Com Google Trust Services (ACME)
Emissão de certificados pelo Google Trust Services usando ACME, com validação automática de domínio.
A integração Google Trust Services (ACME) precisa estar cadastrada pelo card Outra CA (ACME) — veja Integrações → Google Trust Services (ACME). O passo a passo completo do wizard está em Fluxo de emissão.
Requisitos
| Requisito | Detalhe |
|---|---|
| Integração cadastrada | Conta ACME Google Trust Services registrada em Integrations, pelo card genérico |
| EAB ainda válido | Uso único e expira em 7 dias — só é relevante para o cadastro e a primeira emissão |
| Registro CAA | Se publicado, precisa incluir 0 issue "pki.goog" |
| Chave | RSA — 2048, 3072 ou 4096 bits |
O CLM só registra a conta junto ao Google na primeira emissão, e o EAB usado no cadastro expira em 7 dias. Se a primeira emissão demorar para acontecer, o EAB pode expirar antes — gere um novo par no gcloud e atualize a integração se isso ocorrer.
O que muda no Step 2
Em Certificate Authority, selecione a conta Google Trust Services registrada (o nome é o que você informou no cadastro, ex: Google Trust Services). O formulário exibe:
- ACME Account — selecione a conta registrada
- Validation Method — HTTP Challenge ou DNS Challenge
- DNS Auto-Validation (AWS Route 53) — disponível ao escolher DNS Challenge
Após a emissão
O Google Trust Services emite certificados DV de curta duração, encadeados em GTS Root R1. A renovação automática do CLM não depende mais do EAB usado no cadastro — ela usa a chave de conta ACME persistida.
Problemas comuns
| Erro | Causa provável |
|---|---|
Unknown external account binding (EAB) key | EAB expirado (7 dias) ou já consumido — gere um novo par e atualize a integração |
Account does not exist for this key | Conta em estado intermediário — exclua a integração, gere um EAB novo e cadastre do zero |
| CAA rejeitado | Registro CAA não autoriza pki.goog |
| Desafio HTTP-01 expirado | Porta 80 bloqueada ou redirecionando — use DNS Challenge |
Para o passo a passo de geração de credenciais no gcloud e mais detalhes de cada erro, veja Integrações → Google Trust Services (ACME).