Esegui il deployment di un certificato globale gestito da Google con autorizzazione DNS

gcloud

gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
   --domain="DOMAIN_NAME"
gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME

Per utilizzare l'autorizzazione DNS per progetto (anteprima), esegui questo comando:

gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
   --domain="DOMAIN_NAME" \
   --type="PER_PROJECT_RECORD"
gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME

Sostituisci quanto segue:

• AUTHORIZATION_NAME: il nome dell'autorizzazione DNS.
• DOMAIN_NAME: il nome del dominio per cui sei creando questa autorizzazione DNS. Il nome di dominio deve essere un nome completo nome di dominio, ad esempio myorg.example.com.

Il comando restituisce un output simile al seguente. Utilizza il record CNAME dall'output aggiungi alla tua configurazione DNS.

createTime: '2022-01-14T13:35:00.258409106Z'
dnsResourceRecord:
data: 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog.
name: _acme-challenge.myorg.example.com.
type: CNAME
domain: myorg.example.com
name: projects/myProject/locations/global/dnsAuthorizations/myAuthorization
updateTime: '2022-01-14T13:35:01.571086137Z'

Terraform

Per creare un'autorizzazione DNS, puoi utilizzare un google_certificate_manager_dns_authorization risorsa.

resource "google_certificate_manager_dns_authorization" "default" {
  name        = "${local.name}-dnsauth-${random_id.tf_prefix.hex}"
  description = "The default dns auth"
  domain      = local.domain
  labels = {
    "terraform" : true
  }
}

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta: Comandi Terraform di base.

gcloud

1. Avvia la transazione del record DNS:

  gcloud dns record-sets transaction start --zone="DNS_ZONE_NAME"

Sostituisci DNS_ZONE_NAME con il nome del DNS di destinazione zona di destinazione.

1. Aggiungi il record CNAME alla zona DNS di destinazione:

  gcloud dns record-sets transaction add CNAME_RECORD \
      --name="_acme-challenge.DOMAIN_NAME." \
      --ttl="30" \
      --type="CNAME" \
      --zone="DNS_ZONE_NAME"

Sostituisci quanto segue:

• CNAME_RECORD: il valore completo dei dati del record CNAME restituito dal comando Google Cloud CLI che ha creato il DNS corrispondente autorizzazione.
• DOMAIN_NAME: il nome del dominio di destinazione. La il nome di dominio deve essere un nome di dominio completo, come myorg.example.com. Devi anche includere il punto finale dopo il tag il nome di dominio di destinazione.
• DNS_ZONE_NAME: il nome della zona DNS di destinazione.

Vedi l'esempio che segue:

  gcloud dns record-sets transaction add 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog. \
      --name="_acme-challenge.myorg.example.com." \
      --ttl="30" \
      --type="CNAME" \
      --zone="myorg-example-com"
  

1. Esegui la transazione del record DNS per salvare le modifiche:

  gcloud dns record-sets transaction execute --zone="DNS_ZONE_NAME"
  

Sostituisci DNS_ZONE_NAME con il nome del DNS di destinazione zona di destinazione.

Terraform

Per aggiungere il record CNAME alla tua configurazione DNS, puoi utilizzare un google_dns_record_set risorsa.

resource "google_dns_record_set" "cname" {
  name         = google_certificate_manager_dns_authorization.default.dns_resource_record[0].name
  managed_zone = google_dns_managed_zone.default.name
  type         = google_certificate_manager_dns_authorization.default.dns_resource_record[0].type
  ttl          = 300
  rrdatas      = [google_certificate_manager_dns_authorization.default.dns_resource_record[0].data]
}

Console

1. Nella console Google Cloud, vai alla pagina Gestore certificati.

   Vai a Gestore certificati

2. Nella pagina visualizzata, seleziona la scheda Certificati.

3. Fai clic su Aggiungi certificato.

4. Inserisci un Nome per il certificato.

   Questo nome deve essere univoco per il progetto.

