Χρησιμοποιήστε πιστοποιητικά SSL που διαχειρίζονται το Google

Περίληψη:

Σε αυτό το άρθρο, θα συζητήσουμε τη χρήση πιστοποιητικών SSL που διαχειρίζονται την Google για εξισορρόπους φορτίου στο Google Cloud. Θα καλύψουμε την επισκόπηση των πιστοποιητικών SSL, τις μεθόδους για τη διαμόρφωσή τους, τους τύπους των διαθέσιμων πιστοποιητικών και τον τρόπο με τον οποίο μπορούν να χρησιμοποιηθούν με τους εξισορροπητές φορτίου Google Cloud.

Βασικά σημεία:

1. Η ασφάλεια του στρώματος μεταφοράς (TLS) χρησιμοποιείται για την κρυπτογράφηση πληροφοριών μέσω ενός δικτύου.
2. Οι εξισορροπητές φορτίου Google Cloud απαιτούν πιστοποιητικά SSL για κρυπτογράφηση.
3. Υπάρχουν δύο μέθοδοι για τη διαμόρφωση των πιστοποιητικών SSL: Υπολογίστε τον πόρο πιστοποιητικού SSL και τον διαχειριστή πιστοποιητικών SSL.
4. Τα πιστοποιητικά SSL που διαχειρίζονται αυτοδιαχειριζόμενα και Google είναι διαθέσιμα.
5. Τα πιστοποιητικά αυτοδιαχειριζόμενα μπορεί να είναι επικύρωση τομέα (DV), πιστοποιητικά επικύρωσης οργανισμού (OV) ή πιστοποιητικά εκτεταμένης επικύρωσης (EV).
6. Οι Balancers Load Load Google υποστηρίζουν διαφορετικούς τύπους πιστοποιητικών SSL με βάση τη βαθμίδα.
7. Πολλαπλά πιστοποιητικά SSL μπορούν να φιλοξενηθούν σε ένα ενιαίο πληρεξούσιο στόχο.
8. Υπολογίστε τους πόρους πιστοποιητικού SSL του κινητήρα έχουν ένα μέγιστο όριο ανά πληρεξούσιο στόχου.
9. Το πρώτο πιστοποιητικό SSL υπολογισμού θεωρείται το προεπιλεγμένο πιστοποιητικό.
10. Ο διαχειριστής πιστοποιητικών επιτρέπει την αναφορά πολλαπλών πιστοποιητικών χρησιμοποιώντας χάρτη πιστοποιητικού.

Ερωτήσεις και απαντήσεις:

Ε1: Ποιος είναι ο σκοπός των πιστοποιητικών SSL στο Google Cloud Load Balancers?

A1: Ο σκοπός των πιστοποιητικών SSL είναι η παροχή κρυπτογράφησης μεταξύ του εξισορρόπησης φορτίου και των πελατών που έχουν πρόσβαση στον εξισορρόπηση φορτίου.

Ε2: Πόσες μέθοδοι είναι διαθέσιμες για τη διαμόρφωση των πιστοποιητικών SSL για εξισορρόπηση φορτίου?

A2: Υπάρχουν δύο διαθέσιμες μέθοδοι: Υπολογίστε τον ΠΟΛΙΤΙΚΟ ΠΙΣΤΩΤΙΚΟ ΠΙΣΤΟΠΟΙΗΣΗΣ ΚΙΝΗΤΗΡΑΣ SSL.

Ε3: Ποιοι τύποι πιστοποιητικών SSL μπορούν να χρησιμοποιηθούν με τα balancers φορτίου Google Cloud?

A3: Τόσο αυτοδιαχειριζόμενο όσο και πιστοποιητικά SSL που διαχειρίζονται το Google μπορούν να χρησιμοποιηθούν. Τα πιστοποιητικά αυτοδιαχείρισης μπορούν να είναι πιστοποιητικά DV, OV ή EV.

Ε4: Ποιοι τύποι εξισορρόπων φορτίου υποστηρίζουν τα πιστοποιητικά SSL με αυτοδιαχειριζόμενο υπολογισμό του κινητήρα?

A4: Global External HTTP (S) Balancer Load, Global Outteral HTTP (S) Balancer Load (Classic) και Εξωτερικός εξισορρόπηση φορτίου SSL σε Premium Tier Support Compute Compute Engine Πιστοποιητικά SSL Πιστοποιητικά SSL.

Ε5: Είναι δυνατόν να φιλοξενηθούν πολλαπλά πιστοποιητικά SSL σε ένα ενιαίο πληρεξούσιο στόχο?

A5: Ναι, είναι δυνατόν να φιλοξενηθούν πολλαπλά πιστοποιητικά SSL σε ένα ενιαίο πληρεξούσιο, ειδικά όταν ο Balancer Load υποστηρίζει πολλαπλά ονόματα τομέα.

Ε6: Ποιος είναι ο μέγιστος αριθμός πιστοποιητικών SSL ανά πληρεξούσιο στόχου όταν χρησιμοποιείτε πόρους πιστοποιητικού SSL υπολογισμού SSL?

A6: Ο μέγιστος αριθμός πιστοποιητικών SSL ανά πληρεξούσιο στόχου είναι μη διαμορφωμένος. Ανατρέξτε στις ποσοστώσεις εξισορρόπησης φορτίου και περιορίζει την τεκμηρίωση για περισσότερες πληροφορίες.

Ε7: Ποιο πιστοποιητικό SSL θεωρείται το προεπιλεγμένο πιστοποιητικό κατά τη χρήση των πόρων του πιστοποιητικού SSL υπολογισμού SSL?

A7: Ο πρώτος υπολογιστής Compute Engine SSL πιστοποιητικό που αναφέρεται από έναν πληρεξούσιο στόχο θεωρείται το προεπιλεγμένο πιστοποιητικό για τον εξισορρόπηση φορτίου.

Ε8: Μπορούν να αναφέρονται πολλαπλά πιστοποιητικά SSL χρησιμοποιώντας διαχειριστή πιστοποιητικών?

A8: Ναι, ο διαχειριστής πιστοποιητικών επιτρέπει την αναφορά πολλαπλών πιστοποιητικών SSL χρησιμοποιώντας χάρτη πιστοποιητικού.

Ε9: Ποιοι εξισορρόποι φορτίου χρησιμοποιούν περιφερειακούς πληρεξούσιους HTTPS Target HTTPS?

A9: Το περιφερειακό εξωτερικό εξισορρόπηση φορτίου HTTP (S) και εσωτερικός εξισορρόπησης φορτίου HTTP (S) χρησιμοποιεί περιφερειακά πληρεξούσια HTTP.

Q10: Ποιος είναι ο σκοπός της ασφάλειας του στρώματος μεταφοράς (TLS)?

A10: Η Security Layer Security (TLS) χρησιμοποιείται για την κρυπτογράφηση πληροφοριών που αποστέλλονται μέσω δικτύου, εξασφαλίζοντας την ιδιωτικότητα μεταξύ του πελάτη και του διακομιστή ή του εξισορροπητή φόρτωσης.

Χρησιμοποιήστε πιστοποιητικά SSL που διαχειρίζονται το Google

Πριν διαγράψετε ένα πιστοποιητικό SSL, βεβαιωθείτε ότι δεν αναφέρεται αυτό το πιστοποιητικό κανένα πιστοποιητικό HTTPS ή SSL. Μπορείτε να το κάνετε αυτό με δύο τρόπους:

Επισκόπηση πιστοποιητικών SSL

Η ασφάλεια του στρώματος μεταφοράς (TLS) χρησιμοποιείται για την κρυπτογράφηση πληροφοριών ενώ αποστέλλεται μέσω δικτύου, παρέχοντας ιδιωτικότητα μεταξύ ενός πελάτη και ενός διακομιστή ή εξισορρόπησης φορτίου. Οι εξισορροπητές φορτίου φορτίου Google Cloud Cloud, των οποίων οι κανόνες προώθησης αναφέρονται σε ένα πληρεξούσιο πληρεξούσιο HTTPS στόχος ή ένα πιστοποιητικό SSL Target, απαιτούν ένα ιδιωτικό κλειδί και ένα πιστοποιητικό SSL ως μέρος της διαμόρφωσης Proxy του εξισορρόπησης φορτίου φορτίου.

Σημείωση: Αυτή η σελίδα εξετάζει τα πιστοποιητικά SSL στο πλαίσιο της κρυπτογράφησης κατά τη διαμετακόμιση μεταξύ ενός εξισορροπητή φορτίου Proxy Google Cloud και (Downstream) πελάτες που συνδέονται με το Google Cloud Load Balancer. Για λεπτομέρειες σχετικά με την κρυπτογράφηση κατά τη διαμετακόμιση μεταξύ του Balancer Load Load Google και των πίσω (ανάντη), δείτε την κρυπτογράφηση στα backends.

Μέθοδοι διαμόρφωσης πιστοποιητικού

Το Google Cloud προσφέρει δύο μεθόδους για τη διαμόρφωση των πιστοποιητικών SSL για HTTP (S) και SSL Proxy Load Balancers. Και οι δύο μέθοδοι υποστηρίζουν αυτοδιαχειριζόμενα και πιστοποιητικά SSL που διαχειρίζονται το Google.

