוגל SSLCertificates.הכנס שיטה, החלפת project_id במזהה הפרויקט שלך.
פרסם https: // compute.googleapis.com/compute/v1/projects/[project_id]/global/sslcertificates < "name": "ssl-certificate-name", "managed": < "domains": [ "www.example.com" ] >, "סוג": "מנוהל">בדוק את הסטטוס של תעודת SSL המנוהלת על ידי גוגל
לְנַחֵם
אתה יכול לבדוק את הסטטוס של תעודות ה- SSL הגלובליות שלך ב- תעודות קלאסיות כרטיסייה על מנהל תעודות עמוד.
- לך אל תעודות קלאסיות כרטיסייה בקונסולת הענן של גוגל.
עבור לתעודות קלאסיות - (אופציונלי) סנן את רשימת תעודות ה- SSL.
- בדוק את ה סטָטוּס טור.
- לצפייה בפרטים נוספים, לחץ על שם האישור.
gcloud
כדי לקבוע את הסטטוס של האישור המנוהל על ידי Google, אתה יכול להשתמש בפקודות מחשב GCloud. לאחר הפעלת הפקודה המתאימה, שימו לב להלן:
כדי לרשום את אישורי ה- SSL המנוהלים על ידי Google, השתמש בפקודת רשימת ה- SSL Compute Compute עם הדגל-גלובל .
gcloud compute ssl-certificates רשימת
באפשרותך להשתמש ב- GCLoud Compute SSL-Cerifications תאר את הפקודה, החלפת אישור: שם:
gcloud compute ssl-Cerificates מתאר שם התעודה \ -global \ -format = "get (שם, מנוהל.סטטוס, מנוהל.DOMAINSTATUS) "
בשלב זה, סטטוס האישור ומצב הדומיין מתווכח . לאחר השלמת השלבים בדף זה, הסטטוסים משתנים לפעילים .
למידע נוסף על הסטטוסים, עיין בדף פתרון הבעיות.
שלב 2: צור או עדכן את איזון העומס שלך
כדי להיות פעיל, על אישור ה- SSL המנוהל על ידי גוגל להיות קשור למאזן עומסים, במיוחד פרוקסי היעד של איזון העומס.
לאחר שיצרת את תעודת ה- SSL שלך וזה במצב ההקצאה, אתה יכול להשתמש בו במהלך יצירת איזון העומס שלך, כמתואר במדריכי ההדרכה הבאים:
- הגדר איזון עומס חיצוני חיצוני חיצוני גלובלי
- הגדר איזון עומס חיצוני חיצוני חיצוני (קלאסי) עם מנוע מחשוב Backend
- הגדר איזון עומס פרוקסי SSL חיצוני
או שתוכל להשתמש בו כדי לעדכן איזון עומסים קיים, כמתואר כאן:
לְנַחֵם
כשאתה מעדכן איזון עומס חיצוני חיצוני חיצוני גלובלי או איזון עומס פרוקסי SSL חיצוני באמצעות קונסולת Google Cloud, Google Cloud מקשר אוטומטית את תעודת ה- SSL שלך עם פרוקסי היעד הנכון.
- לך אל איזון עומסים דף בקונסולת הענן של גוגל.
לך לאיזון עומסים - לחץ על שם איזון העומס שלך.
- נְקִישָׁה לַעֲרוֹך לַעֲרוֹך .
- נְקִישָׁה תצורת Frontend.
- לחץ על הקצה הקדמי הנכון (חייב להיות https, http/2, ssl).
- נְקִישָׁה תעודות נוספות, ובחר את התעודה המנוהלת על ידי Google מהרשימה הנפתחת.
