Questo documento descrive i componenti principali di Certificate Manager (2ª generazione.) e il modo in cui interagiscono con le tue risorse Google Cloud e con le origini delle autorità di certificazione esterne.
Certificate Manager (2ª generazione.) ti consente di adottare le funzionalità in modo incrementale. Puoi iniziare monitorando l'inventario dei certificati esistenti e poi aggiungere l'emissione automatizzata o la gestione del trust man mano che le tue esigenze aumentano.
Componenti principali
Certificate Manager (2ª generazione.) è composto dai seguenti componenti principali:
- Directory dei certificati: un elenco unificato di tutti i certificati rilevati e caricati manualmente nel progetto.
- Dashboard Panoramica: uno strumento di monitoraggio che riassume l'ambiente dei certificati, inclusi gli avvisi di scadenza e le tendenze di sicurezza.
- Configurazioni di emissione: policy riutilizzabili che definiscono il modo in cui Certificate Manager (2ª generazione.) genera e gestisce i rinnovi automatici dei certificati.
- Configurazioni di attendibilità: definizioni per i trust anchor, come i certificati CA radice, che i workload utilizzano per il mutual TLS (mTLS) per verificare le identità.
Panoramica dell'architettura
Il seguente diagramma mostra l'interazione tra questi componenti:
L'inventario dei certificati aggiunge i certificati di Certificate Authority Service e delle risorse Google Cloud integrate. Puoi utilizzare la dashboard Panoramica per monitorare l'integrità dei certificati e automatizzare la gestione del ciclo di vita configurando le impostazioni di emissione e attendibilità. Le sezioni seguenti descrivono in dettaglio ogni componente.
Osservabilità dei certificati
Certificate Manager (2ª generazione.) monitora automaticamente l'ambiente e compila la directory dei certificati dalle seguenti origini:
- Servizi Google Cloud integrati: certificati utilizzati da servizi come Workload Identity gestito e Cloud Load Balancing (inclusi i certificati caricati e classici).
- Certificate Authority Service: certificati emessi dai tuoi pool di CA private di livello Enterprise.
Monitoraggio dei certificati
La dashboard Panoramica utilizza i dati della directory dei certificati per riepilogare lo stato e la security posture del tuo ambiente. Puoi utilizzare la dashboard per eseguire le seguenti attività:
- Identifica i certificati in scadenza: assegna la priorità ai rinnovi visualizzando i certificati in scadenza in tutti i servizi.
- Controlla la security posture: monitora la distribuzione degli algoritmi crittografici e delle lunghezze delle chiavi per garantire la conformità agli standard di sicurezza.
- Monitora le tendenze di emissione: ottieni insight sull'utilizzo e sull'emissione dei certificati nel tempo.
Gestione automatizzata del ciclo di vita dei certificati
Puoi automatizzare la gestione dei certificati configurando le impostazioni di emissione e attendibilità:
- Configurazioni di emissione: definisci parametri come durata, algoritmo della chiave e finestra di rotazione. Quando una configurazione di emissione è associata a una risorsa, Certificate Manager (2ª generazione.) genera e rinnova automaticamente il certificato.
- Configurazioni di attendibilità: distribuisci i trust anchor alle tue applicazioni per proteggere la comunicazione tra workload utilizzando mutual TLS (mTLS). Questo approccio garantisce che le applicazioni considerino attendibili solo i certificati approvati.