• Υπολογίστε τον πόρο πιστοποιητικού SSL κινητήρα: Με αυτή τη μέθοδο, ο στόχος πληρεξούσιο για ένα παγκόσμιο εξωτερικό εξισορρόπηση φορτίου HTTP (S), το Global Outternal HTTP (S) Balancer φορτίου (κλασικό), το εξωτερικό εξισορρόπηση φορτίου SSL Proxy Fory Proxy,. Ο πόρος πιστοποιητικού SSL περιέχει το ιδιωτικό κλειδί, το αντίστοιχο πιστοποιητικό και τα πιστοποιητικά CA. Αυτή η μέθοδος υποστηρίζει όλα τα επίπεδα υπηρεσιών δικτύου που υποστηρίζονται από το Balancer Load.
• Διαχειριστής πιστοποιητικών: Με αυτή τη μέθοδο, ο στόχος για ένα παγκόσμιο εξωτερικό εξισορρόπηση φορτίου HTTP (S), Global Outternal HTTP (S) Balancer φορτίου (κλασικό) ή εξωτερικό εξισορρόπηση φορτίου SSL χάρτης πιστοποιητικών. Ο χάρτης πιστοποιητικών περιέχει ένα ή περισσότερα καταχωρήσεις πιστοποιητικού. Κάθε καταχώρηση πιστοποιητικού αναφέρει έναν πόρο πιστοποιητικού διαχειριστή πιστοποιητικού και κάθε πόρος πιστοποιητικού περιέχει ιδιωτικό κλειδί και πιστοποιητικό. Με τον Διαχειριστή Πιστοποιητικών, ένας πληρεξούσιος πληρεξούσιος HTTPS στόχος ή ο στόχος SSL μπορεί να αναφέρει έναν χάρτη πιστοποιητικών με χιλιάδες καταχωρήσεις πιστοποιητικών SSL. Αυτή η μέθοδος είναι διαθέσιμη μόνο όταν ο Balancer Load χρησιμοποιεί το Premium Network Service Tier. Για περισσότερες πληροφορίες, ανατρέξτε στην επισκόπηση του διαχειριστή πιστοποιητικών.

Τύποι πιστοποιητικών

Μπορείτε να δημιουργήσετε τα δικά σας πιστοποιητικά ή το Google μπορεί να τα διαχειριστεί για εσάς:

• Πιστοποιητικά SSL που διαχειρίζονται αυτοδιαχειριζόμενα Είναι πιστοποιητικά που λαμβάνετε, πατήστε και ανανεώστε τον εαυτό σας. Τα πιστοποιητικά αυτοδιαχειριζόμενα μπορεί να είναι οποιοσδήποτε από αυτούς τους τύπους πιστοποιητικών δημόσιων κλειδιών:
  • Επικύρωση τομέα (DV)
  • Επικύρωση του οργανισμού (OV)
  • Πιστοποιητικά εκτεταμένης επικύρωσης (EV)

  Για περισσότερες πληροφορίες σχετικά με τα πιστοποιητικά SSL υπολογισμού που διαχειρίζονται αυτοδιαχείριση.

  Για περισσότερες πληροφορίες σχετικά με τα αυτοδιαχειριζόμενα πιστοποιητικά SSL και τον διαχειριστή πιστοποιητικών, ανατρέξτε στην ενότητα Ανεφθορά αυτοδιαχειριζόμενου πιστοποιητικού στην τεκμηρίωση του διαχειριστή πιστοποιητικών ή αναπτύξτε ένα αυτοδιαχειριζόμενο πιστοποιητικό για ένα σεμινάριο από άκρο σε άκρο.

  Πιστοποιητικά και Google Cloud Load Balancers

  Ο παρακάτω πίνακας δείχνει ποιοι Balancers φορτίου Google Cloud υποστηρίζουν αυτοδιαχειριζόμενους υπολογισμένους υπολογιστές SSL πιστοποιητικά SSL, πιστοποιητικά SSL που διαχειρίζονται την Google ή διαχειριστή πιστοποιητικών (τόσο πιστοποιητικά που διαχειρίζονται αυτοδιαχειριζόμενα όσο και με Google).

  • Global Outternal HTTP (S) Balancer Load A Balancer A
  • Global Outternal HTTP (S) Balancer Load (Classic) στο Premium Tier A
  • Εξωτερικός εξισορρόπηση φορτίου διακομιστή μεσολάβησης SSL στο Premium Tier B
  • Global Outternal HTTP (S) Balancer φορτίου (κλασικό) σε τυπική βαθμίδα Α
  • Εξωτερικός εξισορροπητής φορτίου διακομιστή μεσολάβησης SSL σε τυπική βαθμίδα Β
  • Περιφερειακό εξωτερικό HTTP (s) Balancer Load C
  • Εσωτερική εξισορρόπηση φορτίου HTTP (s)

  A Ο παγκόσμιος εξωτερικός εξισορροπητής φορτίου HTTP (S) και ο παγκόσμιος εξωτερικός HTTP (S) Load Balancer (Classic) χρησιμοποιούν παγκόσμιους πληρεξούσιους HTTPs, ακόμη και όταν ένα παγκόσμιο εξωτερικό HTTP (S) Load Balancer (Classic) χρησιμοποιεί το Standard Tier.

  b Το εξωτερικό ssl proxy balancer χρησιμοποιεί παγκόσμια ssl proxies, ακόμη και σε τυπική βαθμίδα.

  C Το περιφερειακό εξωτερικό εξισορρόπηση φορτίου HTTP (s) και εσωτερικός εξισορρόπησης φορτίου HTTP (S).

  Πολλαπλά πιστοποιητικά SSL

  Μπορείτε να χρησιμοποιήσετε τον ίδιο στόχο HTTPS Proxy ή Target SSL Proxy για να φιλοξενήσει πολλαπλά πιστοποιητικά – συνηθισμένο όταν ο εξισορρόπηση φορτίου υποστηρίζει πολλαπλά ονόματα τομέα. Μπορείτε να διαμορφώσετε έναν ενιαίο κανόνα προώθησης (μια ενιαία διεύθυνση IP και θύρα) για να αναφέρετε έναν κοινό πληρεξούσιο στόχο ή μπορείτε να διαμορφώσετε πολλαπλούς κανόνες προώθησης (διαφορετικές διευθύνσεις IP και θύρες) για να αναφέρετε έναν κοινό πληρεξούσιο στόχο.

  Πολλαπλοί υπολογιστές Πιστοποιητικών Πιστοποιητικών SSL

  Όταν χρησιμοποιείτε τους πόρους πιστοποιητικού SSL υπολογιστικού κινητήρα, κάθε πόρος πληρεξούσιου στόχου μπορεί να αναφερθεί σε μη διαμορφωμένο μέγιστος αριθμός πιστοποιητικών SSL ανά στόχο HTTPS ή στόχο SSL Proxy. Για περισσότερες πληροφορίες, ανατρέξτε στην ενότητα Pools Target και Target Proxies στις ποσοστώσεις εξισορρόπησης φορτίου και περιορίζει την τεκμηρίωση.

  Ο πρώτος υπολογιστής Πιστοποιητικού SSL Πιστοποιητικού SSL που αναφέρεται από τον προορισμό του εξισορροπητή φορτίου θεωρείται το προεπιλεγμένο (πρωτογενές) πιστοποιητικό για το Balancer Load Load.

  Πολλαπλά πιστοποιητικά SSL χρησιμοποιώντας διαχειριστή πιστοποιητικών

  Όταν χρησιμοποιείτε τον διαχειριστή πιστοποιητικών, κάθε στόχος Proxy Resource αναφέρει έναν ενιαίο χάρτη πιστοποιητικών. Ένας χάρτης πιστοποιητικών αναφέρει μία ή περισσότερες καταχωρήσεις πιστοποιητικών και μπορείτε να διαμορφώσετε ποια καταχώρηση πιστοποιητικού είναι το προεπιλεγμένο (πρωτογενές) πιστοποιητικό για τον χάρτη. Ο αριθμός των χαρτών, των καταχωρήσεων και των πιστοποιητικών διαχειριστή πιστοποιητικών είναι διαμορφωμένα, ποσοστώσεις ανά έργο. Για περισσότερες πληροφορίες, ανατρέξτε στις ποσοστώσεις πόρων στην τεκμηρίωση του διαχειριστή πιστοποιητικών.

  Εάν χρησιμοποιείτε έναν εξισορροπητή φορτίου που υποστηρίζει τον διαχειριστή πιστοποιητικών και πρέπει να φιλοξενήσετε περισσότερα από μερικά πιστοποιητικά SSL ανά πληρεξούσιο στόχου, βεβαιωθείτε ότι χρησιμοποιείτε διαχειριστή πιστοποιητικών αντί για υπολογιστικά πόρους πιστοποιητικού SSL του κινητήρα SSL.

