Certificate Manager (第 2 代) 總覽

Certificate Manager (第 2 代) 是 Google Cloud 服務，可讓您集中管理、部署及自動化整個組織的 SSL/TLS 憑證。透過 Certificate Manager (第 2 代)，您可以透過單一集中式介面，管理各種 Google Cloud 服務、自訂工作負載和地端部署環境的憑證。

Certificate Manager 主要支援Google Cloud 負載平衡器，而 Certificate Manager (第 2 代) 則擴大支援 Google Kubernetes Engine (GKE) 工作負載、Compute Engine 執行個體和混合環境。

如要瞭解第一代和第二代 Certificate Manager 的差異，請參閱「比較 Certificate Manager 版本」。

Certificate Manager (第 2 代) 功能

Certificate Manager (第 2 代) 可讓您執行下列操作：

  • 監控憑證：使用Google Cloud 控制台中的「Overview」(總覽) 頁面監控憑證健康狀態，包括各項服務的有效憑證、即將到期的憑證，以及密碼編譯演算法的分佈情形。詳情請參閱「監控憑證」。

  • 搜尋及探索憑證：使用 Google Cloud 控制台中的「Certificates」(憑證) 頁面，查看所有憑證，包括非由 Certificate Manager 直接核發的憑證。您可以依資源類型、到期狀態和管理狀態篩選。詳情請參閱「查看憑證目錄」。

  • 自動管理憑證生命週期：使用核發設定定義政策，控管 Google Cloud 資源 (例如負載平衡器) 和Google Cloud 工作負載的憑證產生和輪替。您可以為自動管理的輪替作業指定下列設定：

    • 憑證效期
    • 金鑰演算法
    • 輪換期

    詳情請參閱「建立核發設定」、「設定負載平衡器的生命週期管理」和「設定代管工作負載的生命週期管理」。

  • 安全的工作負載通訊：定義及發布信任錨點 (例如根和中繼 CA 憑證)，確保工作負載只信任授權憑證。詳情請參閱「建立信任設定」。

支援的 Google Cloud 服務

Certificate Manager (第 2 代) 直接與 Certificate Authority Service 和 Public CA 整合，可簡化私人和公開憑證的管理作業。支援下列兩種整合模式：

  1. Certificate Manager (第 2 代) 會自動管理下列服務的憑證：

    • 啟用代管 Workload Identity 的環境：
      • GKE：自動為 GKE 工作負載核發及輪替憑證。
      • Compute Engine：自動管理 Compute Engine 執行個體的憑證。
    • Cloud Load Balancing：Certificate Manager (第 2 代) 會使用核發設定，自動佈建及更新 Cloud Load Balancing 的 TLS 憑證。這項自動化功能包括保護應用程式負載平衡器與其後端之間的相互傳輸層安全標準 (mTLS) 通訊。

  2. CA 服務會自動管理下列服務的憑證，而 Certificate Manager (第 2 代) 會監控這些憑證：

    • 啟用 Agent Identity 的環境：
      • Vertex AI Agent Engine：自動管理憑證，安全驗證 Google Cloud 和第三方 API。
      • Gemini Enterprise：在 Gemini Enterprise 平台中，自動管理根代理、無程式碼代理和 Google 代管代理的憑證。
    • Cloud SQL：Cloud SQL 執行個體若使用 CA 服務核發的憑證，會顯示在 Certificate Manager (第 2 代)，方便您觀測及管理。
    • Secure Web Proxy：由 CA 服務核發憑證的 Proxy 會顯示在 Certificate Manager (第 2 代)，方便您觀測及管理。
    • Cloud Service Mesh：採用 Cloud Service Mesh 的 GKE 工作負載，其憑證由 Certificate Manager (第 2 代) 監控及管理。
    • GKE control plane authority：GKE 叢集使用自訂 CA 和憑證 (來自 CA 服務)，在 GKE 控制層內簽署及驗證憑證，這些憑證由 Certificate Manager (第 2 代) 監控及管理。

Certificate Manager (第 2 代) 對 API、gcloud CLI 和 Terraform 的影響

Certificate Manager (第 2 代) 推出以現有 API 和新 API 為基礎的功能。

  • Certificate Manager (第 2 代)：完全支援第 2 代功能，並可在 Google Cloud 控制台管理。
  • Certificate Manager：現有 API 不會淘汰。您可以繼續使用 gcloud CLI、Terraform 和直接 HTTP API 呼叫，與第 1 代功能互動。

Certificate Manager (第 2 代) 同時使用 v1 和 v2 API 命名空間。

以下清單詳細列出各項資源的 API 命名空間細目：

  • v2 命名空間：包含 Observed Certificates API (v2/projects.locations.observedCertificates)
  • v1 命名空間：包含兩個世代通用的核心 Management API：
    • Certificate API (v1/projects.locations.certificates)
    • Certificate Map API (v1/projects.locations.certificateMaps)
    • Certificate Issuance Config API (v1/projects.locations.certificateIssuanceConfigs)
    • Trust Config API (v1/projects.locations.trustConfigs)

後續步驟