5. (Facoltativo) Inserisci la descrizione del certificato. La descrizione consente di identificare un certificato specifico in un secondo momento.

6. In corrispondenza di località, scegli Globale.

7. Per Ambito, scegli una delle seguenti opzioni:

   1. Predefinito: scegli l'impostazione predefinita per un Bilanciatore del carico delle applicazioni esterno globale, un Bilanciatore del carico delle applicazioni classico o un Bilanciatore del carico di rete proxy esterno globale
   2. Tutte le regioni: scegli tutte le regioni per un bilanciatore del carico delle applicazioni interno tra regioni

8. In Tipo di certificato, scegli Crea certificato gestito da Google.

9. In Tipo di autorità di certificazione, scegli Pubblica.

10. Specifica i nomi di dominio del certificato. Inserisci un valore delimitato da virgole dei domini di destinazione. Inoltre, ogni nome di dominio deve essere un nome nome di dominio, ad esempio myorg.example.com.

11. In Authorization type (Tipo di autorizzazione), scegli DNS Authorization (Autorizzazione DNS). Se dominio a cui è associata un'autorizzazione DNS, verrà selezionato automaticamente. Se al nome di dominio non è associata un'autorizzazione DNS:

    1. Fai clic su Crea autorizzazione DNS mancante per visualizzare la finestra di dialogo Crea DNS. Finestra di dialogo di autorizzazione.
    2. Nel campo Nome autorizzazione DNS, specifica il nome dell'autorizzazione DNS.
    3. Fai clic su Crea autorizzazione DNS. Verifica che il nome DNS sia associato al nome di dominio.

12. Specifica un'etichetta da associare al certificato. Puoi aggiungere più di un'etichetta, se necessario. Per aggiungere un'etichetta, fai clic sull'icona add_box Aggiungi etichetta e specifica key e value per l'etichetta.

13. Fai clic su Crea. Verifica che il nuovo certificato sia presente nell'elenco dei certificati.

gcloud

Per un bilanciatore del carico delle applicazioni esterno globale, un bilanciatore del carico delle applicazioni classico o Bilanciatore del carico di rete proxy esterno globale:

Esegui questo comando:

 gcloud certificate-manager certificates create CERTIFICATE_NAME 

    --domains=DOMAIN_NAME 

    --dns-authorizations=AUTHORIZATION_NAME
 

Sostituisci quanto segue:

• CERTIFICATE_NAME: un nome univoco del certificato.
• DOMAIN_NAME: il dominio di destinazione del certificato. Il nome di dominio deve essere un nome di dominio completo, come myorg.example.com.
• AUTHORIZATION_NAME: il nome del DNS dell'autorizzazione che hai creato per questo certificato.

Per creare un certificato gestito da Google con un nome di dominio con caratteri jolly, utilizza la . Un nome di dominio con caratteri jolly copre tutti i sottodomini di primo livello di un determinato dominio.

gcloud certificate-manager certificates create CERTIFICATE_NAME \
    --domains="*.DOMAIN_NAME,DOMAIN_NAME" \
    --dns-authorizations=AUTHORIZATION_NAME

Sostituisci quanto segue:

• CERTIFICATE_NAME: un nome univoco del certificato.
• DOMAIN_NAME: il dominio di destinazione del certificato. La Il prefisso asterisco (*.) indica un certificato con caratteri jolly. Il dominio deve essere un nome di dominio completo, come myorg.example.com.
• AUTHORIZATION_NAME: il nome dell'autorizzazione DNS creato per il certificato.

Per un bilanciatore del carico delle applicazioni interno tra regioni:

Esegui questo comando:

  gcloud certificate-manager certificates create CERTIFICATE_NAME 

      --domains=DOMAIN_NAME 

      --dns-authorizations=AUTHORIZATION_NAME 

      --scope=all-regions
  

Sostituisci quanto segue:

• CERTIFICATE_NAME: un nome univoco del certificato.
• DOMAIN_NAME: il dominio di destinazione del certificato. Il nome di dominio deve essere un nome di dominio completo, come myorg.example.com.
• AUTHORIZATION_NAME: il nome del DNS dell'autorizzazione che hai creato per questo certificato.

