このドキュメントでは、Certificate Manager（第 2 世代）のコア コンポーネントと、それらが Google Cloud リソースおよび外部認証局ソースとどのようにやり取りするかについて説明します。
Certificate Manager（第 2 世代）では、機能を段階的に導入できます。まず、既存の証明書インベントリのモニタリングから始めて、ニーズの増加に応じて自動発行や信頼管理を追加できます。
コア コンポーネント
Certificate Manager（第 2 世代）には、次のコア コンポーネントがあります。
- 証明書ディレクトリ: プロジェクトで検出された証明書と手動でアップロードされた証明書のすべてをまとめたリスト。
- 概要ダッシュボード: 有効期限アラートやセキュリティ トレンドなど、証明書環境の概要を示すモニタリング ツール。
- 発行構成: Certificate Manager（第 2 世代）が自動証明書の更新を生成して管理する方法を定義する再利用可能なポリシー。
- 信頼構成: ワークロードが相互 TLS（mTLS）で ID を検証するために使用するトラスト アンカー（ルート CA 証明書など）の定義。
アーキテクチャの概要
次の図は、これらのコンポーネントがどのように相互作用するかを示しています。
証明書インベントリには、CA Service と統合された Google Cloud リソースの証明書が追加されます。概要ダッシュボードを使用して証明書の健全性をモニタリングし、発行と信頼の設定を構成してライフサイクル管理を自動化できます。以降のセクションでは、各コンポーネントについて詳しく説明します。
証明書のオブザーバビリティ
Certificate Manager（第 2 世代）は、環境を自動的にモニタリングし、次のソースから証明書ディレクトリにデータを入力します。
- 統合された Google Cloud サービス: マネージド Workload Identity や Cloud Load Balancing などのサービスで使用される証明書（アップロードされた証明書と従来の証明書を含む）。
- Certificate Authority Service: エンタープライズ ティアのプライベート CA プールによって発行された証明書。
証明書のモニタリング
概要ダッシュボードでは、証明書ディレクトリのデータを使用して、環境の健全性とセキュリティ ポスチャーを要約します。ダッシュボードを使用すると、次のタスクを実行できます。
- 有効期限が近づいている証明書を特定する: すべてのサービスで有効期限が近づいている証明書を確認して、更新の優先順位を付けます。
- セキュリティ ポスチャーを監査する: 暗号アルゴリズムと鍵長の分布をモニタリングして、セキュリティ標準への準拠を確保します。
- 発行の傾向を追跡する: 証明書の使用状況と発行に関する分析情報を時系列で取得します。
証明書のライフサイクル管理の自動化
発行と信頼の設定を構成することで、証明書の管理を自動化できます。
- 発行構成: 有効期間、鍵アルゴリズム、ローテーション ウィンドウなどのパラメータを定義します。発行構成がリソースに関連付けられている場合、Certificate Manager（第 2 世代）は証明書を自動的に生成して更新します。
- 信頼構成: トラスト アンカーをアプリケーションに配布して、相互 TLS（mTLS）を使用してワークロード間の通信を保護します。このアプローチにより、アプリケーションは承認された証明書のみを信頼するようになります。