谷歌云SSL证书：从托管到自管理，一篇搞懂所有核心机制

一、Google Trust Services：谷歌自己就是发证书的

聊谷歌云SSL证书之前，必须先搞清楚一个事实——谷歌自己就是证书颁发机构。Google Trust Services是Alphabet旗下的自有CA，2017年收购了GlobalSign的部分根证书后正式成立。2017年拿到WebTrust认证，2018年根证书被Chrome、Firefox、Safari等主流浏览器内建信任。

这意味着什么？你在谷歌云上申请的SSL证书，信任链一路追溯上去，最终落在谷歌自己的根证书上，不需要依赖任何第三方CA。GTS Root R1、R2、R3、R4这四个根证书，已经被全球数十亿设备默认信任。

这套证书体系是标准的三层架构：根证书自签名且被浏览器内置信任；中继证书由根证书签发，实际用来签发终端证书，分担根证书的风险；终端证书就是安装在你网站服务器上的那张证书，是用户浏览器实际验证的那张。浏览器验证时从终端证书开始逐级往上追溯——终端证书→中继证书→根证书。整条信任链完整且未被吊销，浏览器才会显示那个让人安心的小绿锁。

这套体系的天然优势是：根证书已经被全球主流设备信任，兼容性基本不用操心。对于绝大多数面向公众的网站来说，这就是最省心的底层保障。

二、两条大路：Google托管证书 vs 自管理证书

谷歌云上的SSL证书，按管理方式分成两条截然不同的路：Google托管证书和自管理证书。这两条路没有绝对的好坏，只有适合不适合。

Google托管证书是谷歌云最吸引人的玩法。你只需要在控制台里告诉谷歌“我要给这个域名搞张证书”，剩下的事儿——申请、颁发、安装、续期——全部自动完成。核心机制是：你创建一个证书资源，指定要保护的域名，谷歌的CA系统自动验证你对域名的控制权（通过DNS验证或HTTP验证），验证通过后签发证书，自动部署到负载均衡器上。证书有效期90天，但谷歌会在到期前自动帮你续上。

托管证书目前只支持域名验证级别的证书，不支持通配符证书。而且它必须配合谷歌云的负载均衡技术使用。适用于负载均衡场景，而且是免费的。对于个人项目、初创公司、中小型企业的标准网站来说，托管证书已经够用了——免费、自动续期、不用操心。

自管理证书就是你自己从第三方CA买证书，然后手动上传到谷歌云。谷歌不额外收费，但所有管理工作——申请、续期、上传、绑定——都得自己搞定。自管理证书支持DV、OV、EV所有验证级别，也支持通配符证书和多个SAN域名。如果你的业务需要OV的组织身份验证、EV的绿色地址栏、通配符覆盖多个子域名，或者有国密SM2这样的特殊合规要求，那就只能走自管理这条路。

两条路的核心差异就一句话：托管证书省心但功能受限，自管理证书灵活但费手。

三、Certificate Manager：证书管理的统一控制面

Certificate Manager是谷歌云提供的集中化证书管理服务。它把分散在各处的证书资源统一到一个控制面下，支持自动签发、续订和管理Google托管证书，也支持上传和管理自管理证书。

Certificate Manager提供了两种证书配置方法：Compute Engine SSL证书资源和Certificate Manager证书映射。前者是传统方式，把SSL证书资源直接附加到目标代理上。后者更高级——证书映射包含一个或多个证书条目，每个条目引用一个Certificate Manager证书资源。通过证书映射，一个目标HTTPS代理可以引用数千个SSL证书条目。对于管理大量域名和证书的企业来说，这种集中化管理能力是刚需。

Certificate Manager还支持区域级证书和全球级证书的部署。区域证书和全球证书在计费时分开统计、分开分级。所有区域部署的区域证书数量会加总计算。对于需要在特定区域部署证书的业务场景，这个设计非常实用。

