Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Globales selbstverwaltetes Zertifikat bereitstellen

In dieser Anleitung erfahren Sie, wie Sie mit dem Zertifikatmanager ein globales selbstverwaltetes Zertifikat bereitstellen.

Die folgenden Load Balancer unterstützen globale selbstverwaltete Zertifikate:

Globaler externer Application Load Balancer
Klassischer Application Load Balancer
Globaler externer Proxy-Network Load Balancer
Klassischer Proxy-Network Load Balancer

Wenn Sie die Bereitstellung auf regionalen oder regionenübergreifenden Load Balancern vornehmen möchten, finden Sie hier weitere Informationen:

Ziele

In diesem Anleitung werden die folgenden Aufgaben erläutert:

Laden Sie ein selbstverwaltetes Zertifikat in den Zertifikatmanager hoch.

Stellen Sie das Zertifikat mithilfe eines Ziel-HTTPS-Proxys auf einem unterstützten Load Balancer bereit.

Hinweis

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
Roles required to select or create a project
- Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
- Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.
Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector
Verify that billing is enabled for your Google Cloud project.
Enable the Compute Engine, Certificate Manager APIs, if any are not already enabled.
Roles required to enable APIs
To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.
Enable the APIs

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.
Configure the gcloud CLI to use your federated identity.

For more information, see Sign in to the gcloud CLI with your federated identity.
To initialize the gcloud CLI, run the following command:
```
gcloud init
```

Erforderliche Rollen

Sie benötigen die folgenden Rollen, um die Aufgaben in dieser Anleitung auszuführen:

Zertifikatmanager-Inhaber (roles/certificatemanager.owner)

Erforderlich, um Zertifikatmanager-Ressourcen zu erstellen und zu verwalten.
Compute Load Balancer Admin (roles/compute.loadBalancerAdmin) oder Compute Network Admin (roles/compute.networkAdmin)

Erforderlich, um HTTPS-Ziel-Proxys zu erstellen und zu verwalten.

Hier finden Sie weitere Informationen:

Rollen und Berechtigungen für den Zertifikatmanager.
Compute Engine-IAM-Rollen und -Berechtigungen für Compute Engine.

Load Balancer erstellen

In dieser Anleitung wird davon ausgegangen, dass Sie die Backends, Systemdiagnosen, Backend-Dienste und URL-Zuordnungen des Load Balancers bereits erstellt und konfiguriert haben. Wenn Sie einen externen Application Load Balancer erstellt haben, notieren Sie sich den Namen der URL-Zuordnung, da Sie ihn später in dieser Anleitung benötigen.

Wenn Sie den Load Balancer noch nicht erstellt haben, finden Sie auf den folgenden Seiten Informationen dazu:

Informationen zum Erstellen eines globalen externen Application Load Balancers finden Sie unter Globalen externen Application Load Balancer mit VM-Instanzgruppen-Backends einrichten.
Informationen zum Erstellen eines klassischen Application Load Balancers finden Sie unter Klassischen Application Load Balancer mit einem Backend einer verwalteten Instanzgruppe einrichten.
Informationen zum Erstellen eines globalen externen Proxy-Network-Load-Balancers (SSL-Proxy) finden Sie unter Globalen externen Proxy-Network-Load-Balancer (SSL-Proxy) mit VM-Instanzgruppen-Backends einrichten.
Informationen zum Erstellen eines klassischen Proxy-Network-Load-Balancers (SSL-Proxy) finden Sie unter Klassischen Proxy-Network-Load-Balancer (SSL-Proxy) mit VM-Instanzgruppen-Back-Ends einrichten.

Privaten Schlüssel und Zertifikat erstellen

So erstellen Sie einen privaten Schlüssel und ein Zertifikat:

Verwenden Sie eine vertrauenswürdige Zertifizierungsstelle eines Drittanbieters, um das Zertifikat zusammen mit dem zugehörigen Schlüssel auszustellen.
Prüfen Sie, ob das Zertifikat ordnungsgemäß verkettet ist und die Root-Zertifizierungsstelle vertrauenswürdig ist.
Bereiten Sie die folgenden PEM-codierten Dateien vor:
- Die Zertifikatsdatei (CRT)
- Die entsprechende Datei mit dem privaten Schlüssel (KEY)

Informationen zum Anfordern und Validieren eines Zertifikats finden Sie unter Privaten Schlüssel und Zertifikat erstellen.

Selbstverwaltetes Zertifikat in den Zertifikatmanager hochladen

So laden Sie das Zertifikat in den Zertifikatmanager hoch:

Console

Rufen Sie in der Google Cloud Console die Seite Zertifikatmanager auf.

