Google Cloud Storage

Cómo desplegar automáticamente certificados SSL en un bucket de Google Cloud Storage.

Descripción general

AutoSSL puede cargar automáticamente los archivos del certificado SSL en un bucket de Google Cloud Storage. Cada certificado se archiva en una ruta versionada y también se actualiza en una ruta latest/, para que los consumidores posteriores (por ejemplo, Nginx, Caddy o scripts personalizados que obtienen certificados de Cloud Storage) lo encuentren con facilidad.

Para gestionar y ejecutar este despliegue, consulte la sección Gestión de despliegues.

Parámetros de configuración

Al añadir o editar este destino de despliegue en la consola de AutoSSL, configure estos parámetros:

Parámetro	Descripción	Ejemplo
Nombre del bucket	Nombre del bucket de Cloud Storage en el que se cargarán los archivos del certificado.	`my-ssl-certs`
Prefijo de la clave de objeto	(Opcional) Prefijo para organizar los archivos del certificado en el bucket. Si se indica, los archivos se cargan bajo ese prefijo. La barra final es opcional.	`certs/example.com/`

Cómo funciona

Cuando AutoSSL despliega un certificado en un bucket de Cloud Storage (por ejemplo, my-ssl-certs con el prefijo certs/example.com/), realiza estos pasos:

Preparación del certificado:
- Divide la cadena completa del certificado en archivos PEM individuales: cert.pem (certificado hoja), privkey.pem (clave privada, codificada en PKCS#8), chain.pem (cadena intermedia) y fullchain.pem (cadena completa).
- Genera un archivo README.md con los metadatos del certificado y un enlace a https://autossl.dev para la trazabilidad.
- Lee la fecha notBefore y la huella SHA1 del certificado para generar el nombre del directorio de archivo (formato: YYYY-MM-DD_<first 8 chars of SHA1>).
Carga de archivos:
- Carga los archivos del certificado (cuatro archivos PEM y README.md) en dos rutas del bucket:
  - Ruta de archivo — certs/example.com/2026-05-30_e5f6a7b8/cert.pem (y privkey.pem, chain.pem, fullchain.pem, README.md). Esta ruta es única para cada emisión y nunca se sobrescribe.
  - Ruta latest — certs/example.com/latest/cert.pem (y privkey.pem, chain.pem, fullchain.pem, README.md). Esta ruta siempre refleja el certificado cargado más recientemente.

La ruta latest/ permite que los servicios posteriores obtengan siempre el certificado actual desde una clave de Cloud Storage fija. Los certificados anteriores siguen disponibles en sus directorios de archivo versionados.

Ejemplo de estructura del bucket

Después de varias renovaciones, la estructura del bucket tendrá este aspecto:

certs/example.com/
├── 2026-03-01_a1b2c3d4/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
├── 2026-05-30_e5f6a7b8/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
└── latest/
    ├── cert.pem
    ├── privkey.pem
    ├── chain.pem
    ├── fullchain.pem
    └── README.md

Formato de clave privada

privkey.pem está codificado en formato PKCS#8 (-----BEGIN PRIVATE KEY-----). Los servidores y las herramientas modernos (Nginx, Caddy, Traefik, OpenSSL 1.1+, etc.) admiten ampliamente este formato.

Si su entorno exige el formato PKCS#1 (por ejemplo, -----BEGIN RSA PRIVATE KEY----- para claves RSA), conviértalo en local antes de usarlo:

openssl rsa -in privkey.pem -out privkey-pkcs1.pem

Requisitos de la clave de acceso

Para usar la API de Cloud Storage compatible con S3, este proveedor requiere credenciales HMAC de Google Cloud Storage.

Permisos necesarios

La clave HMAC debe estar asociada a una cuenta de servicio con permiso para cargar objetos en el bucket de destino.

Debe conceder a la cuenta de servicio, al menos, este rol de IAM en el bucket de destino (o un rol personalizado con permisos equivalentes):

roles/storage.objectCreator (o el permiso storage.objects.create)

Ejemplo de permisos mínimos de un rol de IAM personalizado:

storage.objects.create

Para más información sobre los permisos de IAM, consulte la documentación de IAM de Google Cloud.