- נְקִישָׁה לִיצוֹר.
gcloud
כדי לשייך תעודת SSL עם ה- Proxy היעד של HTTPS עבור איזון עומס חיצוני חיצוני גלובלי, השתמש בפקודה עדכון של gcloud compute-https-proxies עם פקודה-גלובל- SSL-Certifications ו–Global:
עדכון gcloud compute target-https-proxies Target_proxy_name \-SSL-Certificates Ssl_certificate_list \-global-ssl-certificates \-global
כדי לשייך תעודת SSL עם פרוקסי ה- SSL היעד עבור איזון עומס פרוקסי SSL חיצוני, השתמש בפקודה עדכון העדכון של gcloud compute-ssl-proxies:
עדכון gcloud compute יעד-SSL-proxies Target_proxy_name \-SSL-Certificates Ssl_certificate_list
החלף את הדברים הבאים:
- Target_proxy_name: שם פרוקסי היעד של איזון העומס
- SSL_CERTIFITITE_LIST: רשימה מוגמרת בפסיקים של משאבי תעודת SSL וודא שרשימת התעודות המוזכרות כוללת את כל תעודות ה- SSL הוותיקות יותר וכן את אישור ה- SSL החדש. פקודת העדכון של gcloud compute targe-ssl-proxies מבטלת את הערכים המקוריים עבור-SSL-Certificifice עם הערך החדש.
טרפורם
כדי ליצור את ה- Proxy היעד HTTP.
כדי ליצור את ה- Proxy SSL היעד, השתמש במשאב Google_Compute_Target_SSL_PROXY.
משאב "google_compute_target_https_proxy" "lb_default"
כל פרוקסי HTTPS HTTP. פרוקסי יעד יכול להתייחס ליותר מתעודת SSL אחת. לפרטים, עיין בבריכות יעד ופרוקסי יעד במכסות ומגבלות המשאבים לאיזון עומסים.
חָשׁוּב: עבור מאזני עומס פרוקסי SSL חיצוניים עם תעודות SSL המנוהלות על ידי Google, כלל ההעברה של איזון העומס חייב להשתמש ביציאת TCP 443 כדי שהאישור המנוהל על ידי גוגל יוחלף בתחילה ולחדש אותו אוטומטית.
שלב 3: אמת את איגוד פרוקסי היעד
לאחר שיצרת או עדכנת את איזון העומס שלך, אתה יכול לוודא שתעודת SSL משויכת ל- Proxy היעד של איזון העומס שלך.
אם אינך יודע כבר את שם ה- Proxy היעד, השתמש ברשימת ה- gcloud compute target-https-proxies ו- gcloud compute glopute glopute-ssl-proxies רשימת רשימת כדי לרשום את פרוקסי היעד בפרויקט שלך.
אמת את הקשר בין תעודת SSL לבין פרוקסי היעד על ידי הפעלת הפקודה הבאה.
עבור מאזני עומס חיצוניים חיצוניים גלובליים:
gcloud compute target-https-proxies מתאר Target_https_proxy_name \ -global \ -format = "get (sslcertificates)"
עבור מאזני עומס פרוקסי SSL חיצוניים:
gcloud compulat Target_ssl_proxy_name \ -format = "get (sslcertificates)"
בשלב זה, סטטוס התעודה המנוהל על ידי גוגל עשוי עדיין להיות מתן . Google Cloud עובדת עם רשות האישורים כדי להנפיק את האישור. אספקת תעודה מנוהלת בגוגל עשויה לארוך עד 60 דקות.
שלב 4: עדכן את רשומות ה- DNS A ו- AAAA כדי להצביע על כתובת ה- IP של איזון העומס
רשומות ה- DNS שלך עשויות להיות מנוהלות באתר הרשם שלך, מארח DNS או ISP. היכן מנוהלים רשומות ה- DNS שלך, הקפד להוסיף או לעדכן את ה- DNS רשומות (עבור IPv4) ו- DNS AAAA Records (עבור IPv6) עבור התחומים שלך וכל תת -דומיינים.
וודא שהרישומים מצביעים על כתובת ה- IP הקשורה לכלל ההעברה של איזון העומס או כללים באמצעות רשומת A/AAAA.
אם יש לך מספר דומיינים בתעודה מנוהלת בגוגל, הוסף או עדכן רשומות DNS עבור כל התחומים והתת-דומיינים. כולם חייבים להצביע על כתובת ה- IP של איזון העומסים שלך.
תעודות מנוהלות יכולות להוציא בהצלחה אם להלן הנכון:
- רשומות ה- DNS של הדומיין שלך משתמשות ברשומת CNAME שמצביעה על תחום אחר.
- הדומיין האחר מכיל שיא A או AAAA שמצביע על כתובת ה- IP של איזון העומס שלך.