  Μέθοδος επιλογής πιστοποιητικού

  Αφού συνδεθεί ένας πελάτης με ένα εξισορροπητή φορτίου HTTP ή SSL, ο πελάτης και ο εξισορρόπηση φορτίου διαπραγματεύονται μια συνεδρία TLS. Κατά τη διάρκεια της διαπραγμάτευσης της περιόδου λειτουργίας TLS, ο πελάτης στέλνει το Balancer φορτίου Μια λίστα με Ciphers TLS που υποστηρίζει (στο clienthello). Ο εξισορροπητής φορτίου επιλέγει ένα πιστοποιητικό του οποίου ο δημόσιος αλγόριθμος κλειδιού είναι συμβατός με τον πελάτη. Ο πελάτης μπορεί επίσης να στείλει ένα όνομα κεντρικού υπολογιστή ένδειξης ονόματος διακομιστή (SNI) στο Balancer Load ως μέρος αυτής της διαπραγμάτευσης. Τα δεδομένα HostName SNI χρησιμοποιούνται μερικές φορές για να βοηθήσουν την επιλογή Balancer Load Who Certificate που πρέπει να στείλει στον πελάτη.

  Μπορείτε να μοντελοποιήσετε τη διαδικασία που χρησιμοποιούν οι Balancers φορτίου Google Cloud Proxy για να επιλέξουν ένα πιστοποιητικό για να στείλουν σε έναν πελάτη ως εξής. Στο μοντέλο σας, ξεκινήστε με όλα τα πιστοποιητικά SSL που έχουν διαμορφωθεί στο Target HTTPS Proxy ή στο Target SSL Proxy – ανεξάρτητα από τη μέθοδο διαμόρφωσης.

  1. Ο εξισορροπητής φορτίου επιλέγει έναν υποψήφιο πιστοποιητικό:
     • Εάν ο στόχος του φορτίου φορτίου εξισορρόπησης αναφέρει μόνο έναν πόρο πιστοποιητικού SSL υπολογισμού ή εάν ο στόχος του φορτίου του φορτίου αναφέρει έναν χάρτη διαχειριστή πιστοποιητικών με μία μόνο καταχώρηση πιστοποιητικού, ο Balancer Load χρησιμοποιεί το μόνο και το μόνο διαμορφωμένο πιστοποιητικό ως υποψήφιο πιστοποιητικό. Η τιμή του ονόματος κεντρικού υπολογιστή SNI (εάν παρέχεται) δεν επηρεάζει καθόλου τον εξισορρόπηση φορτίου. Προχωρήστε στο βήμα 2.
     • Εάν ο στόχος του εξισορρόπησης φορτίου φορτίου αναφέρει δύο ή περισσότερους υπολογιστικούς πόρους πιστοποιητικού SSL του κινητήρα ή εάν ο στόχος του εξισορρόπησης φορτίου αναφέρει έναν χάρτη διαχειριστή πιστοποιητικών με δύο ή περισσότερες καταχωρήσεις πιστοποιητικού, ο Balancer φορτίου χρησιμοποιεί την ακόλουθη διαδικασία για να επιλέξει ένα μονόκλινο υποψήφιος πιστοποιητικών:
       • Εάν ο πελάτης δεν στέλνει κανένα όνομα κεντρικού υπολογιστή SNI στο clienthello του, το Balancer Load χρησιμοποιεί το προεπιλεγμένο (πρωτογενές) πιστοποιητικό SSL ως υποψήφιο πιστοποιητικό. Προχωρήστε στο βήμα 2.
       • Εάν ο πελάτης στέλνει ένα όνομα κεντρικού υπολογιστή SNI που δεν ταιριάζει με κανένα κοινό όνομα Πιστοποιητικού (CN) και δεν ταιριάζει με κανένα αντικείμενο Εναλλακτικό Όνομα Πιστοποιητικού (SAN), το Load Balancer χρησιμοποιεί το προεπιλεγμένο (πρωτογενές) πιστοποιητικό SSL ως υποψήφιο πιστοποιητικό. Προχωρήστε στο βήμα 2.
       • Το Balancer Load επιλέγει έναν υποψήφιο πιστοποιητικό που ταιριάζει με το όνομα HostName SNI που αποστέλλεται από τον πελάτη. Η αντιστοίχιση γίνεται με το μεγαλύτερο πρόθεμα τόσο από το κοινό όνομα (CN) όσο και για τα χαρακτηριστικά πιστοποιητικού εναλλακτικού ονόματος (SAN), με προτίμηση για πιστοποιητικά ECDSA έναντι πιστοποιητικών RSA. Για να απεικονίσετε τη μέθοδο αντιστοίχισης, εξετάστε ένα πληρεξούσιο στόχο που αναφέρει ένα πιστοποιητικό του οποίου η CN είναι CATS.κατοικίδια ζώα.παράδειγμα.com και ένα άλλο πιστοποιητικό του οποίου το CN είναι σκύλοι.κατοικίδια ζώα.παράδειγμα.com . Εκτός από τη συμπερίληψη κάθε τιμής CN στο SANS του, κάθε πιστοποιητικό περιλαμβάνει *.κατοικίδια ζώα.παράδειγμα.com, και *.παράδειγμα.com στο sans του.
         • Εάν το όνομα HostName SNI είναι γάτες.κατοικίδια ζώα.παράδειγμα.com, ο εξισορροπητής φορτίου χρησιμοποιεί το πιστοποιητικό του οποίου το CN είναι γάτες.κατοικίδια ζώα.παράδειγμα.com ως υποψήφιος πιστοποιητικού. Προχωρήστε στο βήμα 2.
         • Εάν το όνομα κεντρικού υπολογιστή SNI είναι κουνάβια.κατοικίδια ζώα.παράδειγμα.com, ο εξισορροπητής φορτίου χρησιμοποιεί ένα από τα δύο Πιστοποιητικά ως υποψήφιο πιστοποιητικό επειδή και τα δύο διαμορφωμένα πιστοποιητικά έχουν SANS που περιλαμβάνουν *.κατοικίδια ζώα.παράδειγμα.com . Δεν μπορείτε να ελέγξετε ποια από τις δύο Τα πιστοποιητικά γίνονται υποψήφια για το πιστοποιητικό σε αυτήν την κατάσταση. Προχωρήστε στο βήμα 2.
  2. Ο υποψήφιος πιστοποιητικός αποστέλλεται στον πελάτη εάν ο υποψήφιος πιστοποιητικός χρησιμοποιεί έναν δημόσιο κλειδί αλγόριθμο συμβατό με έναν από τους δηλωμένους κρυπτογράφους του πελάτη.
     • Η διαπραγμάτευση TLS μπορεί να αποτύχει εάν ο πελάτης δεν υποστηρίζει μια σουίτα κρυπτογράφησης που περιλαμβάνει τον αλγόριθμο δημόσιου κλειδιού (ECDSA ή RSA) του πιστοποιητικού.
     • Ο εξισορροπητής φορτίου δεν χρησιμοποιεί τα χαρακτηριστικά του πιστοποιητικού NotValidBefore και NotValidafter ως οποιοδήποτε μέρος της μεθόδου επιλογής υποψηφίων. Για παράδειγμα, ο εξισορροπητής φορτίου μπορεί να εξυπηρετήσει ένα πιστοποιητικό που έληξε εάν το πιστοποιητικό που έχει λήξει επιλέχθηκε ως υποψήφιος πιστοποιητικού.

  Τιμολόγηση

  Υπέστη χρεώσεις δικτύωσης όταν χρησιμοποιείτε τα balancers φορτίου Google Cloud. Για περισσότερες πληροφορίες, ανατρέξτε σε όλες τις τιμές δικτύωσης. Για την τιμολόγηση του διαχειριστή πιστοποιητικών, ανατρέξτε στην ενότητα Τιμολόγηση στην τεκμηρίωση του διαχειριστή πιστοποιητικών. Δεν υπάρχουν πρόσθετες χρεώσεις για τη χρήση υπολογιστικών πόρων πιστοποιητικού SSL κινητήρα.

  Τι έπεται

  • Για περισσότερες πληροφορίες σχετικά με τα πιστοποιητικά SSL υπολογισμού του κινητήρα, ανατρέξτε στις ακόλουθες σελίδες:
    • Για περισσότερες πληροφορίες σχετικά με τα πιστοποιητικά SSL υπολογισμού που διαχειρίζονται αυτοδιαχείριση.
    • Για περισσότερες πληροφορίες σχετικά με τα πιστοποιητικά SSL που διαχειρίζεται το Google Compute Engine, ανατρέξτε στην ενότητα Χρήση πιστοποιητικών SSL που διαχειρίζεται το Google.
    • Για να μάθετε σχετικά με τις ποσοστώσεις και τα όρια (συμπεριλαμβανομένων των υποστηριζόμενων κλειδιών) για τα πιστοποιητικά SSL του υπολογισμού, ανατρέξτε στην ενότητα Πιστοποιητικά SSL και Pools Target και Target Proxies στην τεκμηρίωση Balancer Load Balancer.
    • Επισκόπηση του διαχειριστή πιστοποιητικών.
    • Για περισσότερες πληροφορίες σχετικά με τα αυτοδιαχειριζόμενα πιστοποιητικά SSL και τον διαχειριστή πιστοποιητικών, ανατρέξτε στην ενότητα Ανεφθορά αυτοδιαχειριζόμενου πιστοποιητικού στην τεκμηρίωση του διαχειριστή πιστοποιητικών ή αναπτύξτε ένα αυτοδιαχειριζόμενο πιστοποιητικό για ένα σεμινάριο από άκρο σε άκρο.
    • Για περισσότερες πληροφορίες σχετικά με τα πιστοποιητικά SSL που διαχειρίζεται το Google και τον διαχειριστή πιστοποιητικών, ανατρέξτε στην ενότητα Διαχείριση πιστοποιητικών στην τεκμηρίωση του διαχειριστή πιστοποιητικών.
    • Για να μάθετε σχετικά με τις ποσοστώσεις και τα όρια για τον διαχειριστή πιστοποιητικών, ανατρέξτε στην ενότητα Τιμές των πόρων στην τεκμηρίωση του διαχειριστή πιστοποιητικών.