在GKE环境中，可以通过创建ManagedCertificate自定义资源对象，指定需要证书的域名，然后绑定到Ingress上。谷歌云会自动处理证书的申请、验证、颁发和部署。整个过程不需要手动获取证书、配置负载均衡、按时续期——只需要创建一个资源对象，声明“我要给这些域名搞张证书”。

四、部署实战：从控制台到命令行

谷歌云上部署SSL证书的核心逻辑是：证书不部署在后端实例上，而是在负载均衡层面统一终止TLS。所有面向公网的HTTPS流量必须经过全球外部应用负载均衡器，由它负责TLS握手、证书验证与解密，再以HTTP或HTTPS转发至后端服务。这意味着你不需要在每台虚拟机上配置Nginx或Apache的SSL模块——后端只需要处理明文请求。

托管证书的部署流程极其简单。在Google Cloud控制台中，前往Certificate Manager页面，点击添加证书，选择“创建Google管理的证书”，指定域名，选择授权类型（负载均衡器授权或DNS授权），点击创建。也可以用gcloud命令行：gcloud certificate-manager certificates create CERTIFICATE_NAME --domains="DOMAIN_NAMES"。还可以用Terraform：在managed代码块中指定domains即可。

自管理证书的上传稍微复杂一点。证书必须以PEM格式上传，包含完整证书链（站点证书+中间CA证书），私钥必须是未加密的RSA或ECDSA格式。单个证书资源最大10MB，每个HTTPS负载均衡前端最多绑定15张证书。在控制台中，进入负载均衡页面，选择前端配置，在SSL证书下选择“创建新证书（上传我的证书）”，上传证书PEM和私钥PEM，点击创建。用gcloud命令：gcloud certificate-manager certificates create CERTIFICATE_NAME --private-key-file=key.pem --certificate-file=cert.pem。

一个容易被忽视的坑：证书链不完整。谷歌云不会自动补全证书链，必须手动拼接。如果上传的PEM文件遗漏了中间证书，iOS Safari和微信内置浏览器可能会频繁白屏。正确的做法是按“站点证书→中间证书→根证书（可选）”的顺序合并为单一PEM文件。用OpenSSL可以验证证书链完整性。

App Engine和Cloud Run的证书逻辑稍有不同。这两个serverless服务都提供免费的SSL/TLS证书，为自定义域名自动预配。将自定义域名映射到应用并配置好DNS记录后，App Engine会自动提供托管式SSL证书，并在证书到期前自动续期。Cloud Run同样支持一条命令从容器镜像部署为带有TLS证书的Web应用。

五、计费：免费的托管证书和阶梯定价的Certificate Manager

谷歌云SSL证书的计费逻辑需要分三层看。

第一层：托管证书本身免费。Google管理的SSL证书不收取证书本身的费用。无论是负载均衡、Media CDN还是App Engine、Cloud Run，保护最终用户流量的Google托管证书都不需要额外付费。Certificate Manager的公共CA功能颁发的证书也是免费的。

第二层：Certificate Manager的管理费用。虽然证书本身免费，但使用Certificate Manager来预配这些证书会产生费用。计费模式是阶梯式：0到100个证书免费；101到2000个证书，每个证书每月0.20美元；超过2000个证书，每个证书每月0.10美元。区域证书和全球证书分开统计、分开计费。部署TLS证书时，使用RSA-3072或RSA-4096密钥类型的证书，每百万次连接收费0.45美元；使用RSA-2048、ECDSA P-256或ECDSA P-384则不产生连接费用。

第三层：Certificate Authority Service的费用。如果你使用CA Service签发私有证书，还需要支付证书费用：0到5万个证书，每个0.3美元。

对于大多数中小企业来说，前100个证书免费、托管证书本身免费的组合拳，已经足够覆盖日常需求了。

六、故障排查：证书状态FAILED怎么办

谷歌云托管证书最常见的故障原因是DNS记录无效或缺失。证书管理器无法验证域名所有权，颁发或续订就会失败。排查思路很直接：检查是否可以通过公共DNS访问_acme-challenge记录。使用Google公共DNS快速检查记录是否可解析且有效。