Per creare un certificato gestito da Google con un nome di dominio con caratteri jolly, utilizza la . Un nome di dominio con caratteri jolly copre tutti i sottodomini di primo livello di un determinato dominio.

  gcloud certificate-manager certificates create CERTIFICATE_NAME \
      --domains="*.DOMAIN_NAME,DOMAIN_NAME" \
      --dns-authorizations=AUTHORIZATION_NAME \
      --scope=all-regions

Sostituisci quanto segue:

• CERTIFICATE_NAME: un nome univoco del certificato.
• DOMAIN_NAME: il dominio di destinazione del certificato. La Il prefisso asterisco (*.) indica un certificato con caratteri jolly. La il nome di dominio deve essere un nome di dominio completo, come myorg.example.com.
• AUTHORIZATION_NAME: il nome dell'autorizzazione DNS creato per il certificato.

Terraform

Utilizza una risorsa google_certificate_manager_certificate.

resource "google_certificate_manager_certificate" "root_cert" {
  name        = "${local.name}-rootcert-${random_id.tf_prefix.hex}"
  description = "The wildcard cert"
  managed {
    domains = [local.domain, "*.${local.domain}"]
    dns_authorizations = [
      google_certificate_manager_dns_authorization.default.id
    ]
  }
  labels = {
    "terraform" : true
  }
}

gcloud

gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

Sostituisci CERTIFICATE_MAP_NAME con il nome del target mappa di certificati.

Terraform

Per creare una mappa di certificati, puoi utilizzare una google_certificate_manager_certificate_map risorsa.

resource "google_certificate_manager_certificate_map" "certificate_map" {
  name        = "${local.name}-certmap-${random_id.tf_prefix.hex}"
  description = "${local.domain} certificate map"
  labels = {
    "terraform" : true
  }
}

gcloud

gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
   --map="CERTIFICATE_MAP_NAME" \
   --certificates="CERTIFICATE_NAME" \
   --hostname="HOSTNAME"

Sostituisci quanto segue:

• CERTIFICATE_MAP_ENTRY_NAME: un nome univoco del voce mappa di certificati
• CERTIFICATE_MAP_NAME: il nome del certificato mappato a allegata da questa voce di mappa di certificati
• CERTIFICATE_NAME: il nome del certificato che vuoi ottenere da associare a questa voce della mappa di certificati
• HOSTNAME: il nome host che vuoi associare con questa voce della mappa di certificati

Terraform

Per creare una voce della mappa di certificati, puoi utilizzare una google_certificate_manager_certificate_map_entry risorsa.

resource "google_certificate_manager_certificate_map_entry" "first_entry" {
  name        = "${local.name}-first-entry-${random_id.tf_prefix.hex}"
  description = "example certificate map entry"
  map         = google_certificate_manager_certificate_map.certificate_map.name
  labels = {
    "terraform" : true
  }
  certificates = [google_certificate_manager_certificate.root_cert.id]
  hostname     = local.domain
}

gcloud

1. Nella console Google Cloud, vai alla pagina Proxy di destinazione.

   Vai al target proxy

2. Prendi nota del nome del proxy di destinazione.

3. Collega la mappa di certificati al proxy di destinazione:

  gcloud compute target-https-proxies update PROXY_NAME \
      --certificate-map="CERTIFICATE_MAP_NAME" \
      --global
  

Sostituisci quanto segue:

• PROXY_NAME: il nome del proxy di destinazione.
• CERTIFICATE_MAP_NAME: il nome del certificato con riferimento alla voce della mappa di certificati e agli elementi associati certificato.

Terraform

Per collegare la mappa di certificati al proxy di destinazione, puoi utilizzare un google_compute_target_https_proxy risorsa.