    Δοκιμάστε το για τον εαυτό σας

    Εάν είστε νέοι στο Google Cloud, δημιουργήστε έναν λογαριασμό για να αξιολογήσετε τον τρόπο με τον οποίο εκτελούν τα προϊόντα μας σε σενάρια πραγματικού κόσμου. Οι νέοι πελάτες λαμβάνουν επίσης 300 $ σε δωρεάν πιστώσεις για να εκτελέσουν, να δοκιμάσουν και να αναπτύξουν φόρτο εργασίας.

    Στείλετε τα σχόλιά σας

    Εκτός αν αναφέρεται διαφορετικά, το περιεχόμενο αυτής της σελίδας έχει άδεια χρήσης στο Creative Commons Attribution 4.0 Άδεια και δείγματα κώδικα έχουν άδεια χρήσης στο Apache 2.0 άδεια. Για λεπτομέρειες, ανατρέξτε στις πολιτικές ιστότοπου Google Developers Site. Η Java είναι σήμα κατατεθέν της Oracle ή/και των θυγατρικών της.

    Τελευταία ενημέρωση 2023-05-08 UTC.

    Χρησιμοποιήστε πιστοποιητικά SSL που διαχειρίζονται το Google

    Αυτή η σελίδα εξετάζει τον τρόπο δημιουργίας και χρήσης πιστοποιητικών SSL που διαχειρίζεται το Google.

    Τα πιστοποιητικά SSL που διαχειρίζονται το Google είναι πιστοποιητικά επικύρωσης τομέα (DV) που λαμβάνει και διαχειρίζεται το Google Cloud για τους τομείς σας. Υποστηρίζουν πολλά ονόματα κεντρικού υπολογιστή σε κάθε πιστοποιητικό και η Google ανανεώνει αυτόματα τα πιστοποιητικά.

    Τα πιστοποιητικά που διαχειρίζονται το Google υποστηρίζονται με τους ακόλουθους εξισορρόπους φορτίου:

    • Global Outternal HTTP (S) Balancer Load
    • Global Outternal HTTP (S) Balancer Load (Classic)
    • Εξωτερικός εξισορροπητής φορτίου διακομιστή μεσολάβησης SSL

    Τα πιστοποιητικά SSL που διαχειρίζονται το Google δεν υποστηρίζονται για περιφερειακά εξωτερικά εξισορρόπια φορτίου HTTP (S) και εσωτερικούς εξισορρόπους φορτίου HTTP (S). Για αυτούς τους εξισορρόπους φορτίου, χρησιμοποιήστε αυτοδιαχειριζόμενα πιστοποιητικά SSL.

    Μπορείτε επίσης να χρησιμοποιήσετε διαχειριζόμενα πιστοποιητικά SSL με το Google Kubernetes Engine. Για περισσότερες πληροφορίες, ανατρέξτε στη χρήση πιστοποιητικών SSL που διαχειρίζονται το Google.

    Μπορείτε να δημιουργήσετε ένα πιστοποιητικό που διαχειρίζεται το Google πριν, κατά τη διάρκεια ή μετά τη δημιουργία του εξισορροπητή φορτίου σας. Αυτή η σελίδα υποθέτει ότι δημιουργείτε το πιστοποιητικό πριν ή μετά τη δημιουργία του εξισορροπητή φορτίου, όχι κατά τη διάρκεια. Για να δημιουργήσετε το πιστοποιητικό κατά τη δημιουργία του εξισορροπητή φορτίου σας, ανατρέξτε στο The Forad Balancer How-to Pages.

    Πριν ξεκινήσεις

    • Βεβαιωθείτε ότι είστε εξοικειωμένοι με την επισκόπηση των πιστοποιητικών SSL.
    • Βεβαιωθείτε ότι έχετε τα ονόματα τομέα που θέλετε να χρησιμοποιήσετε για το πιστοποιητικό SSL που διαχειρίζεται το Google. Εάν χρησιμοποιείτε τομείς Google, ανατρέξτε στο βήμα 1: Καταχωρίστε ένα όνομα τομέα χρησιμοποιώντας τους τομείς Google.
    • Βεβαιωθείτε ότι έχετε ενεργοποιήσει το API του Compute Engine για το έργο σας. Ενεργοποιήστε το API του υπολογισμού υπολογισμού

    Δικαιώματα

    Για να ακολουθήσετε αυτόν τον οδηγό, πρέπει να είστε σε θέση να δημιουργήσετε και να τροποποιήσετε τα πιστοποιητικά SSL στο έργο σας. Μπορείτε να το κάνετε αυτό εάν ένα από τα παρακάτω είναι αλήθεια:

    • Είστε ιδιοκτήτης ή επεξεργαστής έργου (ρόλοι/ιδιοκτήτης ή ρόλοι/επεξεργαστής).
    • Έχετε και τον ρόλο του διαχειριστή ασφαλείας υπολογισμού (υπολογισμός.securityAdmin) και το compute network admin ρόλου (υπολογισμός.NetworkAdmin) στο έργο.
    • Έχετε έναν προσαρμοσμένο ρόλο για το έργο που περιλαμβάνει τον υπολογισμό.sslcertificates.* δικαιώματα και ένα ή και τα δύο υπολογιστικά.targethttpsproxies.* και υπολογίστε.στόχευση.*, ανάλογα με τον τύπο του φορτίου που χρησιμοποιείτε.

    Βήμα 1. Δημιουργήστε ένα πιστοποιητικό SSL που διαχειρίζεται το Google

    Μπορείτε να δημιουργήσετε ένα πιστοποιητικό που διαχειρίζεται το Google πριν, κατά τη διάρκεια ή μετά τη δημιουργία του εξισορροπητή φορτίου σας. Κατά τη διαδικασία δημιουργίας ενός εξισορρόπησης φορτίου στην κονσόλα Google Cloud, μπορείτε να χρησιμοποιήσετε την κονσόλα Google Cloud για να δημιουργήσετε το πιστοποιητικό σας. Εναλλακτικά, μπορείτε να δημιουργήσετε το πιστοποιητικό σας πριν ή μετά τη δημιουργία του εξισορροπητή φορτίου σας. Αυτό το βήμα σας δείχνει πώς να δημιουργήσετε ένα πιστοποιητικό που μπορείτε αργότερα να προσθέσετε σε έναν ή περισσότερους balancers φορτίου.

    Εάν έχετε ήδη δημιουργήσει το πιστοποιητικό SSL που διαχειρίζεται το Google, μπορείτε να παραλείψετε αυτό το βήμα.

    Κονσόλα

    Μπορείτε να εργαστείτε με παγκόσμια πιστοποιητικά SSL στο Κλασικά πιστοποιητικά καρτέλα στο Διαχειριστής πιστοποιητικών σελίδα.

    1. μεταβείτε στο Κλασικά πιστοποιητικά καρτέλα στην κονσόλα Google Cloud.
       Μεταβείτε σε κλασικά πιστοποιητικά
    2. Κάντε κλικ Δημιουργία πιστοποιητικού SSL.
    3. Εισαγάγετε ένα όνομα και μια προαιρετική περιγραφή για το πιστοποιητικό.
    4. Επιλέγω Δημιουργία πιστοποιητικού που διαχειρίζεται το Google.
    5. Προσθέστε τους τομείς.
    6. Κάντε κλικ Δημιουργώ.

    γελοία

    Για να δημιουργήσετε ένα παγκόσμιο πιστοποιητικό SSL που διαχειρίζεται το Google για ένα παγκόσμιο εξωτερικό εξισορροπητή φορτίου HTTP (S) ή εξωτερικό εξισορρόπηση φορτίου SSL, χρησιμοποιήστε την εντολή Compute Compute SSL Compute Compute Compute:

    Το GCLOUD COMPUTE SSL Certificates Δημιουργήστε Πιστοποιητικό \ -περιγραφή =ΠΕΡΙΓΡΑΦΗ \ - -Domains =Domain_list \ --παγκόσμια

    Αντικαταστήστε τα εξής:

    • Πιστοποιητικό_Name: ένα όνομα για το παγκόσμιο πιστοποιητικό SSL
    • Περιγραφή: Περιγραφή για το παγκόσμιο πιστοποιητικό SSL
    • Domain_list: ένα όνομα τομέα ή μια λίστα με ονόματα τομέα που θα χρησιμοποιηθεί για αυτό το πιστοποιητικό

    Τερματοφύλακα

    Για να δημιουργήσετε το πιστοποιητικό SSL που διαχειρίζεται το Google, χρησιμοποιήστε τον πόρο Google_compute_managed_ssl_Certificate.