אתה יכול לאמת את ההגדרה שלך על ידי הפעלת פקודת DIG. לדוגמה, נניח שהתחום שלך הוא www.דוגמא.com . הפעל את פקודת החפירה הבאה:
לחפור www.דוגמא.com
; > חפירה 9.10.6> www.דוגמא.com ;; אפשרויות גלובליות: +CMD ;; יש תשובה :;; ->> כותרת
בדוגמה זו, 34.95.64.10 האם כתובת ה- IP של איזון העומס שלך.
רזולוצי DNS באינטרנט הם מחוץ לשליטה של Google Cloud. הם מטמון את ערכות רשומות המשאבים שלך בהתאם לזמנם לחיות (TTL), מה שאומר שפקודה חפירה או NSLookup עשויה להחזיר ערך במטמון. אם אתה משתמש ב- DNS בענן, ראה התפשטות של שינויים.
זמן רישום DNS
רשומות ה- DNS A ו- AAAA החדשות שעודכנו לאחרונה יכולות לקחת זמן משמעותי להפיץ במלואו. לפעמים התפשטות ברחבי האינטרנט נמשכת עד 72 שעות ברחבי העולם, אם כי בדרך כלל זה לוקח כמה שעות.
מחדש את הפקודה הבאה:
gcloud compute ssl-Cerificates מתאר שם התעודה \ -format = "קבל (מנוהל.DOMAINSTATUS) "
אם סטטוס הדומיין שלך נכשל_נוט_ visible, זה יכול להיות בגלל שההתפשטות אינה שלמה.
שלב 5: בדוק עם OpenSSL
לאחר שתעודת הסטטוס והתחום פעילים, זה יכול לארוך עד 30 דקות עד שמאזן העומס שלך יתחיל להשתמש בתעודת SSL המנוהלת על ידי גוגל.
לבדיקה, הפעל את הפקודה הבאה OpenSSL, החלף דומיין בשם ה- DNS שלך ו- IP_ADDRESS עם כתובת ה- IP של איזון העומס שלך.
הד | openssl s_client -showcerts -servername תְחוּם -לְחַבֵּר כתובת ה - IP: 443 -Verify 99 -verify_return_error
פקודה זו מציגה את האישורים שמציג איזון העומס ללקוח. יחד עם מידע מפורט אחר, הפלט אמור לכלול את שרשרת האישורים ולאמת את קוד החזרה: 0 (אישור) .
נהלים נוספים
פרק זה מכיל נהלים נוספים לניהול האישורים שלך.
תמכו במספר תחומים עם תעודת SSL המנוהלת על ידי גוגל
נתמכים שמות אלטרנטיביים מרובים בנושא. כל תעודת SSL המנוהלת על ידי גוגל תומכת במספר המקסימאלי של דומיינים לכל תעודת SSL מנוהלת על ידי גוגל.
אם יש לך יותר מהמספר המרבי של דומיינים, עליך לבקש מספר תעודות מנוהלות על גוגל. לדוגמה, אם אתה מנסה ליצור אישור מנוהל על גוגל עם (המקסימום + 1), גוגל לא מנפיקה אישורים כלשהם. במקום זאת, עליך ליצור שתי תעודות מנוהלות בגוגל או יותר לציין במפורש אילו תחומים משויכים לכל תעודה.
Google Cloud מיישם את אינדיקציה של שם השרת (SNI), כהגדרתה ב- RFC 6066.
אם אחד מהתחומים או תת -הדומיינים בתעודה מנוהלים לא מצביע על כתובת ה- IP של איזון העומס, תהליך החידוש נכשל. כדי למנוע אי ספיקת חידוש, וודא שכל התחומים והתת -דומיינים שלך מצביעים על כתובת ה- IP של איזון העומס.
לחדש תעודת SSL מנוהלת על ידי גוגל
הוראות ענן של גוגל תעודות מנוהלות תקפות למשך 90 יום. כחודש לפני התפוגה, התהליך לחידוש האישור מתחיל אוטומטית. לשם כך נבחרה רשות תעודות (CA) שנמצאת גם ברשומת DNS של רשות ההסמכה של הדומיין שלך (CAA) והן ברשימת CAS.
