So installieren Sie ein SSL-Zertifikat auf der Google Cloud Platform

Dieses Tutorial erklärt wie man ein SSL-Zertifikat auf Google Cloud Platform installiert mit Hilfe des Certificate Managers. Sie erfahren außerdem, wie man einen CSR-Code (Certificate Signing Request) für Google Cloud erzeugt und wie man das Zertifikat auf einem HTTPS-Load-Balancer bereitstellt.

CSR-Code auf Google Cloud Platform erzeugen

Sie können ein SSL-Zertifikat nicht ohne einen CSR-Code bestellen. CSR steht für Certificate Signing Request, einen verschlüsselten Textblock, der die Angaben des Antragstellers enthält. Die Certificate Authority verwendet den CSR, um Ihre Domain und Organisation zu überprüfen, bevor sie das Zertifikat ausstellt.

Google Cloud verfügt über kein integriertes Formular, das einen CSR für Sie erstellt. Daher erzeugen Sie den CSR und den zugehörigen privaten Schlüssel mit OpenSSL auf Ihrem eigenen Rechner. Sie haben zwei Möglichkeiten:

• Erzeugen Sie den CSR automatisch mit unserem CSR-Generator.
• Folgen Sie unserem Schritt-für-Schritt-Tutorial zum Erstellen des CSR auf Google Cloud Platform.

Bewahren Sie den privaten Schlüssel sicher auf. Sie benötigen ihn erneut, wenn Sie das Zertifikat in den Certificate Manager hochladen. Übermitteln Sie den CSR während Ihrer Bestellung an die Certificate Authority, und sobald das Zertifikat ausgestellt ist, fahren Sie mit der Installation unten fort.

SSL-Zertifikat auf Google Cloud Platform installieren

Auf Google Cloud wird ein Zertifikat von Drittanbietern (selbst bereitgestellt) als self-managed certificate bezeichnet. Sie laden es in den Certificate Manager hoch und stellen es anschließend auf einem HTTPS-Load-Balancer bereit. Bevor Sie beginnen, stellen Sie sicher, dass Sie Folgendes vorliegen haben:

• Ihre signierten Zertifikatsdateien von der Certificate Authority.
• Den privaten Schlüssel, den Sie zusammen mit dem CSR erzeugt haben.
• Zugriff auf die Google Cloud Console und die gcloud-CLI.
• Einen bestehenden HTTPS-Load-Balancer (einen externen Application Load Balancer mit einem Ziel-HTTPS-Proxy), der Ihre Domain bedient. Das Zertifikat wird an diesen Load-Balancer angehängt.

Schritt 1: Zertifikatsdateien vorbereiten

Nachdem die Certificate Authority Ihre Anfrage validiert hat, sendet sie Ihnen ein ZIP-Archiv per E-Mail. Entpacken Sie es und suchen Sie nach:

• yourdomain.crt, Ihr Serverzertifikat.
• yourdomain.ca-bundle, die Zwischenzertifikate.
• yourdomain.key, der private Schlüssel, den Sie mit dem CSR erstellt haben.

Schritt 2: Zertifikat und Kette kombinieren

Der Certificate Manager erwartet eine einzige PEM-Datei, die zunächst Ihr Serverzertifikat und danach die Zwischenzertifikate in dieser Reihenfolge enthält. Öffnen Sie ein Terminal im Ordner, in dem Ihre Dateien liegen, und führen Sie aus:

cat yourdomain.crt yourdomain.ca-bundle > fullchain.crt

Dadurch entsteht eine PEM-formatierte Datei mit Ihrem Zertifikat und der Zwischenzertifikatskette in der richtigen Reihenfolge. Die Zertifikatsdatei muss mit —–BEGIN CERTIFICATE—– beginnen und mit —–END CERTIFICATE—– enden.

Überprüfen Sie nun den privaten Schlüssel. Der Certificate Manager verlangt, dass er:

• PEM-formatiert und unverschlüsselt (ohne Passphrase) ist.
• Im PKCS#8-Format vorliegt, also mit —–BEGIN PRIVATE KEY—– beginnt und nicht mit —–BEGIN RSA PRIVATE KEY—–.
• RSA (2048, 3072 oder 4096 Bit) oder ECDSA (P-256 oder P-384) ist.

