Cara Menginstal Sertifikat SSL di Google Cloud Platform

Tutorial ini menjelaskan cara menginstal sertifikat SSL di Google Cloud Platform menggunakan Certificate Manager. Anda juga akan belajar cara membuat CSR (Certificate Signing Request) untuk Google Cloud, dan cara men-deploy sertifikat ke load balancer HTTPS.

Membuat kode CSR di Google Cloud Platform

Anda tidak dapat memesan sertifikat SSL tanpa kode CSR. CSR adalah singkatan dari Certificate Signing Request, yaitu blok teks terenkode yang berisi detail pemohon. Certificate Authority menggunakan CSR untuk memverifikasi domain dan organisasi Anda sebelum menerbitkan sertifikat.

Google Cloud tidak memiliki formulir bawaan yang membuat CSR untuk Anda, sehingga Anda perlu membuat CSR dan private key-nya menggunakan OpenSSL di komputer Anda sendiri. Anda memiliki dua pilihan:

• Buat CSR secara otomatis dengan CSR Generator kami.
• Ikuti tutorial langkah demi langkah kami tentang cara membuat CSR di Google Cloud Platform.

Jaga keamanan private key. Anda akan membutuhkannya kembali saat mengunggah sertifikat ke Certificate Manager. Kirimkan CSR ke Certificate Authority saat melakukan pemesanan, dan setelah sertifikat diterbitkan, lanjutkan dengan instalasi di bawah ini.

Menginstal sertifikat SSL di Google Cloud Platform

Di Google Cloud, sertifikat pihak ketiga (yang disediakan sendiri) disebut self-managed certificate. Anda mengunggahnya ke Certificate Manager, lalu men-deploy-nya ke load balancer HTTPS. Sebelum memulai, pastikan Anda memiliki:

• File sertifikat yang telah ditandatangani dari Certificate Authority.
• Private key yang Anda buat bersama CSR.
• Akses ke Google Cloud Console dan CLI gcloud.
• Load balancer HTTPS yang sudah ada (Application Load Balancer eksternal dengan target HTTPS proxy) yang melayani domain Anda. Sertifikat akan dilekatkan ke load balancer ini.

Langkah 1: Siapkan file sertifikat Anda

Setelah Certificate Authority memvalidasi permintaan Anda, mereka akan mengirimkan email berupa arsip ZIP. Ekstrak file tersebut dan cari:

• yourdomain.crt, sertifikat server Anda.
• yourdomain.ca-bundle, sertifikat perantara (intermediate).
• yourdomain.key, private key yang Anda buat bersama CSR.

Langkah 2: Gabungkan sertifikat dan chain

Certificate Manager membutuhkan satu file PEM yang berisi sertifikat server Anda terlebih dahulu, diikuti oleh sertifikat perantara, dalam urutan tersebut. Buka terminal di folder tempat file Anda disimpan dan jalankan:

cat yourdomain.crt yourdomain.ca-bundle > fullchain.crt

Perintah ini membuat file berformat PEM dengan sertifikat Anda dan chain perantara dalam urutan yang benar. File sertifikat harus dimulai dengan —–BEGIN CERTIFICATE—– dan diakhiri dengan —–END CERTIFICATE—–.

Sekarang periksa private key. Certificate Manager mengharuskan agar private key:

• Berformat PEM dan tidak terenkripsi (tanpa passphrase).
• Dalam bentuk PKCS#8, sehingga dimulai dengan —–BEGIN PRIVATE KEY—–, bukan —–BEGIN RSA PRIVATE KEY—–.
• RSA (2048, 3072, atau 4096 bit) atau ECDSA (P-256 atau P-384).

