Google Cloud Storage

So stellen Sie SSL-Zertifikate automatisch in einem Google-Cloud-Storage-Bucket bereit.

Übersicht

AutoSSL kann SSL-Zertifikatsdateien automatisch in einen Google-Cloud-Storage-Bucket hochladen. Jedes Zertifikat wird unter einem versionierten Archivpfad abgelegt und zusätzlich unter einem Pfad latest/ aktualisiert. Nachgelagerte Systeme, zum Beispiel Nginx, Caddy oder eigene Skripte, können das aktuelle Zertifikat so leicht aus Cloud Storage beziehen.

Wie Sie diese Bereitstellung verwalten und ausführen, steht im Abschnitt Bereitstellungen verwalten.

Konfigurationsparameter

Wenn Sie dieses Bereitstellungsziel in der AutoSSL-Konsole hinzufügen oder bearbeiten, konfigurieren Sie die folgenden Parameter:

Parameter	Beschreibung	Beispiel
Bucket-Name	Name des Cloud-Storage-Buckets, in den die Zertifikatsdateien hochgeladen werden.	`my-ssl-certs`
Objektpräfix	(Optional) Präfix zur Ablage der Zertifikatsdateien im Bucket. Wenn es gesetzt ist, werden die Dateien unter diesem Präfix hochgeladen. Ein abschließender Schrägstrich ist optional.	`certs/example.com/`

Funktionsweise

Wenn AutoSSL ein Zertifikat in einen Cloud-Storage-Bucket bereitstellt, zum Beispiel my-ssl-certs mit dem Präfix certs/example.com/, führt es diese Schritte aus:

Zertifikat vorbereiten:
- Teilt die vollständige Zertifikatskette in einzelne PEM-Dateien auf: cert.pem (Leaf-Zertifikat), privkey.pem (privater Schlüssel, PKCS#8), chain.pem (Zwischenzertifikate) und fullchain.pem (vollständige Kette).
- Erstellt eine Datei README.md mit Metadaten des Zertifikats und einem Link zu https://autossl.dev zur Nachverfolgung.
- Liest das Datum notBefore und den SHA1-Fingerabdruck und bildet daraus den Archivordner (Format: YYYY-MM-DD_<first 8 chars of SHA1>).
Dateien hochladen:
- Lädt die Zertifikatsdateien (vier PEM-Dateien und README.md) an zwei Pfade im Bucket hoch:
  - Archivpfad — certs/example.com/2026-05-30_e5f6a7b8/cert.pem (sowie privkey.pem, chain.pem, fullchain.pem, README.md). Dieser Pfad ist für jede Ausstellung eindeutig und wird nie überschrieben.
  - Pfad latest — certs/example.com/latest/cert.pem (sowie privkey.pem, chain.pem, fullchain.pem, README.md). Dieser Pfad enthält immer das zuletzt hochgeladene Zertifikat.

Über den Pfad latest/ können nachgelagerte Dienste das aktuelle Zertifikat immer unter einem festen Cloud-Storage-Schlüssel abrufen. Ältere Zertifikate bleiben in ihren versionierten Archivordnern verfügbar.

Beispiel für die Bucket-Struktur

Nach mehreren Verlängerungen sieht die Struktur des Buckets so aus:

certs/example.com/
├── 2026-03-01_a1b2c3d4/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
├── 2026-05-30_e5f6a7b8/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
└── latest/
    ├── cert.pem
    ├── privkey.pem
    ├── chain.pem
    ├── fullchain.pem
    └── README.md

Format des privaten Schlüssels

privkey.pem liegt im Format PKCS#8 vor (-----BEGIN PRIVATE KEY-----). Moderne Webserver und Werkzeuge unterstützen dieses Format, darunter Nginx, Caddy, Traefik und OpenSSL 1.1+.

Wenn Ihre Umgebung PKCS#1 benötigt, zum Beispiel -----BEGIN RSA PRIVATE KEY----- für RSA-Schlüssel, konvertieren Sie die Datei vor der Verwendung lokal:

openssl rsa -in privkey.pem -out privkey-pkcs1.pem

Anforderungen an Zugriffsschlüssel

Für die S3-kompatible Cloud-Storage-API benötigt dieser Anbieter Google-Cloud-Storage-HMAC-Anmeldedaten.

Erforderliche Berechtigungen

Der HMAC-Schlüssel muss zu einem Dienstkonto gehören, das Objekte in den Ziel-Bucket hochladen darf.

Gewähren Sie dem Dienstkonto für den Ziel-Bucket mindestens diese IAM-Rolle oder eine benutzerdefinierte Rolle mit gleichwertigen Berechtigungen:

roles/storage.objectCreator (oder die Berechtigung storage.objects.create)

Beispiel für die Berechtigungen einer minimalen benutzerdefinierten IAM-Rolle:

storage.objects.create

Weitere Informationen zur Verwaltung von IAM-Berechtigungen finden Sie in der Google-Cloud-IAM-Dokumentation.