ה- CA המשמש לחידוש עשוי להיות שונה מה- CA המשמשת להנפיק גרסה קודמת של תעודת המנוהלת שלך בגוגל. אתה יכול לשלוט ב- CA בו Google Cloud משתמשת לחידוש על ידי הבטחה שרשומת ה- DNS של ה- CAA של הדומיין שלך מציינת CA יחיד מרשימת CAS בהן משתמשים בתעודות מנוהלות בגוגל.
אם אחד מהתחומים או תת -הדומיינים בתעודה מנוהלים לא מצביע על כתובת ה- IP של איזון העומס, תהליך החידוש נכשל. כדי למנוע אי ספיקת חידוש, וודא שכל התחומים והתת -דומיינים שלך מצביעים על כתובת ה- IP של איזון העומס.
ציין את ה- CAS שיכול להנפיק את האישור המנוהל על גוגל
בתוכנת ה- DNS שלך, אנו ממליצים לאשר במפורש את ה- CAS שאתה רוצה לאפשר להנפיק את האישור שלך מנוהל על גוגל. אמנם אינו נדרש בכל תרחיש, אך הדבר הכרחי במצבים מסוימים.
לדוגמה, אם אתה משתמש בשירות DNS חיצוני והתעודה המנוהלת על ידי גוגל מבוטלת, השירות עשוי רק לאמת אישור חדש שהונפק על ידי CAS ספציפית אחת או יותר.
לשם כך, צור או שנה רשומת CAA כך שתכלול PKI.goog או letsencrypt.אורג או שניהם. אם אין לך רשומת CAA, התנהגות ברירת המחדל היא לאפשר לשני PKI.goog ו- letsencrypt.אורג .
תְחוּם. CAA 0 גיליון "PKI.goog " תְחוּם. CAA 0 גיליון "LetSencrypt.org "
תמיכה ב- Letsencrypt.תעודות org ניתנות על בסיס מאמץ הטוב ביותר. לאמינות הטובה ביותר, אפשר לשני PKI.goog ו- letsencrypt.אורג . אם אתה מציין רק אחד מה- CAS, רק ש- CA משמש ליצירה ולחדש את האישור שלך. גישה זו אינה מומלצת.
כשאתה יוצר לראשונה את האישור שלך, Google Cloud בוחר את PKI.goog או letsencrypt.org ומשתמש בו כדי להנפיק את האישור שלך. כאשר גוגל מחדשת את האישור שלך, האישור שלך עשוי להנפיק על ידי CA האחר, תלוי ב- CAS שציינת ברשומת CAA (אם יצרת אחד כזה). האישור שלך עשוי להתחדש על ידי CA שונה באחד מהמקרים הבאים:
- אין לך רשומת DNS CAA לדומיין שלך.
- כללת את שתי ה- CAS ברשומת ה- DNS CAA.
למידע נוסף, עיין ברשומת ה- DNS של RFC, CAA.
LetSencrypt.אורג מנפיק שמות דומיינים בינלאומיים (IDNs). PKI.GOOG אינו תומך כרגע ב- IDNS.
אם אתה משתמש ב- DNS בענן, למד כיצד להוסיף רשומה, וקפד להגדיר את הדגל -סוג ל- CAA .
הערה: כשאתה מוסיף CA ברשומת CAA, ייתכן שייקח זמן משמעותי עד שה- DNS יפיץ את שינוי זה ולהפוך אותו לגלוי ל- CA. כתוצאה מכך, תהליך חידוש האישור עשוי בתחילה להיכשל, אך בסופו של דבר מצליח. למידע נוסף, ראה פתרון בעיות בתעודות SSL.
החלף תעודת SSL קיימת
להחלפת תעודת SSL קיימת:
- התחל את התהליך ליצירת תעודת SSL המנוהלת על ידי גוגל. תעודה זו אינה פעילה בשלב זה.
- עדכן את פרוקסי היעד כך שרשימת האישורים שהוזכרו כוללת את אישור ה- SSL החלופי יחד עם תעודות ה- SSL הנוכחיות. השלבים לעדכון פרוקסי היעד משתנים, כדלקמן:
- עדכן Proxy יעד https
- עדכן פרוקסי SSL יעד
הערה: כדי להמשיך לשרת תנועה, על פרוקסי היעד להמשיך ולהתייחס לתעודות ה- SSL הנוכחיות. כדי שתעודת ההחלפה תשלים את תהליך ההקצאה שלה, על פרוקסי היעד להתייחס גם לתעודת ההחלפה.
