Come installare un certificato SSL su Google Cloud Platform

Questo tutorial spiega come installare un certificato SSL su Google Cloud Platform utilizzando Certificate Manager. Imparerai anche come generare un CSR (Certificate Signing Request) per Google Cloud e come distribuire il certificato su un load balancer HTTPS.

Genera un codice CSR su Google Cloud Platform

Non puoi ordinare un certificato SSL senza un codice CSR. CSR sta per Certificate Signing Request, un blocco di testo codificato che contiene i dettagli del richiedente. La Certificate Authority utilizza il CSR per verificare il tuo dominio e la tua organizzazione prima di emettere il certificato.

Google Cloud non dispone di un modulo integrato che crei un CSR per te, quindi generi il CSR e la sua chiave privata con OpenSSL sulla tua macchina. Hai due opzioni:

• Genera il CSR automaticamente con il nostro CSR Generator.
• Segui il nostro tutorial passo passo su come creare il CSR su Google Cloud Platform.

Conserva la chiave privata in un luogo sicuro. Ti servirà di nuovo quando caricherai il certificato su Certificate Manager. Invia il CSR alla Certificate Authority durante l’ordine e, una volta emesso il certificato, prosegui con l’installazione descritta di seguito.

Installa un certificato SSL su Google Cloud Platform

Su Google Cloud, un certificato di terze parti (fornito autonomamente) viene chiamato certificato autogestito (self-managed). Lo carichi su Certificate Manager, quindi lo distribuisci su un load balancer HTTPS. Prima di iniziare, assicurati di avere:

• I file del certificato firmato dalla Certificate Authority.
• La chiave privata generata insieme al CSR.
• L’accesso alla Google Cloud Console e alla CLI gcloud.
• Un load balancer HTTPS esistente (un Application Load Balancer esterno con un target HTTPS proxy) che serve il tuo dominio. Il certificato viene collegato a questo load balancer.

Fase 1: Prepara i file del certificato

Dopo che la Certificate Authority ha convalidato la tua richiesta, ti invia via email un archivio ZIP. Estrailo e cerca:

• yourdomain.crt, il certificato del server.
• yourdomain.ca-bundle, i certificati intermedi.
• yourdomain.key, la chiave privata creata insieme al CSR.

Fase 2: Combina il certificato e la catena

Certificate Manager si aspetta un unico file PEM che contenga prima il certificato del server, poi i certificati intermedi, in questo ordine. Apri un terminale nella cartella in cui sono salvati i file ed esegui:

cat yourdomain.crt yourdomain.ca-bundle > fullchain.crt

Questo crea un file in formato PEM con il tuo certificato e la catena intermedia nell’ordine corretto. Il file del certificato deve iniziare con —–BEGIN CERTIFICATE—– e terminare con —–END CERTIFICATE—–.

Ora controlla la chiave privata. Certificate Manager richiede che sia:

• In formato PEM e non crittografata (senza passphrase).
• In forma PKCS#8, quindi deve iniziare con —–BEGIN PRIVATE KEY—–, non con —–BEGIN RSA PRIVATE KEY—–.
• RSA (2048, 3072 o 4096 bit) oppure ECDSA (P-256 o P-384).

Se la tua chiave inizia con —–BEGIN RSA PRIVATE KEY—– (PKCS#1), convertila nella forma PKCS#8 accettata da Certificate Manager:

openssl pkcs8 -topk8 -nocrypt -in yourdomain.key -out yourdomain_pkcs8.key

Utilizza il file risultante yourdomain_pkcs8.key nelle fasi di caricamento descritte di seguito. Se la tua chiave è protetta da passphrase, questo comando ti chiederà anche la passphrase e genererà una copia non crittografata.

Fase 3: Carica il certificato su Certificate Manager

Puoi caricare il certificato autogestito dalla Console oppure con gcloud. Usa quello che preferisci; il risultato è la stessa risorsa di Certificate Manager.

Opzione A, Google Cloud Console:

1. Accedi alla Google Cloud Console e seleziona il tuo progetto.
2. Apri Certificate Manager (sotto Security, nell’area Network Security), quindi seleziona la scheda Certificates.
3. Seleziona Add Certificate.
4. Assegna un nome al certificato, quindi per Certificate type scegli Create self-managed certificate.
5. Per Location, scegli Global con Scope Default per un load balancer globale, oppure Regional e la tua regione per un load balancer regionale.
6. Carica fullchain.crt come certificato e la tua chiave privata PKCS#8 come chiave privata, quindi seleziona Create.

Opzione B, CLI gcloud: crea lo stesso certificato con un unico comando. Sostituisci MY_CERT con un nome a tua scelta:

gcloud certificate-manager certificates create MY_CERT 
  --certificate-file=fullchain.crt 
  --private-key-file=yourdomain_pkcs8.key

In entrambi i casi, il certificato risiede ora in Certificate Manager, ma non è ancora collegato a nessun traffico. Il passaggio successivo lo distribuisce.

Fase 4: Distribuisci il certificato sul tuo load balancer

Certificate Manager distribuisce un certificato tramite una mappa dei certificati (certificate map). Crei una mappa, aggiungi una voce che colleghi un nome host al tuo certificato, quindi colleghi la mappa al target HTTPS proxy del tuo load balancer. Esegui questi comandi con gcloud.

Crea una mappa dei certificati:

gcloud certificate-manager maps create MY_MAP

Aggiungi una voce alla mappa per il tuo nome host. Sostituisci MY_CERT con il nome del certificato caricato e yourdomain.com con il dominio che desideri proteggere:

gcloud certificate-manager maps entries create my-entry 
  --map=MY_MAP 
  --certificates=MY_CERT 
  --hostname=yourdomain.com

Collega la mappa al tuo target HTTPS proxy esistente. Sostituisci MY_PROXY con il nome del proxy che gestisce il tuo load balancer:

gcloud compute target-https-proxies update MY_PROXY 
  --certificate-map=MY_MAP 
  --global

Rimuovi il flag --global e aggiungi --region=YOUR_REGION se il tuo load balancer è regionale. Il load balancer ora serve il tuo certificato per il traffico HTTPS in entrata verso quel nome host. Le modifiche al certificato possono richiedere alcuni minuti per propagarsi attraverso il load balancer.

Testa la tua installazione SSL

Dopo aver distribuito il certificato, verifica che il load balancer lo serva correttamente e che la catena sia completa. Da qualsiasi macchina con OpenSSL, connettiti al tuo dominio e leggi il certificato restituito:

echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -issuer -subject -dates

Questo comando stampa l’emittente, il soggetto e le date di validità del certificato attualmente in uso. Per un report completo sul certificato e sulla sua configurazione, inclusi i controlli sulla catena e sul protocollo, esegui una verifica del tuo dominio con il nostro SSL Checker, oppure apri il sito in un browser e controlla il lucchetto.

Domande Frequenti