在负载均衡器中，检查附加的SSL证书状态。Google托管证书的状态必须是ACTIVE。如果是FAILED或PROVISIONING，大概率是DNS或域名验证问题。还要确认SSL证书是否正确附加到了负载均衡器的目标代理上。

如果DNS记录已更新但证书仍然失败，可能需要删除现有SSL证书并重新创建。对于App Engine自动生成的域名，Google Cloud会自动预配和管理SSL证书。如果使用自定义域名，需要通过App Engine设置添加自定义域名。

托管证书的续期在到期前约一个月自动开始。如果续期失败，同样需要检查DNS配置。对于自行管理的证书，建议在证书生命周期的三分之二时进行续期——90天证书大约在第60天。

七、选型建议：到底选哪条路

没有标准答案，只有适合的场景。总结几条实战建议：

选托管证书的场景：标准网站、个人博客、初创公司项目、中小型企业官网。不需要通配符，不需要OV/EV验证级别，不想操心证书续期，预算敏感。托管证书免费、自动、省心，完美匹配。

选自管理证书的场景：需要通配符证书覆盖多个子域名；需要OV的组织身份验证或EV的绿色地址栏；有国密SM2等特殊合规要求；证书需要从特定CA购买（如DigiCert、Sectigo）；需要在多个云平台或本地数据中心共用同一张证书。

选Certificate Manager的场景：管理大量域名和证书的企业；需要集中化、精细化的证书管理；使用证书映射处理数千个证书条目；需要区域级证书部署。

一个常见的实践是：生产环境用Google托管证书（免费、自动、合规），预发或灰度环境如果需要快速验证OV/EV证书效果，用自管理方式上传测试证书。注意一点：GCP不支持同一域名在多个项目中同时申请Google托管证书，CA会拒绝重复签发。这时候应该在主项目申请，通过跨项目共享复用证书资源。

---

上饶市万云信息科技有限公司是国内深耕多年的综合型多云服务合作商，业务覆盖阿里云、腾讯云、华为云、天翼云、火山云、微软云、谷歌云、亚马逊云八大主流公有云平台。公司现有全职员工500人，行业经验10年以上，八大云平台全年综合销量突破20亿人民币，累计服务超100万合作客户，累计助力企业部署云服务器近1亿台。其中单谷歌云年销量达5000万美金，是谷歌云头部一级代理商。找上饶市万云信息合作谷歌云，可享受8折优惠或返20%政策。团队架构完善、服务体系标准化，具备承接大、中、小型企业规模化上云项目的完整能力。

常见问题解答

问：Google托管SSL证书是完全免费的吗？
答：证书本身完全免费。但如果使用Certificate Manager来预配证书，前100个证书免费，超过100个会产生少量管理费。

问：托管证书支持通配符域名吗？
答：不支持。Google托管证书只支持单个非通配符域名。如果需要通配符证书，必须使用自管理证书。

问：自管理证书上传有什么格式要求？
答：必须是PEM格式，包含完整证书链（站点证书+中间CA证书），私钥为未加密的RSA或ECDSA格式。证书链不超过5个证书，至少包含一个中间证书。

问：托管证书状态一直显示FAILED怎么办？
答：最常见原因是DNS记录无效或缺失。检查_acme-challenge DNS记录是否正确配置且可公共访问。确认域名已解析到GCP的任播IP，并开放80/443端口用于验证。

问：App Engine和Cloud Run的SSL证书怎么配置？
答：这两个服务都提供免费的托管SSL证书，自动预配和续期。只需要将自定义域名映射到应用并配置好DNS记录，Google会自动处理证书。

问：一个证书资源最多支持多少个域名？
答：Google托管证书每个资源最多支持100个域名，每个域名长度不超过63个字符。