    Πόρος "google_compute_managed_ssl_certificate" "lb_default" < provider = google-beta name = "myservice-ssl-cert" managed < domains = [var.domain_name] >>

    API

    Δημιουργήστε τους πόρους πιστοποιητικού Google SSLCertificates.εισαγάγετε τη μέθοδο, αντικαθιστώντας το project_id με το αναγνωριστικό του έργου σας.

    Post https: // Υπολογίστε.Googleapis.com/compute/v1/projects/[project_id]/global/sslCertificates < "name": "ssl-certificate-name", "managed": < "domains": [ "www.example.com" ] >, "Τύπος": "Διαχείριση"> 

    Ελέγξτε την κατάσταση ενός πιστοποιητικού SSL που διαχειρίζεται το Google

    Κονσόλα

    Μπορείτε να ελέγξετε την κατάσταση των παγκόσμιων πιστοποιητικών SSL σας στο Κλασικά πιστοποιητικά καρτέλα στο Διαχειριστής πιστοποιητικών σελίδα.

    1. μεταβείτε στο Κλασικά πιστοποιητικά καρτέλα στην κονσόλα Google Cloud.
       Μεταβείτε σε κλασικά πιστοποιητικά
    2. (Προαιρετικό) Φιλτράρετε τη λίστα των πιστοποιητικών SSL.
    3. Ελεγξε το Κατάσταση στήλη.
    4. Για να δείτε περισσότερες λεπτομέρειες, κάντε κλικ στο όνομα πιστοποιητικού.

    γελοία

    Για να προσδιορίσετε την κατάσταση του πιστοποιητικού που διαχειρίζεται το Google, μπορείτε να χρησιμοποιήσετε τις εντολές Compute Gcloud. Μετά την εκτέλεση της κατάλληλης εντολής, σημειώστε τα εξής:

    Για να αναφέρετε τα πιστοποιητικά SSL που διαχειρίζονται το Google, χρησιμοποιήστε την εντολή GCLOUD COMPUTE SSL-Cerficates List με τη σημαία-Global .

    GCLOUD COMPUTE SSL-Cerficates List \-Global

    Μπορείτε να χρησιμοποιήσετε το GCLOUD COMPUTE SSL-Cerficates Περιγράψτε την εντολή, αντικαθιστώντας το πιστοποιητικό_Name:

    Περιγράψτε το GCLOUD COMPUTE SSL Πιστοποιητικό \ -global \ - -format = "get (όνομα, διαχείριση.Κατάσταση, διαχείριση.domainstatus) "

    Σε αυτό το σημείο, η κατάσταση του πιστοποιητικού και η κατάσταση του τομέα είναι παροχή . Αφού ολοκληρώσετε τα βήματα σε αυτήν τη σελίδα, οι καταστάσεις αλλάζουν σε ενεργό .

    Για περισσότερες πληροφορίες σχετικά με τις καταστάσεις, ανατρέξτε στη σελίδα αντιμετώπισης προβλημάτων.

    Βήμα 2: Δημιουργήστε ή ενημερώστε τον εξισορροπητή φορτίου σας

    Για να γίνει ενεργό, το πιστοποιητικό SSL που διαχειρίζεται το Google πρέπει να συσχετίζεται με έναν εξισορρόπηση φορτίου, συγκεκριμένα τον πληρεξούσιο στόχο του φορτίου φορτίου.

    Αφού δημιουργήσετε το πιστοποιητικό SSL και είναι στην κατάσταση παροχής, μπορείτε να το χρησιμοποιήσετε κατά τη δημιουργία του εξισορροπητή φορτίου σας, όπως περιγράφεται στους ακόλουθους οδηγούς:

    • Ρυθμίστε έναν παγκόσμιο εξωτερικό εξισορρόπηση φορτίου HTTP (S) με ένα backend υπολογιστών υπολογισμού
    • Ρυθμίστε ένα παγκόσμιο εξωτερικό εξισορρόπηση φορτίου HTTP (S) (κλασικό) με ένα backend υπολογιστών
    • Ρυθμίστε έναν εξωτερικό εξισορρόπηση φορτίου SSL

    Ή μπορείτε να το χρησιμοποιήσετε για να ενημερώσετε έναν υπάρχοντα εξισορροπητή φορτίου, όπως περιγράφεται εδώ:

    Κονσόλα

    Όταν ενημερώνετε ένα παγκόσμιο εξωτερικό εξισορρόπηση φορτίου HTTP (S) ή εξωτερικό εξισορροπητή φορτίου SSL χρησιμοποιώντας την κονσόλα Google Cloud, το Google Cloud συνδέει αυτόματα το πιστοποιητικό SSL με το σωστό Proxy Target.

    1. μεταβείτε στο Εξισορρόπηση φορτίου Σελίδα στην κονσόλα Google Cloud.
       Μεταβείτε στην εξισορρόπηση φορτίου
    2. Κάντε κλικ στο όνομα του εξισορροπητή φορτίου σας.
    3. Κάντε κλικ Επεξεργασία επεξεργασία .
    4. Κάντε κλικ Διαμόρφωση frontend.
    5. Κάντε κλικ στο σωστό εμπρόσθιο άκρο (πρέπει να είναι HTTPS, HTTP/2, SSL).
    6. Κάντε κλικ Πρόσθετα πιστοποιητικά, και επιλέξτε το πιστοποιητικό που διαχειρίζεται το Google από την αναπτυσσόμενη λίστα.
    7. Κάντε κλικ Δημιουργώ.

    γελοία

    Για να συσχετίσετε ένα πιστοποιητικό SSL με τον πληρεξούσιο HTTPS Target για ένα παγκόσμιο εξωτερικό εξισορρόπηση φορτίου HTTP (S), χρησιμοποιήστε την εντολή ενημέρωσης GCLOUD-COMPUTE-HTTPS-Proxies με τις ενημέρωσης-GLOBAL-SSL και-GLOBAL σημαίες:

    GCLOUD COMPUTE TARGET-HTTPS-PROXIES UPDATE Target_proxy_name \--SSL-Cerficates SSL_Certificate_list \-Global-SSL-Certificates \-Global

    Για να συσχετίσετε ένα πιστοποιητικό SSL με τον προορισμό SSL Proxy για έναν εξωτερικό εξισορροπητή φορτίου SSL Proxy, χρησιμοποιήστε την εντολή ενημέρωσης GCLOUD COMPUTE TARGET-SSL-PROXIES:

    Η ενημέρωση GCLOUD COMPUTE TARGET-SSL-PROXIES Target_proxy_name \--SSL-Cerficates SSL_Certificate_list 

    Αντικαταστήστε τα εξής:

    • Target_proxy_name: Το όνομα του proxy του εξισορρόπησης φορτίου
    • SSL_Certificate_List: Μια λίστα με τους πόρους πιστοποιητικού SSL SSL Βεβαιωθείτε ότι ο κατάλογος των πιστοποιητικών που αναφέρεται περιλαμβάνει όλα τα παλαιότερα έγκυρα πιστοποιητικά SSL καθώς και το νέο πιστοποιητικό SSL. Το GCLOUD COMPUTE TARGET-SSL-PROXIES UPDATE COMMAND υπερισχύει τις αρχικές τιμές για-SSL-Cerficates με τη νέα τιμή.

    Τερματοφύλακα

    Για να δημιουργήσετε τον πληρεξούσιο HTTPS Target, χρησιμοποιήστε τον πόρο Google_compute_target_https_proxy.

    Για να δημιουργήσετε το Proxy Target SSL, χρησιμοποιήστε τον πόρο Google_compute_target_ssl_proxy.

    Πόρος "Google_compute_target_https_proxy" "LB_Default"

    Κάθε πληρεξούσιος πληρεξούσιος HTTPS ή στόχος SSL πρέπει να αναφέρει τουλάχιστον ένα πιστοποιητικό SSL. Ένας πληρεξούσιος στόχος μπορεί να αναφέρει περισσότερα από ένα πιστοποιητικό SSL. Για λεπτομέρειες, ανατρέξτε στις πισίνες στόχων και στους στόχους πληρεξούσιους στις ποσοστώσεις και τα όρια εξισορρόπησης φορτίου.

    Σπουδαίος: Για τους εξωτερικούς εξισορρόπους φορτίου SSL με πιστοποιητικά SSL που διαχειρίζονται την Google, ο κανόνας προώθησης του φορτίου πρέπει να χρησιμοποιεί τη θύρα TCP 443 για το πιστοποιητικό που διαχειρίζεται το Google να αρχικά να προσληφθεί και να ανανεωθεί αυτόματα.

    Βήμα 3: Επαληθεύστε τη σύνδεση Proxy Target

    Αφού δημιουργήσετε ή ενημερώσετε τον εξισορροπητή φορτίου σας, μπορείτε να βεβαιωθείτε ότι το πιστοποιητικό SSL συνδέεται με τον πληρεξούσιο στόχο του φορτίου φορτίου σας.

