Google Cloud Storage

Comment déployer automatiquement des certificats SSL vers un bucket Google Cloud Storage.

Vue d’ensemble

AutoSSL peut envoyer automatiquement les fichiers de certificat SSL vers un bucket Google Cloud Storage. Chaque certificat est archivé dans un chemin versionné et mis à jour sous un chemin latest/, afin que les services en aval le trouvent facilement (par exemple Nginx, Caddy ou des scripts qui récupèrent les certificats depuis Cloud Storage).

Pour gérer et lancer ce déploiement, consultez la section Gestion des déploiements.

Paramètres de configuration

Lorsque vous ajoutez ou modifiez cette cible de déploiement dans la console AutoSSL, renseignez les paramètres suivants :

Paramètre	Description	Exemple
Nom du bucket	Nom du bucket Cloud Storage vers lequel envoyer les fichiers de certificat.	`my-ssl-certs`
Préfixe de clé d’objet	(Facultatif) Préfixe pour ranger les fichiers de certificat dans le bucket. S’il est défini, les fichiers sont envoyés sous ce préfixe. La barre oblique finale est facultative.	`certs/example.com/`

Fonctionnement

Lorsque AutoSSL déploie un certificat vers un bucket Cloud Storage (par exemple my-ssl-certs, avec le préfixe certs/example.com/), il procède ainsi :

Préparation du certificat :
- Découpe la chaîne complète en fichiers PEM distincts : cert.pem (certificat feuille), privkey.pem (clé privée encodée en PKCS#8), chain.pem (chaîne intermédiaire) et fullchain.pem (chaîne complète).
- Génère un fichier README.md avec les métadonnées du certificat et un lien vers https://autossl.dev, pour pouvoir le retrouver.
- Lit la date notBefore et l’empreinte SHA1 du certificat afin de nommer le répertoire d’archive (format : YYYY-MM-DD_<first 8 chars of SHA1>).
Envoi des fichiers :
- Envoie les fichiers du certificat (quatre fichiers PEM et README.md) vers deux chemins dans le bucket :
  - Chemin d’archive — certs/example.com/2026-05-30_e5f6a7b8/cert.pem (ainsi que privkey.pem, chain.pem, fullchain.pem et README.md). Ce chemin est propre à chaque émission et n’est jamais écrasé.
  - Chemin latest — certs/example.com/latest/cert.pem (ainsi que privkey.pem, chain.pem, fullchain.pem et README.md). Ce chemin correspond toujours au dernier certificat envoyé.

Le chemin latest/ permet aux services en aval de toujours récupérer le certificat courant depuis une clé d’objet Cloud Storage fixe. Les certificats précédents restent accessibles dans leurs répertoires d’archive versionnés.

Exemple de structure du bucket

Après plusieurs renouvellements, la structure ressemble à ceci :

certs/example.com/
├── 2026-03-01_a1b2c3d4/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
├── 2026-05-30_e5f6a7b8/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
└── latest/
    ├── cert.pem
    ├── privkey.pem
    ├── chain.pem
    ├── fullchain.pem
    └── README.md

Format de clé privée

privkey.pem est encodé au format PKCS#8 (-----BEGIN PRIVATE KEY-----). Les serveurs et outils récents le prennent en charge (Nginx, Caddy, Traefik, OpenSSL 1.1+, etc.).

Si votre environnement exige le format PKCS#1 (par exemple -----BEGIN RSA PRIVATE KEY----- pour une clé RSA), convertissez-le localement avant de l’utiliser :

openssl rsa -in privkey.pem -out privkey-pkcs1.pem

Clé d’accès requise

Pour appeler l’API XML compatible S3 de Cloud Storage, ce fournisseur exige des identifiants HMAC Google Cloud Storage.

Autorisations requises

La clé HMAC doit être associée à un compte de service autorisé à envoyer des objets vers le bucket cible.

Accordez à ce compte de service au minimum le rôle IAM suivant sur le bucket cible (ou un rôle personnalisé équivalent) :

roles/storage.objectCreator (ou l’autorisation storage.objects.create)

Exemple d’autorisations minimales pour un rôle IAM personnalisé :

storage.objects.create

Pour gérer les autorisations IAM, consultez la documentation IAM de Google Cloud.