Neste documento, descrevemos os principais componentes do Certificate Manager (2ª geração) e como eles interagem com os seus Google Cloud recursos e as fontes externas de autoridade certificadora.
O Certificate Manager (2ª geração) permite que você adote recursos de forma incremental. Comece monitorando seu inventário de certificados atual e, em seguida, adicione a emissão automatizada ou o gerenciamento de confiança conforme suas necessidades aumentarem.
Principais componentes
O Gerenciador de Certificados (2ª geração) tem os seguintes componentes principais:
- Diretório de certificados: uma lista unificada de todos os certificados detectados e enviados manualmente no projeto.
- Painel de visão geral: uma ferramenta de monitoramento que resume seu ambiente de certificados, incluindo alertas de validade e tendências de segurança.
- Configurações de emissão: políticas reutilizáveis que definem como o Gerenciador de Certificados (2ª geração) gera e gerencia renovações automáticas de certificados.
- Configurações de confiança: definições para âncoras de confiança, como certificados de CA raiz, que as cargas de trabalho usam para TLS mútuo (mTLS) para verificar identidades.
Informações gerais da arquitetura
O diagrama a seguir mostra como esses componentes interagem entre si:
O inventário de certificados adiciona certificados do CA Service e dos recursos integrados do Google Cloud . É possível usar o painel de visão geral para monitorar a integridade do certificado e automatizar o gerenciamento do ciclo de vida definindo as configurações de emissão e confiança. As seções a seguir descrevem cada componente em detalhes.
Observabilidade de certificados
O Certificate Manager (2ª geração) monitora automaticamente seu ambiente e preenche o diretório de certificados com as seguintes fontes:
- Serviços Google Cloud integrados: certificados usados por serviços como Identidade da carga de trabalho gerenciada e Cloud Load Balancing (incluindo certificados clássicos e enviados).
- Certificate Authority Service: certificados emitidos pelos pools de ACs particulares do nível Enterprise.
Monitoramento de certificados
O painel de visão geral usa os dados do diretório de certificados para resumir a integridade e a postura de segurança do seu ambiente. É possível usar o painel para realizar as seguintes tarefas:
- Identificar certificados que estão prestes a expirar: priorize as renovações verificando quais certificados estão prestes a expirar em todos os serviços.
- Auditar a postura de segurança: monitorar a distribuição de algoritmos criptográficos e comprimentos de chave para garantir a conformidade com os padrões de segurança.
- Acompanhar as tendências de emissão: receba insights sobre o uso e a emissão de certificados ao longo do tempo.
Gerenciamento automatizado do ciclo de vida de certificados
É possível automatizar o gerenciamento dos seus certificados definindo as configurações de emissão e confiança:
- Configurações de emissão: defina parâmetros como ciclo de vida, algoritmo de chave e janela de rotação. Quando uma configuração de emissão é associada a um recurso, o Certificate Manager (2ª geração) gera e renova automaticamente o certificado.
- Configurações de confiança: distribua âncoras de confiança para seus aplicativos para proteger a comunicação entre cargas de trabalho usando o TLS mútuo (mTLS). Essa abordagem garante que os aplicativos confiem apenas em certificados aprovados.