    Εάν δεν γνωρίζετε ήδη το όνομα του Proxy Target, χρησιμοποιήστε τη λίστα GCLOUD COMPUTE TARGET-HTTPS-PROXIES και GCLOUD COMPUTE TARGET-SSL-PROXIES LIST COMMONDS για να απαριθμήσετε τους στόχους πληρεξούσιους στο έργο σας.

    Επαληθεύστε τη συσχέτιση μεταξύ του πιστοποιητικού SSL και του πληρεξούσιου στόχου εκτελώντας την ακόλουθη εντολή.

    Για παγκόσμιους εξωτερικούς εξισορρόπους φορτίου HTTP (S):

    Περιγράψτε το GCLOUD COMPUTE-HTTPS-Proxies Target_https_proxy_name \ -global \ - -format = "get (sslCertificates)"

    Για εξωτερικούς ssl balancers φορτίου μεσολάβησης SSL:

    Περιγράψτε το GCLOUD COMPUTE-SSL-Proxies Target_ssl_proxy_name \ - -format = "get (sslCertificates)"

    Σε αυτό το σημείο, η κατάσταση του πιστοποιητικού που διαχειρίζεται το Google ενδέχεται να εξακολουθεί να είναι παροχή . Το Google Cloud συνεργάζεται με την Αρχή Πιστοποιητικών για την έκδοση του πιστοποιητικού. Η παροχή πιστοποιητικού που διαχειρίζεται το Google ενδέχεται να διαρκέσει έως και 60 λεπτά.

    Βήμα 4: Ενημερώστε τα αρχεία DNS A και AAAA για να δείξετε τη διεύθυνση IP Balancer του φορτίου

    Τα αρχεία DNS σας ενδέχεται να διαχειρίζονται στον ιστότοπό σας, το DNS Host ή το ISP. Όπου διαχειρίζονται τα αρχεία DNS σας, φροντίστε να προσθέσετε ή να ενημερώσετε τα αρχεία DNS (για IPv4) και DNS AAAA Records (για IPv6) για τους τομείς σας και τυχόν υποτομείς.

    Βεβαιωθείτε ότι τα αρχεία δείχνουν τη διεύθυνση IP που σχετίζεται με τον κανόνα προώθησης του φορτίου φορτίου ή τους κανόνες χρησιμοποιώντας ένα αρχείο A/AAAA.

    Εάν έχετε πολλούς τομείς σε πιστοποιητικό που διαχειρίζεται το Google, προσθέστε ή ενημερώστε τα αρχεία DNS για όλους τους τομείς και τους υποτομείς. Όλοι πρέπει να επισημάνουν τη διεύθυνση IP του εξισορρόπησης φορτίου σας.

    Τα διαχειριζόμενα πιστοποιητικά μπορούν να παρέχουν επιτυχώς εάν τα ακόλουθα είναι αληθινά:

    • Τα αρχεία DNS του τομέα σας χρησιμοποιούν ένα αρχείο CNAME που δείχνει έναν άλλο τομέα.
    • Ο άλλος τομέας περιέχει ένα αρχείο A ή AAAA που δείχνει τη διεύθυνση IP του εξισορρόπησης φορτίου σας.

    Μπορείτε να επαληθεύσετε τη ρύθμισή σας εκτελώντας την εντολή DIG. Για παράδειγμα, ας υποθέσουμε ότι ο τομέας σας είναι www.παράδειγμα.com . Εκτελέστε την ακόλουθη εντολή DIG:

    σκάψτε www.παράδειγμα.com

    ; > Dig 9.10.6> www.παράδειγμα.com ;; Παγκόσμιες επιλογές: +CMD ;; Έλαβα απάντηση: ;; ->> κεφαλίδα
    
    Σε αυτό το παράδειγμα, 34.95.64.10 είναι η διεύθυνση IP του εξισορρόπησης φορτίου σας.
    Οι διαλυτές DNS στο Διαδίκτυο βρίσκονται εκτός του ελέγχου του Google Cloud. Προσωθούν τα σύνολα αρχείων πόρων σας σύμφωνα με το χρόνο τους για να ζήσουν (TTL), πράγμα που σημαίνει ότι μια εντολή DIG ή NSLOOKUP μπορεί να επιστρέψει μια προσωρινή τιμή. Εάν χρησιμοποιείτε το σύννεφο DNS, ανατρέξτε στην ενότητα διάδοση αλλαγών.
    Χρόνος διάδοσης αρχείων DNS
    
    Τα πρόσφατα ενημερωμένα αρχεία DNS A και AAAA μπορούν να πάρουν ένα σημαντικό χρονικό διάστημα για να διαδοθούν πλήρως. Μερικές φορές η διάδοση στο Διαδίκτυο διαρκεί έως και 72 ώρες παγκοσμίως, αν και συνήθως διαρκεί λίγες ώρες.
    Επαναλάβετε την ακόλουθη εντολή:
    Περιγράψτε το GCLOUD COMPUTE SSL Πιστοποιητικό \ - -format = "get (διαχειρίζεται.domainstatus) "
     
     
    Εάν η κατάσταση τομέα σας είναι αποτυχημένη_NOT_VISIBLE, μπορεί να οφείλεται στο γεγονός ότι η διάδοση δεν είναι πλήρης.
     
    Βήμα 5: Δοκιμάστε με το OpenSSL
     
     
    Αφού οι καταστάσεις του πιστοποιητικού και του τομέα είναι ενεργά, μπορεί να χρειαστούν έως και 30 λεπτά για να αρχίσει ο εξισορρόπησης φορτίου σας χρησιμοποιώντας το πιστοποιητικό SSL που διαχειρίζεται το Google.
     
    Για να δοκιμάσετε, εκτελέστε την ακόλουθη εντολή OpenSSL, αντικαθιστώντας τον τομέα με το όνομα DNS και το IP_ADDREDS με τη διεύθυνση IP του φορτίου σας Balancer.
     
    Echo | OpenSSL S_Client -ShowCerts -ServerName ΤΟΜΕΑ -συνδέω-συωδεομαι ΔΙΕΥΘΥΝΣΗ IP: 443 -Βεβαιωθείτε ότι 99 -verify_return_error
     
     
    Αυτή η εντολή εξάγει τα πιστοποιητικά που παρουσιάζει ο εξισορροπητής φορτίου στον πελάτη. Μαζί με άλλες λεπτομερείς πληροφορίες, η έξοδος πρέπει να περιλαμβάνει την αλυσίδα πιστοποιητικών και να επαληθεύσει τον κωδικό επιστροφής: 0 (OK) .
     
    Πρόσθετες διαδικασίες
     
     
    Αυτή η ενότητα περιέχει πρόσθετες διαδικασίες για τη διαχείριση των πιστοποιητικών σας.
     
    Υποστήριξη πολλών τομέων με πιστοποιητικό SSL που διαχειρίζεται το Google
     
     
    Υποστηρίζονται πολλά θέματα εναλλακτικά ονόματα. Κάθε πιστοποιητικό SSL που διαχειρίζεται το Google υποστηρίζει τον μέγιστο αριθμό τομέων ανά πιστοποιητικό SSL που διαχειρίζεται το Google.
     
    Εάν έχετε περισσότερο από τον μέγιστο αριθμό τομέων, πρέπει να ζητήσετε πολλαπλά πιστοποιητικά που διαχειρίζονται την Google. Για παράδειγμα, εάν προσπαθήσετε να δημιουργήσετε ένα πιστοποιητικό που διαχειρίζεται το Google με (το μέγιστο + 1) τομείς, η Google δεν εκδίδει πιστοποιητικά. Αντ 'αυτού, πρέπει να δημιουργήσετε δύο ή περισσότερα πιστοποιητικά που διαχειρίζονται το Google και να δηλώσετε ρητά ποιοι τομείς συνδέονται με κάθε πιστοποιητικό.
     
    Το Google Cloud υλοποιεί την ένδειξη ονόματος διακομιστή (SNI), όπως ορίζεται στο RFC 6066.
     
    Εάν κάποιος από τους τομείς ή τους υποτομείς σε ένα διαχειριζόμενο πιστοποιητικό δεν δείχνει τη διεύθυνση IP του εξισορρόπησης φορτίου, η διαδικασία ανανέωσης αποτυγχάνει. Για να αποφύγετε την αποτυχία ανανέωσης, βεβαιωθείτε ότι όλοι οι τομείς και οι υποτομείς σας δείχνουν τη διεύθυνση IP του εξισορρόπησης φορτίου.
     
    Ανανεώστε ένα πιστοποιητικό SSL που διαχειρίζεται το Google
     
     
    Οι διατάξεις Google Cloud διαχειρίζονται πιστοποιητικά που ισχύουν για 90 ημέρες. Περίπου ένα μήνα πριν από τη λήξη, αρχίζει αυτόματα η διαδικασία ανανέωσης του πιστοποιητικού σας. Για το λόγο αυτό, επιλέγεται μια αρχή πιστοποιητικών (CA) που είναι και η οποία είναι και η αρχεία DNS Acterize Actainity της Αρχής Πιστοποίησης (CAA) και στον κατάλογο CAS.
     