Zum Zertifikatmanager
Klicken Sie auf dem Tab Zertifikate auf Zertifikat hinzufügen.
Geben Sie im Feld Zertifikatsname einen eindeutigen Namen für das Zertifikat ein.
Optional: Geben Sie im Feld Beschreibung eine Beschreibung für das Zertifikat ein. Anhand der Beschreibung können Sie das Zertifikat identifizieren.
Wählen Sie unter Standort die Option Global aus.
Wählen Sie für Bereich die Option Standard aus.
Wählen Sie für Zertifikatstyp die Option Selbstverwaltetes Zertifikat erstellen aus.
Im Feld Zertifikat haben Sie folgende Optionen:
- Klicken Sie auf den Button Hochladen und wählen Sie Ihre PEM-formatierte Zertifikatsdatei aus.
- Kopieren Sie den Inhalt eines PEM-formatierten Zertifikats und fügen Sie ihn ein. Der Inhalt muss mit -----BEGIN CERTIFICATE----- beginnen und mit -----END CERTIFICATE----- enden.
Im Feld Zertifikat für privaten Schlüssel haben Sie folgende Optionen:
- Klicken Sie auf Hochladen und wählen Sie Ihren privaten Schlüssel aus. Der private Schlüssel muss im PEM-Format vorliegen und darf nicht durch eine Passphrase geschützt sein.
- Kopieren Sie den Inhalt des privaten Schlüssels im PEM-Format und fügen Sie ihn ein. Die privaten Schlüssel müssen mit -----BEGIN PRIVATE KEY----- beginnen und mit -----END PRIVATE KEY----- enden.
Geben Sie im Feld Labels die Labels an, die mit dem Zertifikat verknüpft werden sollen. Klicken Sie auf Label hinzufügen, um ein Label hinzuzufügen, und geben Sie einen Schlüssel und einen Wert für das Label an.
Klicken Sie auf Erstellen.

Das neue Zertifikat wird in der Liste der Zertifikate angezeigt.

gcloud

Verwenden Sie zum Erstellen eines globalen selbstverwalteten Zertifikats den Befehl certificate-manager certificates create:

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --certificate-file="CERTIFICATE_FILE" \
    --private-key-file="PRIVATE_KEY_FILE"

Ersetzen Sie Folgendes:

CERTIFICATE_NAME: der Name des Zertifikats.
CERTIFICATE_FILE: der Pfad und der Dateiname der CRT-Zertifikatsdatei.
PRIVATE_KEY_FILE: der Pfad und der Dateiname der privaten Schlüsseldatei.

Terraform

Wenn Sie ein selbstverwaltetes Zertifikat hochladen möchten, können Sie eine google_certificate_manager_certificate-Ressource mit dem Block self_managed verwenden.

API

Laden Sie das Zertifikat hoch, indem Sie eine POST-Anfrage an die Methode certificates.create stellen:

POST /v1/projects/PROJECT_ID/locations/global/certificates?certificate_id=CERTIFICATE_NAME
{
  self_managed: {
    pem_certificate: "PEM_CERTIFICATE",
    pem_private_key: "PEM_KEY",
  }
}

Ersetzen Sie Folgendes:

PROJECT_ID: ID Ihres Projekts in Google Cloud .
CERTIFICATE_NAME: der Name des Zertifikats.
PEM_CERTIFICATE: das Zertifikat-PEM.
PEM_KEY: der Schlüssel-PEM.

Selbstverwaltetes Zertifikat auf einem Load Balancer bereitstellen

Verwenden Sie zum Bereitstellen des globalen selbstverwalteten Zertifikats eine Zertifikatszuordnung.

Zertifikatzuordnung erstellen

Erstellen Sie eine Zertifikatszuordnung, die auf den Zertifikatszuordnungseintrag verweist, der mit Ihrem Zertifikat verknüpft ist:

gcloud

Verwenden Sie zum Erstellen einer Zertifikatzuordnung den Befehl gcloud certificate-manager maps create:

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

Ersetzen Sie CERTIFICATE_MAP_NAME durch den Namen der Zielzertifikatszuordnung.

