如何更新 Google Cloud 负载均衡器上的 SslCertificate 资源？

Question

有没有一种方法来延长当底层证书过期的谷歌云负载平衡器的SslCertificate资源，或者你必须创建具有更新证书的新资源？

谢谢大家！

Answer 1

在 Google 的 Global HTTP Load Balancer 上，每个 HTTPS 目标代理都链接到一个证书。您可以使用 gcloud 工具（预安装在 GCE 映像上）使用新证书更新目标代理。但请确保：

您的 gcloud 版本相对较新。target-https-proxies 命令是最近才添加的，因此旧版本的 gcloud 中不存在这些命令。（不要与target-http-proxies管理纯文本 HTTP 站点的混淆）
您的续订服务器具有对 Compute Engine 资源的 API 访问权限。您可以在 GCE 模板中或逐个实例地配置它。

您可以在 gcloud 中查询当前证书，以检查它是否即将过期。如果是，您可以上传您的新证书，然后使用target-https-proxies update命令切换到新证书。您不会立即看到更改，但很快，更新的证书应该会在全球安装。

有 30 个 SSL 证书的使用配额（至少在我的帐户中）。但是，如果您的续订不是太激进，那么即使您的续订脚本没有清除过期的证书，您也不会有任何问题。最好保留至少 1 个旧证书，以防万一出现问题而您需要还原。

命令是`gcloud compute ssl-certificates create mynewcert --certificate mynewcertfile.crt --private-key mykeyfile.key`然后`gcloud compute target-https-proxies update my-https-proxy --ssl-certificate mynewcert` (4认同)
上面命令中的一个小错字应该是：`gcloudcomputetarget-https-proxiesupdatemy-https-proxy --ssl-certificatesmynewcert`这就是今天的工作 (2认同)

Answer 2

看起来 Google 为您提供了另一种解决方案，您可以创建新证书，创建新的 SslCertificate 资源并将其放在负载均衡器上。如果新证书出现问题，它允许您在不停机的情况下更改证书。最后，您可以删除过期的 SslCertificate 资源。