    Το CA που χρησιμοποιείται για ανανέωση μπορεί να είναι διαφορετική από την ΑΠ που χρησιμοποιείται για την έκδοση προηγούμενης έκδοσης του πιστοποιητικού που διαχειρίζεται το Google. Μπορείτε να ελέγξετε την CA που χρησιμοποιεί το Google Cloud για ανανέωση εξασφαλίζοντας ότι η εγγραφή CAA DNS του τομέα σας καθορίζει ένα μόνο CA από τη λίστα των CAS που χρησιμοποιούν τα πιστοποιητικά που διαχειρίζονται την Google.
     
    Εάν κάποιος από τους τομείς ή τους υποτομείς σε ένα διαχειριζόμενο πιστοποιητικό δεν δείχνει τη διεύθυνση IP του εξισορρόπησης φορτίου, η διαδικασία ανανέωσης αποτυγχάνει. Για να αποφύγετε την αποτυχία ανανέωσης, βεβαιωθείτε ότι όλοι οι τομείς και οι υποτομείς σας δείχνουν τη διεύθυνση IP του εξισορρόπησης φορτίου.
     
    Καθορίστε το CAS που μπορεί να εκδώσει το πιστοποιητικό που διαχειρίζεται το Google
     
     
    Στο λογισμικό DNS σας συνιστούμε να εξουσιοδοτήσετε ρητά το CAS που θέλετε να επιτρέψετε να εκδώσετε το πιστοποιητικό που διαχειρίζεται το Google. Αν και δεν απαιτείται σε κάθε σενάριο, αυτό είναι απαραίτητο σε ορισμένες καταστάσεις.
     
    Για παράδειγμα, εάν χρησιμοποιείτε μια εξωτερική υπηρεσία DNS και το πιστοποιητικό που διαχειρίζεται το Google ανακαλείται, η υπηρεσία μπορεί να επικυρώσει μόνο ένα νέο πιστοποιητικό που εκδίδεται από ένα ή πιο συγκεκριμένα CAS.
     
    Για να το κάνετε αυτό, δημιουργήστε ή τροποποιήστε ένα αρχείο CAA για να συμπεριλάβετε το PKI.goog ή letsencrypt.org ή και τα δύο. Εάν δεν έχετε εγγραφή CAA, η προεπιλεγμένη συμπεριφορά είναι να επιτρέψετε και τα δύο PKI.Goog και Letsencrypt.org .
     
    ΤΟΜΕΑ. CAA 0 Θέμα "PKI.Goog " ΤΟΜΕΑ. CAA 0 θέμα "Letsencrypt.org "
     
     
    Υποστήριξη για letsencrypt.Τα πιστοποιητικά org παρέχονται με βάση την καλύτερη προσπάθεια. Για καλύτερη αξιοπιστία, επιτρέψτε και τα δύο PKI.Goog και Letsencrypt.org . Εάν καθορίσετε μόνο ένα από τα CAS, μόνο ότι η CA χρησιμοποιείται για τη δημιουργία και την ανανέωση του πιστοποιητικού σας. Αυτή η προσέγγιση δεν συνιστάται.
     
    Όταν δημιουργείτε για πρώτη φορά το πιστοποιητικό σας, το Google Cloud επιλέγει είτε PKI.goog ή letsencrypt.org και το χρησιμοποιεί για να εκδώσει το πιστοποιητικό σας. Όταν η Google ανανεώνει το πιστοποιητικό σας, το πιστοποιητικό σας μπορεί να εκδοθεί από την άλλη ΑΠ, ανάλογα με το CAS που έχετε καθορίσει στο αρχείο CAA (εάν δημιουργήσατε ένα). Το πιστοποιητικό σας μπορεί να ανανεωθεί από διαφορετική ΑΠ σε οποιαδήποτε από τις ακόλουθες περιπτώσεις:
     
     
    Δεν έχετε αρχείο DNS CAA για τον τομέα σας.
     
    Έχετε συμπεριλάβει και τα δύο CAS στο αρχείο DNS CAA.
     
     
    Για περισσότερες πληροφορίες, ανατρέξτε στην εγγραφή RFC, CAA DNS.
     
    letsencrypt.org εκδίδει διεθνοποιημένα ονόματα τομέα (IDNS). PKI.Το Goog δεν υποστηρίζει αυτήν τη στιγμή IDNs.
     
    Εάν χρησιμοποιείτε το σύννεφο DNS, μάθετε πώς να προσθέσετε μια εγγραφή και βεβαιωθείτε ότι έχετε ρυθμίσει τη σημαία -τύπος σε CAA .
     
    Σημείωση: Όταν προσθέτετε μια CA στο αρχείο CAA, μπορεί να χρειαστεί σημαντικός χρόνος για να διαδοθεί αυτή η DNS και να το κάνει ορατό στην CA. Ως αποτέλεσμα, η διαδικασία ανανέωσης του πιστοποιητικού μπορεί αρχικά να αποτύχει, αλλά τελικά επιτυγχάνει. Για περισσότερες πληροφορίες, ανατρέξτε στην ενότητα Αντιμετώπιση πιστοποιητικών SSL.
     
    Αντικαταστήστε ένα υπάρχον πιστοποιητικό SSL
     
     
    Για να αντικαταστήσετε ένα υπάρχον πιστοποιητικό SSL:
     
     
    Ξεκινήστε τη διαδικασία για τη δημιουργία του πιστοποιητικού SSL που διαχειρίζεται το Google Google. Αυτό το πιστοποιητικό δεν ενεργοποιείται σε αυτό το σημείο.
     
    Ενημερώστε τον πληρεξούσιο στόχο έτσι ώστε ο κατάλογος των πιστοποιητικών που αναφέρεται να περιλαμβάνει το πιστοποιητικό αντικατάστασης SSL μαζί με τα τρέχοντα πιστοποιητικά SSL. Τα βήματα για την ενημέρωση του διακομιστή μεσολάβησης στόχου ποικίλλουν, ως εξής: 
     
    Ενημερώστε έναν πληρεξούσιο HTTPS Target HTTPS
     
    Ενημερώστε έναν πληρεξούσιο SSL στόχου
     
     
    Σημείωση: Για να συνεχίσει να εξυπηρετεί την κυκλοφορία, ο πληρεξούσιος στόχος πρέπει να συνεχίσει να αναφέρεται στα τρέχοντα πιστοποιητικά SSL. Για το πιστοποιητικό αντικατάστασης για την ολοκλήρωση της διαδικασίας παροχής, ο πληρεξούσιος στόχος πρέπει να αναφέρεται επίσης στο πιστοποιητικό αντικατάστασης.
     
     
    Περιμένετε το πιστοποιητικό αντικατάστασης SSL να ολοκληρώσει την παροχή. Η παροχή μπορεί να διαρκέσει έως και 60 λεπτά. Όταν ολοκληρωθεί η παροχή, η κατάσταση του πιστοποιητικού γίνεται ενεργή . Σημείωση: Η παροχή πιστοποιητικού που διαχειρίζεται το Google ενδέχεται να διαρκέσει 60 λεπτά Από τη στιγμή που οι αλλαγές διαμόρφωσης εξισορρόπησης DNS και φορτίου έχουν διαδοθεί σε ολόκληρο το διαδίκτυο. Εάν έχετε ενημερώσει πρόσφατα τη διαμόρφωση DNS, μπορεί να χρειαστεί σημαντικός χρόνος για τις αλλαγές στο πλήρως διαδίδομαι. Μερικές φορές η διάδοση διαρκεί έως και 72 ώρες παγκοσμίως, αν και συνήθως διαρκεί μερικές ώρες. Για περισσότερες πληροφορίες σχετικά με τη διάδοση του DNS, ανατρέξτε στην ενότητα διάδοση αλλαγών.
     
    Περιμένετε επιπλέον 30 λεπτά για να βεβαιωθείτε ότι το πιστοποιητικό αντικατάστασης είναι διαθέσιμο σε όλα τα μέτωπα Google (GFES).
     
    Ενημερώστε τον πληρεξούσιο στόχο για να καταργήσετε το πιστοποιητικό SSL που αντικαθιστάτε από τη λίστα αναφερόμενων πιστοποιητικών. Τα βήματα για την ενημέρωση ενός διακομιστή μεσολάβησης στόχου ποικίλλουν, ως εξής: 
     
    Ενημερώστε έναν πληρεξούσιο HTTPS Target HTTPS
     
    Ενημερώστε έναν πληρεξούσιο SSL στόχου
     
     
     
    Περιμένετε 10 λεπτά και επιβεβαιώστε ότι ο εξισορροπητής φορτίου χρησιμοποιεί το πιστοποιητικό αντικατάστασης SSL αντί για το παλιό.
     
    Ενημερώστε ξανά τον πληρεξούσιο στόχο, αφαιρώντας τον παλιό πόρο πιστοποιητικού SSL. Μπορείτε να διαγράψετε τον πόρο του πιστοποιητικού SSL εάν δεν αναφέρεται πλέον από κανέναν πληρεξούσιο στόχου.
     
     
    Εάν δεν διαγράψετε το παλιό πιστοποιητικό SSL, παραμένει ενεργό μέχρι να λήξει.
     