Wenn Ihr Schlüssel mit —–BEGIN RSA PRIVATE KEY—– (PKCS#1) beginnt, konvertieren Sie ihn in das PKCS#8-Format, das der Certificate Manager akzeptiert:

openssl pkcs8 -topk8 -nocrypt -in yourdomain.key -out yourdomain_pkcs8.key

Verwenden Sie die resultierende Datei yourdomain_pkcs8.key in den nachfolgenden Upload-Schritten. Wenn Ihr Schlüssel durch eine Passphrase geschützt ist, fragt dieser Befehl außerdem nach der Passphrase und schreibt eine unverschlüsselte Kopie.

Schritt 3: Zertifikat in den Certificate Manager hochladen

Sie können das self-managed Zertifikat über die Console oder mit gcloud hochladen. Verwenden Sie, was Ihnen lieber ist; das Ergebnis ist dieselbe Certificate-Manager-Ressource.

Option A, Google Cloud Console:

1. Melden Sie sich bei der Google Cloud Console an und wählen Sie Ihr Projekt aus.
2. Öffnen Sie den Certificate Manager (unter Security, im Bereich Network Security) und wählen Sie den Tab Certificates.
3. Wählen Sie Add Certificate.
4. Geben Sie dem Zertifikat einen Namen und wählen Sie für Certificate type Create self-managed certificate.
5. Wählen Sie für Location Global mit Scope Default für einen globalen Load-Balancer, oder Regional und Ihre Region für einen regionalen Load-Balancer.
6. Laden Sie fullchain.crt als Zertifikat und Ihren PKCS#8-privaten Schlüssel als privaten Schlüssel hoch, und wählen Sie dann Create.

Option B, gcloud CLI: Erstellen Sie dasselbe Zertifikat mit einem einzigen Befehl. Ersetzen Sie MY_CERT durch einen Namen Ihrer Wahl:

gcloud certificate-manager certificates create MY_CERT 
  --certificate-file=fullchain.crt 
  --private-key-file=yourdomain_pkcs8.key

In jedem Fall befindet sich das Zertifikat nun im Certificate Manager, ist aber noch nicht mit einem Traffic verbunden. Der nächste Schritt stellt es bereit.

Schritt 4: Zertifikat auf Ihrem Load-Balancer bereitstellen

Der Certificate Manager stellt ein Zertifikat über eine certificate map bereit. Sie erstellen eine Map, fügen einen Eintrag hinzu, der einen Hostnamen auf Ihr Zertifikat verweist, und hängen die Map dann an den Ziel-HTTPS-Proxy Ihres Load-Balancers an. Führen Sie diese Befehle mit gcloud aus.

Erstellen Sie eine Certificate Map:

gcloud certificate-manager maps create MY_MAP

Fügen Sie einen Map-Eintrag für Ihren Hostnamen hinzu. Ersetzen Sie MY_CERT durch den Namen Ihres hochgeladenen Zertifikats und yourdomain.com durch die Domain, die Sie sichern möchten:

gcloud certificate-manager maps entries create my-entry 
  --map=MY_MAP 
  --certificates=MY_CERT 
  --hostname=yourdomain.com

Hängen Sie die Map an Ihren bestehenden Ziel-HTTPS-Proxy an. Ersetzen Sie MY_PROXY durch den Namen des Proxys, der Ihrem Load-Balancer vorgeschaltet ist:

gcloud compute target-https-proxies update MY_PROXY 
  --certificate-map=MY_MAP 
  --global

Lassen Sie das Flag --global weg und fügen Sie --region=YOUR_REGION hinzu, wenn Ihr Load-Balancer regional ist. Der Load-Balancer liefert nun Ihr Zertifikat für eingehenden HTTPS-Traffic zu diesem Hostnamen. Zertifikatsänderungen können einige Minuten benötigen, um sich über den Load-Balancer zu verbreiten.

SSL-Installation testen

Nachdem Sie das Zertifikat bereitgestellt haben, bestätigen Sie, dass der Load-Balancer es korrekt ausliefert und dass die Kette vollständig ist. Verbinden Sie sich von einem beliebigen Rechner mit OpenSSL zu Ihrer Domain und lesen Sie das zurückgegebene Zertifikat aus:

echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -issuer -subject -dates

Dies gibt den Aussteller, den Inhaber und die Gültigkeitsdaten des aktuell verwendeten Zertifikats aus. Für einen vollständigen Bericht über das Zertifikat und seine Konfiguration, einschließlich Überprüfung von Kette und Protokoll, lassen Sie Ihre Domain durch unseren SSL Checker laufen, oder öffnen Sie die Website in einem Browser und prüfen Sie das Schlosssymbol.

Häufig gestellte Fragen