Terraform

Zum Erstellen einer Zertifikatzuordnung können Sie eine google_certificate_manager_certificate_map-Ressource verwenden.

resource "google_certificate_manager_certificate_map" "certificate_map" {
  name        = "${local.name}-certmap-${random_id.tf_prefix.hex}"
  description = "${local.domain} certificate map"
  labels = {
    "terraform" : true
  }
}

Zertifikatszuordnungseintrag erstellen

Erstellen Sie einen Zertifikatszuordnungseintrag und verknüpfen Sie ihn mit Ihrem Zertifikat und Ihrer Zertifikatszuordnung:

gcloud

Verwenden Sie zum Erstellen eines Zertifikatszuordnungseintrags den Befehl gcloud certificate-manager maps entries create:

gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME" \
    --certificates="CERTIFICATE_NAME" \
    --hostname="HOSTNAME"

Ersetzen Sie Folgendes:

CERTIFICATE_MAP_ENTRY_NAME: Name des Zertifikatszuordnungseintrags.
CERTIFICATE_MAP_NAME: Name der Zertifikatszuordnung, mit der der Zertifikatszuordnungseintrag verknüpft ist.
CERTIFICATE_NAME: der Name des Zertifikats, das Sie mit dem Zertifikatszuordnungseintrag verknüpfen möchten.
HOSTNAME: Hostname, den Sie mit dem Zertifikatszuordnungseintrag verknüpfen möchten.

Wenn Sie ein Zertifikat erstellen möchten, das sowohl eine Platzhalterdomain als auch eine Stammdomain abdeckt, geben Sie den Hostnamen mit einer Stammdomain und einem Platzhalter an, z. B. example.com und *.example.com. Außerdem müssen Sie zwei Zertifikatszuordnungseinträge angeben – einen für example.com und einen für *.example.com.

Terraform

Verwenden Sie zum Erstellen eines Zertifikatszuordnungseintrags mit einer Stammdomain eine google_certificate_manager_certificate_map_entry-Ressource.

resource "google_certificate_manager_certificate_map_entry" "first_entry" {
  name        = "${local.name}-first-entry-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = local.domain
}

Verwenden Sie eine google_certificate_manager_certificate_map_entry-Ressource, um einen Zertifikatszuordnungseintrag mit einer Platzhalterdomain zu erstellen.

resource "google_certificate_manager_certificate_map_entry" "second_entry" {
  name        = "${local.name}-second-entity-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = "*.${local.domain}"
}

Prüfen, ob der Zertifikatszuordnungseintrag aktiv ist

Prüfen Sie, ob der Zertifikatszuordnungseintrag aktiv ist, bevor Sie die entsprechende Zertifikatszuordnung an den Ziel-Proxy anhängen.

Verwenden Sie den Befehl gcloud certificate-manager maps entries describe, um den Zertifikatszuordnungseintrag zu prüfen:

gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"

Ersetzen Sie Folgendes:

CERTIFICATE_MAP_ENTRY_NAME: Name des Zertifikatszuordnungseintrags.
CERTIFICATE_NAME: der Name des Zertifikats, das Sie mit dem Zertifikatszuordnungseintrag verknüpfen möchten.

Die Ausgabe sieht etwa so aus:

certificates:
createTime: '2021-09-06T10:01:56.229472109Z'
hostname: example.com
name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/myCertMapEntry
state: ACTIVE
updateTime: '2021-09-06T10:01:58.277031787Z'

Zertifikatszuordnung an den Ziel-Proxy anhängen

Sie können die Zertifikatszuordnung an einen neuen oder vorhandenen Ziel-Proxy anhängen.

Console

Wenn der Zielproxy Teil eines vorhandenen Load Balancers ist, können Sie die Zertifikatszuordnung anhängen, indem Sie die Frontend-Konfiguration des Load Balancers bearbeiten.

Rufen Sie in der Google Cloud Console die Seite Load Balancing auf.

Load Balancing aufrufen
Klicken Sie auf den Namen des Load Balancers, den Sie aktualisieren möchten, und dann auf Bearbeiten.
Klicken Sie auf Frontend-Konfiguration und wählen Sie die Frontend-IP-Adresse und die Portkonfiguration aus, die Sie bearbeiten möchten.
Wenn Zertifikats-Repository auswählen angezeigt wird, wählen Sie Zertifikatszuordnung verwenden aus.
Wählen Sie in der Liste Zertifikatszuordnung auswählen Ihre Zertifikatszuordnung aus.
Klicken Sie auf Fertig und anschließend auf Aktualisieren.

gcloud

Verwenden Sie den Befehl gcloud compute target-https-proxies create, um die Zertifikatszuordnung an einen neuen Ziel-Proxy anzuhängen:

gcloud compute target-https-proxies create PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --url-map="URL_MAP" \
    --global

Ersetzen Sie Folgendes:

PROXY_NAME: Name des Ziel-Proxys.
CERTIFICATE_MAP_NAME: Name der Zertifikatszuordnung, die auf den Zertifikatszuordnungseintrag und das zugehörige Zertifikat verweist.
URL_MAP: der Name des URL-Mappings