Jika kunci Anda dimulai dengan —–BEGIN RSA PRIVATE KEY—– (PKCS#1), konversikan ke bentuk PKCS#8 yang diterima oleh Certificate Manager:

openssl pkcs8 -topk8 -nocrypt -in yourdomain.key -out yourdomain_pkcs8.key

Gunakan file hasil yourdomain_pkcs8.key pada langkah pengunggahan di bawah ini. Jika kunci Anda dilindungi passphrase, perintah ini juga akan meminta Anda memasukkan passphrase dan menghasilkan salinan yang tidak terenkripsi.

Langkah 3: Unggah sertifikat ke Certificate Manager

Anda dapat mengunggah self-managed certificate melalui Console atau dengan gcloud. Gunakan cara mana pun yang Anda sukai; hasilnya adalah resource Certificate Manager yang sama.

Opsi A, Google Cloud Console:

1. Masuk ke Google Cloud Console dan pilih proyek Anda.
2. Buka Certificate Manager (di bawah Security, di area Network Security), lalu pilih tab Certificates.
3. Pilih Add Certificate.
4. Beri nama sertifikat, lalu untuk Certificate type pilih Create self-managed certificate.
5. Untuk Location, pilih Global dengan Scope Default untuk load balancer global, atau Regional dan wilayah Anda untuk load balancer regional.
6. Unggah fullchain.crt sebagai sertifikat dan private key PKCS#8 Anda sebagai private key, lalu pilih Create.

Opsi B, gcloud CLI: buat sertifikat yang sama dalam satu perintah. Ganti MY_CERT dengan nama pilihan Anda:

gcloud certificate-manager certificates create MY_CERT 
  --certificate-file=fullchain.crt 
  --private-key-file=yourdomain_pkcs8.key

Dengan cara apa pun, sertifikat sekarang tersimpan di Certificate Manager, tetapi belum terhubung ke lalu lintas apa pun. Langkah berikutnya adalah men-deploy-nya.

Langkah 4: Deploy sertifikat ke load balancer Anda

Certificate Manager men-deploy sertifikat melalui certificate map. Anda membuat map, menambahkan entri yang mengarahkan hostname ke sertifikat Anda, lalu melekatkan map tersebut ke target HTTPS proxy load balancer Anda. Jalankan perintah-perintah berikut dengan gcloud.

Buat certificate map:

gcloud certificate-manager maps create MY_MAP

Tambahkan entri map untuk hostname Anda. Ganti MY_CERT dengan nama sertifikat yang telah Anda unggah dan yourdomain.com dengan domain yang ingin Anda amankan:

gcloud certificate-manager maps entries create my-entry 
  --map=MY_MAP 
  --certificates=MY_CERT 
  --hostname=yourdomain.com

Lekatkan map tersebut ke target HTTPS proxy Anda yang sudah ada. Ganti MY_PROXY dengan nama proxy yang berada di depan load balancer Anda:

gcloud compute target-https-proxies update MY_PROXY 
  --certificate-map=MY_MAP 
  --global

Hilangkan flag --global dan tambahkan --region=YOUR_REGION jika load balancer Anda bersifat regional. Load balancer sekarang menyajikan sertifikat Anda untuk lalu lintas HTTPS yang masuk ke hostname tersebut. Perubahan sertifikat dapat memerlukan waktu beberapa menit untuk diterapkan di seluruh load balancer.

Menguji instalasi SSL Anda

Setelah Anda men-deploy sertifikat, pastikan load balancer menyajikannya dengan benar dan chain-nya lengkap. Dari komputer mana pun yang memiliki OpenSSL, sambungkan ke domain Anda dan baca sertifikat yang dikembalikan:

echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -issuer -subject -dates

Ini akan menampilkan penerbit (issuer), subjek (subject), dan tanggal masa berlaku sertifikat yang sedang digunakan. Untuk laporan lengkap tentang sertifikat dan konfigurasinya, termasuk pemeriksaan chain dan protokol, jalankan domain Anda melalui SSL Checker kami, atau buka situs di browser dan periksa ikon gembok.

Pertanyaan yang Sering Diajukan