如何为后端HTTPS服务指定使用谷歌云证书存储中的证书？

开发者阿泽

2026-5-21

我来帮你拆解这两个问题，刚好对GCE Ingress的后端HTTPS配置有不少实践经验：

如何配置Google Cloud Certificate Store中的证书到后端服务

要让后端服务使用Google Cloud Certificate Manager（也就是你说的Certificate Store）里的证书，核心是把GCP托管的证书安全地传递到后端Pod中，常用两种方案：

通过Secret Manager挂载证书文件
1. 先把Certificate Manager中的证书导出到Secret Manager（或者直接在Secret Manager中托管证书文件）
2. 在你的Deployment配置里，通过volumes和volumeMounts把Secret Manager中的证书挂载到Pod的指定路径（比如/etc/ssl/certs）
3. 调整后端服务的启动参数，让它读取这个路径下的证书和私钥文件
给你个配置片段参考：
```
spec:
  template:
    spec:
      volumes:
      - name: ssl-cert-volume
        secret:
          secretName: gcp-managed-cert  # 这个K8s Secret是从Secret Manager同步来的
      containers:
      - name: your-backend-app
        volumeMounts:
        - name: ssl-cert-volume
          mountPath: /etc/ssl/your-domain
          readOnly: true
        command: ["your-app-binary"]
        args:
        - --tls-cert=/etc/ssl/your-domain/tls.crt
        - --tls-key=/etc/ssl/your-domain/tls.key
```
更推荐用GCP的secretmanager-csi-driver直接挂载Secret Manager内容，不用手动同步K8s Secret，证书更新时还能自动同步到Pod，安全性更高。
通过Workload Identity动态获取证书
如果你的后端是自定义开发的服务，可以给Pod绑定一个拥有Certificate Manager读取权限的Service Account，然后在服务代码里调用GCP API拉取证书内容，动态加载到服务中。这种方式不需要挂载文件，适合需要频繁更新证书的场景。

你提到的那个backside-https示例，其实是用了自签名证书来搭建后端HTTPS服务的：

示例的镜像要么内置了预先生成的自签证书，要么在启动脚本里自动生成临时的自签证书
对应的Ingress配置里会通过BackendConfig设置忽略后端证书的合法性（比如添加verifyBackendCertificate: false），这样Ingress转发请求时不会因为自签证书不受信任而报错

这种配置只适合测试场景，生产环境绝对不能这么用——自签证书存在安全风险，而且跳过证书校验会暴露中间人攻击的隐患。

后端SSL终止的好处是让每个服务能独立管控自己的HTTPS配置，但生产环境里一定要注意：

内容的提问来源于stack exchange，提问作者stuckintheshuck