Certificate Manager（第 2 代）概览

Certificate Manager（第 2 代）是一项 Google Cloud 服务，可让您在整个组织中集中管理、部署和自动化 SSL/TLS 证书。借助 Certificate Manager（第 2 代），您可以通过一个集中式界面管理各种 Google Cloud 服务、自定义工作负载和本地环境的证书。

Certificate Manager 主要支持Google Cloud 负载均衡器，而 Certificate Manager（第 2 代）则扩展了对 Google Kubernetes Engine (GKE) 工作负载、Compute Engine 实例和混合环境的支持。

如需了解第一代和第二代 Certificate Manager 之间的区别，请参阅比较 Certificate Manager 版本。

Certificate Manager（第 2 代）功能

借助 Certificate Manager（第 2 代），您可以执行以下操作：

  • 监控证书：使用Google Cloud 控制台中的概览页面监控证书运行状况，包括每个服务的有效证书、即将到期的证书以及加密算法的分布。如需了解详情，请参阅监控证书。

  • 搜索和发现证书：使用 Google Cloud 控制台中的证书页面查看所有证书，包括并非由 Certificate Manager 直接颁发的证书。您可以按资源类型、到期状态和管理状态进行过滤。如需了解详情，请参阅查看证书目录。

  • 自动执行证书生命周期：通过使用颁发配置定义政策，控制 Google Cloud 资源（例如负载均衡器）和Google Cloud 工作负载上的证书生成和轮替。您可以为自动管理的轮替指定以下设置：

    • 证书生命周期
    • 密钥算法
    • 轮替窗口

    如需了解详情，请参阅创建颁发配置、为负载均衡器配置生命周期管理和为代管式工作负载配置生命周期管理。

  • 保护工作负载通信：定义和分发信任锚（例如根 CA 证书和中间 CA 证书），以确保工作负载仅信任已获授权的证书。如需了解详情，请参阅创建信任配置。

支持的 Google Cloud 服务

Certificate Manager（第 2 代）直接与 Certificate Authority Service 和 Public CA 集成，可简化私有证书和公共证书的管理。它支持以下两种集成模型：

  1. Certificate Manager（第 2 代）会自动管理以下服务的证书：

    • 启用了托管式工作负载身份的环境：
      • GKE：为 GKE 工作负载自动执行证书颁发和轮替。
      • Compute Engine：自动管理 Compute Engine 实例的证书。
    • Cloud Load Balancing：Certificate Manager（第 2 代）通过使用颁发配置，自动为 Cloud Load Balancing 预配和续订 TLS 证书。此自动化包括确保应用负载均衡器与其后端之间的双向 TLS (mTLS) 通信安全。

  2. CA Service 会自动管理以下服务的证书，而 Certificate Manager（第 2 代）会观察这些证书：

    • 启用了代理身份的环境：
      • Vertex AI Agent Engine：自动证书管理，可实现对 Google Cloud 和第三方 API 的安全身份验证。
      • Gemini Enterprise：为 Gemini Enterprise 平台内的根智能体、无代码智能体和 Google 管理的智能体提供自动化证书管理。
    • Cloud SQL：具有由 CA Service 颁发的证书的 Cloud SQL 实例会显示在 Certificate Manager（第 2 代）中，以便于观测和管理。
    • Secure Web Proxy：使用由 CA Service 颁发的证书的代理会显示在 Certificate Manager（第 2 代）中，以便于可观测性和管理。
    • Cloud Service Mesh：利用 Cloud Service Mesh 的 GKE 工作负载具有证书，证书管理器（第 2 代）会观察和管理这些证书。
    • GKE control plane authority：使用自定义 CA 和证书（来自 CA Service）在 GKE 控制平面内对凭证进行签名和验证的 GKE 集群具有由 Certificate Manager（第 2 代）观察和管理的证书。

Certificate Manager（第 2 代）对 API、gcloud CLI 和 Terraform 的影响

Certificate Manager（第 2 代）引入了基于现有 API 和新 API 的功能。

  • Certificate Manager（第 2 代）： Google Cloud 控制台完全支持和管理第 2 代功能。
  • Certificate Manager：现有 API 不会弃用。您可以继续使用 gcloud CLI、Terraform 和直接 HTTP API 调用来与第一代功能进行交互。

Certificate Manager（第 2 代）同时使用 v1 和 v2 API 命名空间。

以下列表详细说明了每项资源的 API 命名空间细分：

  • v2 命名空间：包含 Observed Certificates API (v2/projects.locations.observedCertificates)
  • v1 命名空间：包含两代产品中使用的核心 Management API：
    • Certificate API (v1/projects.locations.certificates)
    • Certificate Map API (v1/projects.locations.certificateMaps)
    • Certificate Issuance Config API (v1/projects.locations.certificateIssuanceConfigs)
    • Trust Config API (v1/projects.locations.trustConfigs)

后续步骤