Zertifikatmanager (2. Generation) – Übersicht

Certificate Manager (2nd gen) ist ein Dienst von Google Cloud , mit dem Sie die Verwaltung, Bereitstellung und Automatisierung von SSL/TLS-Zertifikaten in Ihrer Organisation zentralisieren können. Mit Zertifikatmanager (2. Generation) können Sie Zertifikate für verschiedene Google Cloud -Dienste, benutzerdefinierte Arbeitslasten und lokale Umgebungen über eine einzige, zentrale Oberfläche verwalten.

Zertifikatmanager unterstützt hauptsächlichGoogle Cloud Load Balancer, während Zertifikatmanager (2. Generation) die Unterstützung für Google Kubernetes Engine (GKE)-Arbeitslasten, Compute Engine-Instanzen und Hybridumgebungen erweitert hat.

Informationen zu den Unterschieden zwischen der ersten und zweiten Generation des Zertifikatmanagers finden Sie unter Zertifikatmanager-Versionen vergleichen.

Zertifikatmanager-Funktionen (2. Generation)

Mit dem Zertifikatmanager (2. Generation) können Sie Folgendes tun:

  • Zertifikate überwachen: Verwenden Sie die Seite Übersicht in derGoogle Cloud -Konsole, um den Zustand der Zertifikate zu überwachen, einschließlich der aktiven Zertifikate für jeden Ihrer Dienste, der Zertifikate, die bald ablaufen, und der Verteilung der kryptografischen Algorithmen. Weitere Informationen finden Sie unter Zertifikate überwachen.

  • Zertifikate suchen und finden: Auf der Seite Zertifikate in der Google Cloud Console können Sie alle Ihre Zertifikate aufrufen, einschließlich derer, die nicht direkt vom Zertifikatmanager ausgestellt wurden. Sie können nach Ressourcentyp, Ablaufstatus und Verwaltungsstatus filtern. Weitere Informationen finden Sie unter Zertifikatsverzeichnis ansehen.

  • Zertifikatslebenszyklen automatisieren: Steuern Sie die Zertifikatserstellung und -rotation für Google Cloud -Ressourcen wie Load Balancer undGoogle Cloud -Arbeitslasten, indem Sie Richtlinien mit Ausgabekonfigurationen definieren. Sie können die folgenden Einstellungen für die automatisch verwaltete Rotation festlegen:

    • Lebensdauer des Zertifikats
    • Schlüsselalgorithmus
    • Rotationsfenster

    Weitere Informationen finden Sie unter Ausstellungskonfigurationen erstellen, Lebenszyklusverwaltung für Load Balancer konfigurieren und Lebenszyklusverwaltung für verwaltete Arbeitslasten konfigurieren.

  • Sichere Kommunikation zwischen Arbeitslasten: Definieren und verteilen Sie Trust-Anker, z. B. Root- und Zwischen-CA-Zertifikate, damit Arbeitslasten nur autorisierten Zertifikaten vertrauen. Weitere Informationen finden Sie unter Vertrauenskonfigurationen erstellen.

Unterstützte Dienste von Google Cloud

Certificate Manager (2. Generation) lässt sich direkt in Certificate Authority Service und Public CA einbinden, um die Verwaltung privater und öffentlicher Zertifikate zu vereinfachen. Es werden die folgenden zwei Integrationsmodelle unterstützt:

  1. Certificate Manager (2. Generation) verwaltet Zertifikate für die folgenden Dienste automatisch:

    • Umgebungen mit aktivierter verwalteter Workload Identity:
      • GKE: Automatisiert die Ausstellung und Rotation von Zertifikaten für Ihre GKE-Arbeitslasten.
      • Compute Engine: Automatisiert die Zertifikatsverwaltung für Ihre Compute Engine-Instanzen.
    • Cloud Load Balancing: Certificate Manager (2. Generation) automatisiert die Bereitstellung und Erneuerung von TLS-Zertifikaten für Cloud Load Balancing mithilfe von Ausgabekonfigurationen. Diese Automatisierung umfasst die Sicherung der gegenseitigen TLS-Kommunikation (mTLS) zwischen Application Load Balancern und ihren Backends.

  2. Der CA-Dienst verwaltet Zertifikate für die folgenden Dienste automatisch und der Zertifikatmanager (2. Generation) beobachtet sie:

    • Umgebungen mit aktivierter Agent Identity:
      • Vertex AI Agent Engine: Automatische Zertifikatsverwaltung für die sichere Authentifizierung bei Google Cloud und Drittanbieter-APIs.
      • Gemini Enterprise: Automatische Zertifikatsverwaltung für Root-Agenten, No-Code-Agenten und von Google verwaltete Agenten auf der Gemini Enterprise-Plattform.
    • Cloud SQL: Cloud SQL-Instanzen mit Zertifikaten, die von Ihrem CA Service ausgestellt wurden, werden im Certificate Manager (2. Generation) zur Beobachtung und Verwaltung angezeigt.
    • Secure Web Proxy: Proxys mit Zertifikaten, die von Ihrem CA-Dienst ausgestellt wurden, werden im Zertifikatmanager (2. Generation) zur Beobachtung und Verwaltung angezeigt.
    • Cloud Service Mesh: GKE-Arbeitslasten, die Cloud Service Mesh nutzen, haben Zertifikate, die vom Zertifikatmanager (2. Generation) beobachtet und verwaltet werden.
    • GKE Control Plane Authority: GKE-Cluster, die eine benutzerdefinierte Zertifizierungsstelle und Zertifikate (von CA Service) verwenden, um Anmeldedaten innerhalb der GKE-Steuerungsebene zu signieren und zu prüfen, haben Zertifikate, die von Zertifikatmanager (2. Generation) beobachtet und verwaltet werden.

Auswirkungen von Zertifikatmanager (2. Generation) auf APIs, die gcloud CLI und Terraform

Der Zertifikatmanager (2. Generation) bietet Funktionen, die sowohl auf vorhandenen APIs als auch auf der neuen API basieren.

  • Zertifikatmanager (2. Generation): Features der 2. Generation werden vollständig unterstützt und können in der Google Cloud Console verwaltet werden.
  • Zertifikatmanager: Vorhandene APIs werden nicht verworfen. Sie können weiterhin die gcloud CLI, Terraform und direkte HTTP-API-Aufrufe verwenden, um mit Funktionen der ersten Generation zu interagieren.

Der Zertifikatmanager (2. Generation) verwendet die API-Namespaces v1 und v2.

In der folgenden Liste finden Sie die Aufschlüsselung der API-Namespaces für die einzelnen Ressourcen:

  • v2-Namespace: Enthält die Observed Certificates API (v2/projects.locations.observedCertificates)
  • v1-Namespace: Enthält die wichtigsten Verwaltungs-APIs, die in beiden Generationen verwendet werden:
    • Certificate API (v1/projects.locations.certificates)
    • Certificate Map API (v1/projects.locations.certificateMaps)
    • Certificate Issuance Config API (v1/projects.locations.certificateIssuanceConfigs)
    • Trust Config API (v1/projects.locations.trustConfigs)

Nächste Schritte