- המתן לתעודת SSL החלופית שתשלים את ההקצאה. ההקצאה עשויה לארוך עד 60 דקות. כאשר ההפרשה הושלמה, סטטוס האישור הופך לפעיל . הערה: אספקת תעודה מנוהלת על ידי גוגל עשויה לקחת 60 דקות מרגע שינויים בתצורת ה- DNS ותצורת איזון העומס שלך התפשטו ברחבי האינטרנט. אם עדכנת את תצורת ה- DNS שלך לאחרונה, זה יכול לקחת זמן משמעותי לשינויים להפיץ לחלוטין. לפעמים התפשטות אורך עד 72 שעות ברחבי העולם, אם כי בדרך כלל זה לוקח כמה שעות. למידע נוסף על התפשטות DNS, ראה התפשטות של שינויים.
- המתן 30 דקות נוספות כדי להבטיח שתעודת ההחלפה זמינה לכל קצוות חזית גוגל (GFES).
- עדכן את פרוקסי היעד כדי להסיר את אישור ה- SSL שאתה מחליף מרשימת האישורים שהוזכרו. השלבים לעדכון פרוקסי יעד משתנים, כדלקמן:
- עדכן Proxy יעד https
- עדכן פרוקסי SSL יעד
- המתן 10 דקות, ואשר כי איזון העומס משתמש בתעודת SSL החלופית במקום הישן.
- עדכן שוב את פרוקסי היעד, והסיר את משאב אישור ה- SSL הישן. באפשרותך למחוק את משאב אישור SSL אם הוא כבר לא מפנה על ידי כל פרוקסי יעד.
אם אינך מוחק את תעודת ה- SSL הישנה, הוא נשאר פעיל עד שהוא יפוג.
העבר מתעודות SSL המנוהלות על ידי עצמי לתעודות SSL המנוהלות על ידי גוגל
כשאתה מעביר איזון עומסים משימוש בתעודות SSL המנוהלות על ידי עצמי לתעודות SSL המנוהלות על ידי גוגל, עליך לבצע את הצעדים הבאים ברצף זה:
- צור תעודה חדשה המנוהלת על ידי גוגל.
- שיוך תעודה חדשה מנוהלת על גוגל עם פרוקסי היעד הנכון תוך שמירה על הקשר של פרוקסי היעד לתעודה הקיימת המנוהלת על עצמה.
- המתן עד שסטטוס התעודה המנוהל על ידי גוגל פעיל .
- המתן 30 דקות כדי לאפשר לתעודה החדשה להתפשט להגשת הקצוות הקדמיים של גוגל (GFES)
- עדכן שוב את פרוקסי היעד, והסיר את משאב התעודה המנוהל על ידי עצמו. אתה יכול למחוק את משאב אישור ה- SSL המנוהל על ידי עצמו אם הוא כבר לא מפנה על ידי כל פרוקסי יעד.
מחק תעודת SSL
לפני מחיקת תעודת SSL, וודאו כי אין פרוקסי HTTPS או SSL מפנים תעודה זו. אתה יכול לעשות זאת בשתי דרכים:
- מחק את פרוקסי היעד המתייחסים לתעודה זו.
- עדכן את פרוקסי היעד המתייחסים לתעודה זו כדי לא לכלול אותה. הצעדים משתנים, כדלקמן:
- עדכן פרוקסי יעד HTTPS.
- עדכן פרוקסי יעד SSL.
כדי למחוק תעודות SSL אחת או יותר:
לְנַחֵם
אתה יכול למחוק תעודות SSL גלובליות ב- תעודות קלאסיות כרטיסייה על מנהל תעודות עמוד.
- לך אל תעודות קלאסיות כרטיסייה בקונסולת הענן של גוגל.
עבור לתעודות קלאסיות - בחר בתעודת SSL שברצונך למחוק.
- לחץ על מחק לִמְחוֹק.
