为子域创建 Google Cloud 托管 SSL 证书

Question

我的主域 www.example.com 托管在 AWS 上的 Route 53 上。

我在 Google Cloud sub.example.com 上创建了自定义域并设置了相应的 NS 记录。

我现在要做的是为这个子域创建一个新的托管 SSL 证书，如下所示：

这可能吗？考虑到我想继续添加更多子域（如sub1.example.com）并为每个子域创建一个证书，这是一种好的做法吗？由于我将 example.com 托管在 Route 53，因此我认为我无法为我在 Google Cloud 上可能拥有的所有可能的子域创建一个托管 SSL 证书？

Answer 1

我的主域 www.example.com 托管在 AWS 上的 Route 53 上。

不错的选择。 Route 53 是一个非常好的 DNS 服务。如果您的服务将托管在 AWS 中就更好了。如果您的服务将托管在 Google Cloud 中，请考虑将名称服务器更改为 Google DNS。这一切都取决于您计划使用的服务以及它们的位置（例如云供应商，而不是地理位置）。

我在 Google Cloud sub.example.com 上创建了自定义域并设置 相应的 NS 记录。

我希望您的意思是您在注册商处更改了 NS 记录，而不是在 Route 53 内。

我现在要做的是为此创建一个新的托管 SSL 证书 子域如下图：这可能吗？

视情况而定。 Google 托管 SSL 证书只能与负载平衡器等 Google 服务一起使用。但是，只要后端服务具有公共 IP 地址，它们就可以在任何地方。 AWS 还为其服务（例如负载均衡器、CloudFront 等）提供托管 SSL 证书。如果您的目标是直接在您的计算实例上使用 Google 托管 SSL 证书等，则不能。 Google 不提供安装和设置 SSL 所需的私钥。

鉴于我想继续添加更多内容，这是一种好习惯吗 sub1.example.com 等子域并为每个子域创建证书 一个？

视情况而定。对于 Google 自行管理的 SSL 证书，您可以使用通配符和/或特定域名创建单个 SSL 证书。如果您是典型用户，则可以使用通配符证书 (*.example.com)。多个名称也可以（site1.example.com、site2.example.com 等）。您还可以为每个域名创建单独的 SSL 证书。对于 www 域名，通常您希望创建具有两个名称（example.com 和 www.example.com）的证书。对于金融机构等，通常使用 EV（扩展验证）证书（Google 不提供）。

Google 托管 SSL 证书对标准 SSL 证书有限制：

• 不支持通配符。
• 仅颁发 DV（域验证）SSL 证书。
• 每个证书一个主机名。
• 负载平衡器最多支持 10 个证书。

由于我将 example.com 托管在 Route 53，我认为我不能 为所有可能的情况创建一个托管 SSL 证书 我在 Google Cloud 上可能拥有的子域？

Route 53 对您对 SSL 证书的选择或策略没有影响。 Route 53 是解析 dns 名称的 DNS 服务器。 SSL (TLS / HTTPS) 是一种不受 Route 53 影响或管理的协议。

Google 托管 SSL 证书仅限于每个证书一个名称。 Google 自行管理的 SSL 证书每个证书可以有多个名称。