Questo tutorial descrive come utilizzare Gestore certificati per eseguire il deployment di un certificato autogestito su un bilanciatore del carico delle applicazioni esterno regionale o su un bilanciatore del carico delle applicazioni interno regionale.
Per eseguire il deployment di un certificato su un bilanciatore del carico delle applicazioni esterno regionale o su una Application Load Balancer interno regionale, collega il certificato direttamente al proxy di destinazione. Per eseguire il deployment di un certificato su un bilanciatore del carico delle applicazioni esterno globale, crea una mappa di certificati e alleghiamo la mappa al proxy di destinazione. Per ulteriori informazioni, vedi Esegui il deployment di un certificato autogestito.
Obiettivi
Questo tutorial illustra come:
- Carica un certificato autogestito in Gestore certificati.
- Esegui il deployment del certificato su un bilanciatore del carico delle applicazioni esterno regionale o su un bilanciatore del carico delle applicazioni interno regionale utilizzando un proxy HTTPS di destinazione.
Per ulteriori informazioni sul processo di deployment dei certificati, consulta Panoramica del deployment.
Prima di iniziare
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
Assicurati di disporre dei seguenti ruoli per completare le attività in questo tutorial:
- Proprietario Certificate Manager: obbligatorio per creare e gestire le risorse del Gestore certificati.
- Amministratore bilanciatore del carico Compute o Amministratore rete Compute: obbligatorio per creare e gestire il proxy di destinazione HTTPS.
Per ulteriori informazioni, consulta le seguenti risorse:
- Ruoli e autorizzazioni per Gestore certificati
- Ruoli e autorizzazioni IAM di Compute Engine per Compute Engine
crea il bilanciatore del carico
Crea il bilanciatore del carico in cui vuoi eseguire il deployment del certificato.
- Per creare un bilanciatore del carico delle applicazioni esterno regionale, vedi Configurare un bilanciatore del carico delle applicazioni esterno regionale con backend di gruppi di istanze VM.
- Per creare un bilanciatore del carico delle applicazioni interno regionale, consulta Configurare un bilanciatore del carico delle applicazioni interno regionale con backend di gruppi di istanze VM.
Il resto di questo tutorial presuppone che tu abbia già configurato i backend, il controllo di integrità, il servizio di backend e la mappa URL del bilanciatore del carico. Prendi nota del nome della mappa di URL, perché ti servirà più avanti in questo tutorial.
Richiedi e convalida un certificato
Per richiedere e convalidare un certificato autogestito:
Utilizza un'autorità di certificazione (CA) di terze parti attendibile per emettere il certificato insieme alla chiave associata.
Verifica che il certificato sia correttamente concatenato e attendibile.
Prepara i seguenti file con codifica PEM:
- Il file del certificato (CRT)
- Il file della chiave privata corrispondente (KEY)
Per informazioni su come richiedere e convalidare un certificato, consulta Crea una chiave privata e un certificato.
Carica un certificato autogestito in Gestore certificati
Console
Nella console Google Cloud, vai alla pagina Gestore certificati.
Nella pagina visualizzata, seleziona la scheda Certificati.
Fai clic su Aggiungi certificato.
Inserisci un Nome per il certificato.
Questo nome deve essere univoco per il progetto.
(Facoltativo) Inserisci la descrizione del certificato. La la descrizione ti consente di identificare un certificato specifico in un secondo momento.
Per Località, scegli Regionale.
Dall'elenco Regione, seleziona una regione.
In Tipo di certificato, scegli Crea certificato autogestito.
Per il campo Certificato, esegui una delle seguenti operazioni:
- Fai clic sul pulsante Carica e seleziona il file in formato PEM. del certificato.
- Copia e incolla i contenuti di un certificato in formato PEM. La
i contenuti devono iniziare con
-----BEGIN CERTIFICATE-----
e terminare con-----END CERTIFICATE-----
.
Per il campo Certificato di chiave privata, esegui una delle seguenti operazioni:
- Fai clic sul pulsante Carica e seleziona la tua chiave privata. Il tuo la chiave privata deve essere in formato PEM e non deve essere protetta con una passphrase.
- Copia e incolla i contenuti di una chiave privata in formato PEM. La
le chiavi private devono iniziare con
-----BEGIN PRIVATE KEY-----
e terminano con-----END PRIVATE KEY-----
.
Specifica un'etichetta da associare al certificato. Se necessario, puoi aggiungere più di un'etichetta. Per aggiungere un'etichetta, fai clic sull'icona add_box Aggiungi etichetta e specifica
key
evalue
per l'etichetta.Fai clic su Crea. Verifica che il nuovo certificato sia presente nell'elenco dei certificati.
gcloud
Per caricare il certificato in Gestore certificati, esegui il seguente comando:
gcloud certificate-manager certificates create CERTIFICATE_NAME
--certificate-file="CERTIFICATE_FILE"
--private-key-file="PRIVATE_KEY_FILE"
--location="REGION"
Sostituisci quanto segue:
CERTIFICATE_NAME
: un nome univoco del certificatoCERTIFICATE_FILE
: il percorso e il nome del file del certificato CRTPRIVATE_KEY_FILE
: il percorso e il nome file del file della chiave privata KEYREGION
: la regione Google Cloud di destinazione
Esegui il deployment del certificato autogestito su un bilanciatore del carico
Per eseguire il deployment del certificato autogestito, crea un proxy di destinazione HTTPS e allegalo al certificato.
Crea il proxy di destinazione HTTPS
Per creare il proxy di destinazione HTTPS e collegare il certificato, esegui questo comando:
gcloud compute target-https-proxies create PROXY_NAME \ --url-map=URL_MAP \ --region=REGION \ --certificate-manager-certificates=CERTIFICATE_NAME
Sostituisci quanto segue:
PROXY_NAME
: un nome univoco del proxy.URL_MAP
: il nome della mappa URL. Hai creato la mappa URL quando ha creato il bilanciatore del carico.REGION
: la regione in cui stai creando il proxy di destinazione HTTPS.CERTIFICATE_NAME
: il nome del certificato.
Per verificare se il proxy target è stato creato, esegui il seguente comando:
gcloud compute list target-https-proxies
Creare una regola di forwarding
Configura una regola di forwarding e completa la configurazione del bilanciatore del carico.
- Se utilizzi un bilanciatore del carico delle applicazioni esterno regionale, vedi Configurare un bilanciatore del carico delle applicazioni esterno regionale con backend di gruppi di istanze VM.
- Se utilizzi un bilanciatore del carico delle applicazioni interno regionale, vedi Configurare un bilanciatore del carico delle applicazioni interno regionale con backend di gruppi di istanze VM.
Esegui la pulizia
Per ripristinare le modifiche apportate in questo tutorial, elimina il certificato caricato:
gcloud certificate-manager certificates delete CERTIFICATE_NAME
Sostituisci CERTIFICATE_NAME
con il nome del certificato di destinazione.