- לאישור, לחץ על מחק לִמְחוֹק שוב.
gcloud
כדי למחוק תעודת SSL גלובלית (עבור מאזני עומס חיצוניים חיצוניים גלובליים או איזני עומס פרוקסי SSL חיצוניים), השתמש במאזני העומס של gcloud מחשב SSL מחק את הפקודה באמצעות הפקודה-גלובל:
gcloud compute ssl-certipients מחק שם התעודה \ -גלובל
החלף את הדברים הבאים:
- שם אישור: שם תעודת SSL
מה הלאה
- כדי לפתור תעודות SSL, ראה פתרון בעיות בתעודות SSL.
- כדי להשתמש בתסריט Terraform שיוצר תעודה מנוהלת בגוגל, עיין בדוגמה של ענן הפעלה ב- דוגמאות למודול Terraform עבור HTTP (ים) איזון עומס חיצוני עמוד.
שלח משוב
למעט כפי שצוין אחרת, תוכן של דף זה מורשה תחת ייחוס Creative Commons 4.0 רישיון, ודגימות קוד מורשות תחת Apache 2.0 רישיון. לפרטים, עיין במדיניות אתר המפתחים של גוגל. Java הוא סימן מסחרי רשום של אורקל ו/או שלוחותיו.
עודכן לאחרונה 2023-05-08 UTC.
האם גוגל מנפיק אישורי SSL
שלבים פשוטים לאבטחת אתר האינטרנט שלך
כל תחום שאתה נרשם ל- Google Domines מגיע עם הגנת פרטיות, לחיצה אחת על DNSSEC ואימות של Google 2 שלבים-הכל ללא עלות נוספת. בין אם אתה’השקה מחדש פרויקט צדדי או הרחבת העסק שלך’S נוכחות מקוונת, הנה כמה צעדים קלים שתוכלו לנקוט כדי להגן טוב יותר על אתר האינטרנט שלכם.
קבל תעודת SSL להצפנת אתר האינטרנט שלך
אבטח את האתר שלך והגן על המשתמשים שלך’ מידע עם הצפנת HTTPS על ידי התקנת תעודת SSL. תעודת SSL שומרת על מידע רגיש כמו נתוני כרטיסי אשראי פרטיים על ידי טלטול נתונים כאשר הוא נוסע לאתר האינטרנט שלך וממנה. והצפנת HTTPS מבטיחה שאף אחד לא יכול לגשת או לפקח על תקשורת לאתר שלך או ממנו.
הגן על האתר שלך מפני הפשטת SSL
התקנת תעודת SSL היא חובה, אך SSL בלבד ISN’t הוכחה לחלוטין: עליכם להשתמש גם ב- HSTS-Thating. ללא HSTS, מישהו יכול לנסות להפשיט את אתר האינטרנט שלך בתעודת SSL שלו, כך שיוכלו לטעון את הדפים שלך מעל HTTP (במקום HTTPS). הדרך הטובה ביותר להגן על אתר האינטרנט שלך מפני הפשטת SSL היא להשתמש בשם דומיין שנטען ב- HSTS או להוסיף את האתר שלך לרשימת HSTS-Preload (רשימה של אתרים שהדפדפנים המודרניים נטענים רק על חיבור מוצפן). להלן שתי דרכים להיכנס לרשימת HSTS-Preload:
לרשום שם דומיין זה’S HSTS-Toaded (מומלץ)
הדרך המהירה ביותר להגיע לרשימת HSTS-Preload היא להשתמש בתחום שמסתיים כמו .אפליקציה, .dev, או .עמוד זה’S כבר ברשימה. כל אתר עם תחום ברמה העליונה (TLD) ברשימה מוגן אוטומטית על ידי HSTS-Thating.
הוסף את האתר שלך לרשימה
בעלי אתרים יכולים להוסיף באופן אינדיבידואלי אתר האינטרנט שלהם לרשימת HSTS-Preload ב- HSTSPRELAOD.אורג. אך קחו בחשבון, זהו תהליך איטי מכיוון שעדכונים לרשימה עשויים להיות לא מוכרים על ידי דפדפן עד עדכון או מהדורה חדשה. זה יכול לקחת חודשים עד שכל הדפדפנים המודרניים יכירו בכך שהאתר שלך נוסף.