Verwenden Sie den Befehl gcloud compute target-https-proxies update, um die Zertifikatszuordnung an einen vorhandenen Ziel-HTTPS-Proxy anzuhängen. Wenn Sie den Namen des vorhandenen Ziel-Proxys nicht kennen, rufen Sie die Seite Zielproxys auf und notieren Sie sich den Namen des Ziel-Proxys.

gcloud compute target-https-proxies update PROXY_NAME \
    --certificate-map="CERTIFICATE_MAP_NAME" \
    --global

Führen Sie nach dem Erstellen oder Aktualisieren des Ziel-Proxys den folgenden Befehl aus, um ihn zu prüfen:

gcloud compute target-https-proxies list

Terraform

Wenn Sie die Zertifikatszuordnung an den Zielproxy anhängen möchten, können Sie eine google_compute_target_https_proxy-Ressource verwenden.

Wenn Sie beim Konfigurieren eines Zielproxys TLS-Zertifikate (SSL) direkt und auch über eine Zertifikatszuordnung anhängen, verwendet der Proxy die Zertifikate, auf die die Zertifikatszuordnung verweist, und ignoriert die direkt angehängten TLS-Zertifikate (SSL).

Bereinigen

Wenn Sie vermeiden möchten, dass Ihrem Google Cloud Konto die in dieser Anleitung verwendeten Ressourcen in Rechnung gestellt werden, löschen Sie sie.

Löschen Sie den Load Balancer und seine Ressourcen.

Load-Balancing-Einrichtung bereinigen.
Löschen Sie die Zertifikatszuordnung oder trennen Sie sie vom Proxy.

Führen Sie den folgenden Befehl aus, um die Zertifikatszuordnung zu löschen:
```
gcloud compute target-https-proxies delete PROXY_NAME
```
Wenn Sie den HTTPS-Zielproxy behalten möchten, trennen Sie die Zertifikatszuordnung vom Proxy.

Achtung: Beachten Sie die folgenden Hinweise, bevor Sie die Zertifikatszuordnung trennen.
- Wenn TLS-Zertifikate (SSL) direkt an den Proxy angehängt sind, führt das Trennen der Zertifikatszuordnung dazu, dass der Proxy diese direkt angehängten TLS-Zertifikate (SSL) wieder verwendet.
- Wenn keine TLS-Zertifikate (SSL) direkt an den Proxy angehängt sind, kann die Zertifikatszuordnung nicht vom Proxy getrennt werden. Sie müssen zuerst mindestens ein TLS-Zertifikat (SSL) direkt an den Proxy anhängen, bevor Sie die Zertifikatszuordnung trennen können.
Führen Sie den folgenden Befehl aus, um die Zertifikatszuordnung zu trennen:
```
gcloud compute target-https-proxies update PROXY_NAME \
    --clear-certificate-map
```
Ersetzen Sie PROXY_NAME durch den Namen des Ziel-Proxys.
Löschen Sie den Zertifikatszuordnungseintrag aus der Zertifikatszuordnung:
```
gcloud certificate-manager maps entries delete CERTIFICATE_MAP_ENTRY_NAME \
    --map="CERTIFICATE_MAP_NAME"
```
Ersetzen Sie Folgendes:
- CERTIFICATE_MAP_ENTRY_NAME: Name des Zertifikatszuordnungseintrags.
- CERTIFICATE_MAP_NAME: Name der Zertifikatszuordnung.
Löschen Sie die Zertifikatszuordnung:
```
gcloud certificate-manager maps delete CERTIFICATE_MAP_NAME
```
Ersetzen Sie CERTIFICATE_MAP_NAME durch den Namen der Zertifikatszuordnung.
Löschen Sie das hochgeladene Zertifikat:
```
gcloud certificate-manager certificates delete CERTIFICATE_NAME
```
Ersetzen Sie CERTIFICATE_NAME durch den Namen des Zertifikats.

Globales selbstverwaltetes Zertifikat bereitstellen Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.

Ziele

Hinweis

Erforderliche Rollen

Load Balancer erstellen

Privaten Schlüssel und Zertifikat erstellen

Selbstverwaltetes Zertifikat in den Zertifikatmanager hochladen

Console

gcloud

Terraform

API

Selbstverwaltetes Zertifikat auf einem Load Balancer bereitstellen

Zertifikatzuordnung erstellen

gcloud

Terraform

Zertifikatszuordnungseintrag erstellen

gcloud

Terraform

Prüfen, ob der Zertifikatszuordnungseintrag aktiv ist

Zertifikatszuordnung an den Ziel-Proxy anhängen

Console

gcloud

Terraform

Bereinigen

Nächste Schritte

Globales selbstverwaltetes Zertifikat bereitstellen