Certificate Manager（第 2 世代）の概要

Certificate Manager（第 2 世代）は、組織全体で SSL / TLS 証明書の管理、デプロイ、自動化を一元化できる Google Cloud サービスです。Certificate Manager（第 2 世代）を使用すると、さまざまな Google Cloud サービス、カスタム ワークロード、オンプレミス環境の証明書を、一元化された単一のインターフェースで管理できます。

Certificate Manager は主にGoogle Cloud ロードバランサをサポートしていますが、Certificate Manager（第 2 世代）は Google Kubernetes Engine（GKE）ワークロード、Compute Engine インスタンス、ハイブリッド環境のサポートを拡張しています。

Certificate Manager の第 1 世代と第 2 世代の違いについては、Certificate Manager のバージョンを比較するをご覧ください。

Certificate Manager（第 2 世代）の機能

Certificate Manager（第 2 世代）では、次のことができます。

  • 証明書をモニタリングする:Google Cloud コンソールの [概要] ページを使用して、各サービスの有効な証明書、有効期限が近づいている証明書、暗号アルゴリズムの分布など、証明書の健全性をモニタリングします。詳細については、証明書をモニタリングするをご覧ください。

  • 証明書の検索と検出: Google Cloud コンソールの [証明書] ページを使用して、Certificate Manager から直接発行されていない証明書を含むすべての証明書を表示します。リソースタイプ、有効期限ステータス、管理ステータスでフィルタできます。詳細については、証明書ディレクトリを表示するをご覧ください。

  • 証明書のライフサイクルを自動化する: 発行構成を使用してポリシーを定義することで、ロードバランサなどの Google Cloud リソースとGoogle Cloud ワークロードでの証明書の生成とローテーションを制御します。自動管理ローテーションには、次の設定を指定できます。

    • 証明書の有効期間
    • 鍵アルゴリズム
    • ローテーション ウィンドウ

    詳細については、発行構成を作成する、ロードバランサのライフサイクル管理を構成する、マネージド ワークロードのライフサイクル管理を構成するをご覧ください。

  • ワークロード通信を保護する: ルート CA 証明書や中間 CA 証明書などのトラスト アンカーを定義して配布し、ワークロードが承認済みの証明書のみを信頼するようにします。詳細については、信頼構成を作成するをご覧ください。

サポート対象の Google Cloud サービス

Certificate Manager（第 2 世代）は、Certificate Authority Service および Public CA と直接統合され、プライベート証明書とパブリック証明書の両方の管理を簡素化します。次の 2 つの統合モデルがサポートされています。

  1. Certificate Manager（第 2 世代）は、次のサービスの証明書を自動管理します。

    • マネージド ワークロード ID が有効な環境:
      • GKE: GKE ワークロードの証明書の発行とローテーションを自動化します。
      • Compute Engine: Compute Engine インスタンスの証明書管理を自動化します。
    • Cloud Load Balancing: Certificate Manager（第 2 世代）は、発行構成を使用して、Cloud Load Balancing の TLS 証明書のプロビジョニングと更新を自動化します。この自動化には、アプリケーション ロードバランサとそのバックエンド間の相互 TLS（mTLS）通信の保護が含まれます。

  2. CA Service は、次のサービスの証明書を自動管理します。Certificate Manager（第 2 世代）は、これらの証明書をモニタリングします。

    • エージェント ID が有効な環境:
      • Vertex AI Agent Engine: 証明書の自動管理により、 Google Cloud とサードパーティ API への安全な認証を可能にします。
      • Gemini Enterprise: Gemini Enterprise プラットフォーム内のルート エージェント、ノーコード エージェント、Google マネージド エージェントの証明書管理を自動化します。
    • Cloud SQL: CA Service によって発行された証明書を持つ Cloud SQL インスタンスが、Certificate Manager（第 2 世代）に表示され、オブザーバビリティと管理が可能になります。
    • Secure Web Proxy: CA Service によって発行された証明書を持つプロキシが Certificate Manager（第 2 世代）に表示され、オブザーバビリティと管理が可能になります。
    • Cloud Service Mesh: Cloud Service Mesh を活用する GKE ワークロードには、Certificate Manager（第 2 世代）がモニタリングして管理する証明書があります。
    • GKE control plane authority: カスタム CA と証明書（CA Service から）を使用して GKE コントロール プレーン内の認証情報に署名して検証する GKE クラスタには、Certificate Manager（第 2 世代）が監視および管理する証明書があります。

Certificate Manager（第 2 世代）が API、gcloud CLI、Terraform に与える影響

Certificate Manager（第 2 世代）では、既存の API と新しい API の両方をベースにした機能が導入されています。

  • Certificate Manager（第 2 世代）: 第 2 世代の機能は完全にサポートされており、 Google Cloud コンソールで管理できます。
  • Certificate Manager: 既存の API は非推奨になりません。gcloud CLI、Terraform、直接 HTTP API 呼び出しを使用して、第 1 世代の機能を引き続き操作できます。

Certificate Manager（第 2 世代）は、v1 と v2 の両方の API 名前空間を使用します。

次のリストは、各リソースの API 名前空間の内訳を示しています。

  • v2 名前空間: Observed Certificates API（v2/projects.locations.observedCertificates）が含まれています。
  • v1 名前空間: 両方の世代で使用されるコア Management API が含まれています。
    • Certificate API（v1/projects.locations.certificates）
    • Certificate Map API（v1/projects.locations.certificateMaps）
    • Certificate Issuance Config API（v1/projects.locations.certificateIssuanceConfigs）
    • Trust Config API（v1/projects.locations.trustConfigs）

次のステップ