    Μεταναστεύστε από αυτοδιαχειριζόμενα πιστοποιητικά SSL σε πιστοποιητικά SSL που διαχειρίζονται το Google
     
     
    Όταν μεταφέρετε έναν εξισορρόπηση φορτίου από τη χρήση πιστοποιητικών SSL που διαχειρίζονται αυτοδιαχείριση σε πιστοποιητικά SSL που διαχειρίζονται την Google, πρέπει να εκτελέσετε τα παρακάτω βήματα σε αυτήν την ακολουθία:
     
     
    Δημιουργήστε ένα νέο πιστοποιητικό που διαχειρίζεται το Google.
     
    Συνδέστε το νέο πιστοποιητικό που διαχειρίζεται το Google με το σωστό πληρεξούσιο στόχο διατηρώντας παράλληλα τη σχέση του Proxy Target με το υπάρχον πιστοποιητικό αυτοδιαχειριζόμενου.
     
    Περιμένετε έως ότου η κατάσταση πιστοποιητικού που διαχειρίζεται το Google είναι ενεργή .
     
    Περιμένετε 30 λεπτά για να επιτρέψετε στο νέο πιστοποιητικό να διαδοθεί στην εξυπηρέτηση των Front Ends (GFES)
     
    Ενημερώστε ξανά τον πληρεξούσιο Target, αφαιρώντας τον πόρο πιστοποιητικού που έχει διαχειριστεί αυτοδιαχείριση. Μπορείτε να διαγράψετε τον αυτοδιαχειριζόμενο πόρο πιστοποιητικού SSL εάν δεν αναφέρεται πλέον από οποιοδήποτε πληρεξούσιο στόχο.
     
     
    Διαγράψτε ένα πιστοποιητικό SSL
     
     
    Πριν διαγράψετε ένα πιστοποιητικό SSL, βεβαιωθείτε ότι δεν αναφέρεται αυτό το πιστοποιητικό κανένα πιστοποιητικό HTTPS ή SSL. Μπορείτε να το κάνετε αυτό με δύο τρόπους:
     
     
    Διαγράψτε τους στόχους πληρεξούσιους που αναφέρονται σε αυτό το πιστοποιητικό.
     
    Ενημερώστε τους στόχους πληρεξούσιους που αναφέρονται σε αυτό το πιστοποιητικό για να το αποκλείσουν. Τα βήματα ποικίλλουν, ως εξής: 
     
    Ενημερώστε έναν πληρεξούσιο στόχο HTTPS.
     
    Ενημερώστε έναν πληρεξούσιο στόχο SSL.
     
     
    Για να διαγράψετε ένα ή περισσότερα πιστοποιητικά SSL:
     
    Κονσόλα
     
     
    Μπορείτε να διαγράψετε τα παγκόσμια πιστοποιητικά SSL στο Κλασικά πιστοποιητικά καρτέλα στο Διαχειριστής πιστοποιητικών σελίδα.
     
     
    μεταβείτε στο Κλασικά πιστοποιητικά καρτέλα στην κονσόλα Google Cloud. 
    Μεταβείτε σε κλασικά πιστοποιητικά
     
    Επιλέξτε το πιστοποιητικό SSL που θέλετε να διαγράψετε.
     
    Κάντε κλικ στο Delete Διαγράφω.
     
    Για να επιβεβαιώσετε, κάντε κλικ στο κουμπί Διαγραφή Διαγράφω πάλι.
     
     
    γελοία
     
     
    Για να διαγράψετε ένα παγκόσμιο πιστοποιητικό SSL (για παγκόσμια εξωτερική εξισορρόπηση φορτίου HTTP (S) ή εξωτερικούς εξισορρόπους φορτίου SSL), χρησιμοποιήστε την εντολή Delete Compute Compute Compute Compute SSL με την εντολή-GLOBAL:
     
    Το GCLOUD COMPUTE SSL-Certificates Delete Πιστοποιητικό \ --παγκόσμια
     
     
    Αντικαταστήστε τα εξής:
     
     
    Πιστοποιητικό_Name: Το όνομα του πιστοποιητικού SSL
     
     
    Τι έπεται
     
     
     
    Για την αντιμετώπιση προβλημάτων πιστοποιητικών SSL, ανατρέξτε στην ενότητα Αντιμετώπιση προβλημάτων πιστοποιητικά SSL.
     
    Για να χρησιμοποιήσετε ένα σενάριο terraform που δημιουργεί ένα πιστοποιητικό που διαχειρίζεται το Google, ανατρέξτε στο παράδειγμα του cloud run on the Παραδείγματα μονάδων Terraform για εξωτερικό εξισορρόπηση φορτίου HTTP (S) σελίδα.
     
     
    Στείλετε τα σχόλιά σας
     
    Εκτός αν αναφέρεται διαφορετικά, το περιεχόμενο αυτής της σελίδας έχει άδεια χρήσης στο Creative Commons Attribution 4.0 Άδεια και δείγματα κώδικα έχουν άδεια χρήσης στο Apache 2.0 άδεια. Για λεπτομέρειες, ανατρέξτε στις πολιτικές ιστότοπου Google Developers Site. Η Java είναι σήμα κατατεθέν της Oracle ή/και των θυγατρικών της.
     
    Τελευταία ενημέρωση 2023-05-08 UTC.
     
    Τα πιστοποιητικά SSL του Google εκδίδουν
     
     
     
     
    Απλά βήματα για να εξασφαλίσετε τον ιστότοπό σας
     
    Οποιοσδήποτε τομέας εγγραφείτε με τους τομείς Google έρχεται με προστασία από την προστασία της ιδιωτικής ζωής, με ένα κλικ στο DNSSEC και την επαλήθευση Google 2 βημάτων-όλα χωρίς πρόσθετο κόστος. Αν εσύ’Ξεκινώντας ένα πλευρικό έργο ή επέκταση της επιχείρησής σας’S online παρουσία, εδώ είναι μερικά εύκολα βήματα που μπορείτε να κάνετε για να προστατεύσετε καλύτερα τον ιστότοπό σας.
     
    Λάβετε ένα πιστοποιητικό SSL για να κρυπτογραφήσετε τον ιστότοπό σας
     
    Ασφαλίστε τον ιστότοπό σας και προστατεύστε τους χρήστες σας’ Πληροφορίες με κρυπτογράφηση HTTPS εγκαθιστώντας ένα πιστοποιητικό SSL. Ένα πιστοποιητικό SSL διατηρεί ευαίσθητες πληροφορίες όπως τα δεδομένα πιστωτικής κάρτας ιδιωτικά με την περιέργεια των δεδομένων, καθώς ταξιδεύει προς και από τον ιστότοπό σας. Και η κρυπτογράφηση HTTPS εξασφαλίζει ότι κανείς δεν μπορεί να έχει πρόσβαση ή να παρακολουθεί τις επικοινωνίες προς ή από τον ιστότοπό σας.
     
     
     
    Προστατέψτε τον ιστότοπό σας από την απογύμνωση SSL
     
    Η εγκατάσταση ενός πιστοποιητικού SSL είναι απαραίτητη, αλλά το SSL μόνο δεν είναι’T εντελώς hack-proof: Θα πρέπει επίσης να χρησιμοποιήσετε HSTS-PRELOADING. Χωρίς HSTS, κάποιος μπορεί να προσπαθήσει να απογυμνώσει τον ιστότοπό σας του πιστοποιητικού SSL, ώστε να μπορεί να φορτώσει τις σελίδες σας μέσω HTTP (αντί HTTPS). Ο καλύτερος τρόπος για να προστατεύσετε τον ιστότοπό σας από την απογύμνωση SSL είναι να χρησιμοποιήσετε ένα όνομα τομέα HSTS-PRELOADED ή να προσθέσετε τον ιστότοπό σας στη λίστα HSTS-PRELOAD (μια λίστα με ιστότοπους που φορτώνουν τα σύγχρονα προγράμματα περιήγησης σε κρυπτογραφημένη σύνδεση). Εδώ είναι δύο τρόποι για να φτάσετε στη λίστα HSTS-Preload:
     
     
     
    Καταγράψτε ένα όνομα τομέα που’S HSTS-Preloaded (συνιστάται)
     
    Ο ταχύτερος τρόπος για να φτάσετε στη λίστα HSTS-Preload είναι να χρησιμοποιήσετε έναν τομέα που τελειώνει όπως .εφαρμογή, .dev, ή .σελίδα ότι’ήδη στη λίστα. Οποιοσδήποτε ιστότοπος με τομέα ανώτατου επιπέδου (TLD) στη λίστα προστατεύεται αυτόματα από HSTS-PRELoading.
     
     
     
    Προσθέστε τον ιστότοπό σας στη λίστα
     
    Οι ιδιοκτήτες ιστότοπων μπορούν να προσθέσουν μεμονωμένα τον ιστότοπό τους στη λίστα HSTS-Preload στο HSTSPRELOAD.org. Αλλά να έχετε κατά νου, αυτή είναι μια αργή διαδικασία, αφού οι ενημερώσεις στη λίστα ενδέχεται να μην αναγνωρίζονται από ένα πρόγραμμα περιήγησης μέχρι μια ενημέρωση ή μια νέα έκδοση. Μπορεί να χρειαστούν μήνες για όλα τα σύγχρονα προγράμματα περιήγησης να αναγνωρίσουν ότι ο ιστότοπός σας έχει προστεθεί.