Google Cloud Storage

Como implantar automaticamente certificados SSL em um bucket do Google Cloud Storage.

Visão geral

O AutoSSL pode enviar automaticamente arquivos de certificado SSL para um bucket do Google Cloud Storage. Cada certificado fica arquivado em um caminho versionado e também é atualizado em um caminho latest/, para quem consome os arquivos (por exemplo, Nginx, Caddy ou scripts que baixam certificados do Cloud Storage) encontrar a versão atual com facilidade.

Para gerenciar e executar esta implantação, consulte Gerenciamento de implantações.

Parâmetros de configuração

Ao adicionar ou editar este alvo no console do AutoSSL, configure os parâmetros abaixo:

Parâmetro	Descrição	Exemplo
Nome do bucket	O nome do bucket do Cloud Storage para o qual os arquivos de certificado serão enviados.	`my-ssl-certs`
Prefixo da chave do objeto	(Opcional) Prefixo para organizar os arquivos de certificado no bucket. Se informado, os arquivos ficam sob esse prefixo. A barra final é opcional.	`certs/example.com/`

Como funciona

Quando o AutoSSL implanta um certificado em um bucket do Cloud Storage (por exemplo, my-ssl-certs com o prefixo certs/example.com/), ele faz o seguinte:

Preparação do certificado:
- Separa a cadeia completa em arquivos PEM individuais: cert.pem (certificado folha), privkey.pem (chave privada, codificada em PKCS#8), chain.pem (cadeia intermediária) e fullchain.pem (cadeia completa).
- Gera um arquivo README.md com metadados do certificado e um link para https://autossl.dev, para rastreabilidade.
- Lê a data notBefore e a impressão digital SHA1 do certificado para montar o nome do diretório de arquivo (formato: YYYY-MM-DD_<first 8 chars of SHA1>).
Envio dos arquivos:
- Envia os arquivos de certificado (quatro arquivos PEM e o README.md) para dois caminhos no bucket:
  - Caminho de arquivo — certs/example.com/2026-05-30_e5f6a7b8/cert.pem (e privkey.pem, chain.pem, fullchain.pem, README.md). Esse caminho é único para cada emissão e nunca é sobrescrito.
  - Caminho latest — certs/example.com/latest/cert.pem (e privkey.pem, chain.pem, fullchain.pem, README.md). Esse caminho sempre aponta para o certificado enviado por último.

O caminho latest/ permite que os serviços seguintes busquem sempre o certificado atual em uma chave fixa do Cloud Storage. Os certificados anteriores continuam disponíveis nos diretórios versionados.

Exemplo de estrutura do bucket

Depois de várias renovações, a estrutura do bucket fica assim:

certs/example.com/
├── 2026-03-01_a1b2c3d4/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
├── 2026-05-30_e5f6a7b8/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
└── latest/
    ├── cert.pem
    ├── privkey.pem
    ├── chain.pem
    ├── fullchain.pem
    └── README.md

Formato da chave privada

privkey.pem usa o formato PKCS#8 (-----BEGIN PRIVATE KEY-----). Servidores e ferramentas modernos aceitam esse formato (Nginx, Caddy, Traefik, OpenSSL 1.1+ e outros).

Se o ambiente exigir PKCS#1 (por exemplo, -----BEGIN RSA PRIVATE KEY----- para chaves RSA), converta localmente antes de usar:

openssl rsa -in privkey.pem -out privkey-pkcs1.pem

Requisitos da chave de acesso

Para usar a API do Cloud Storage compatível com S3, este provedor exige credenciais HMAC do Google Cloud Storage.

Permissões necessárias

A chave HMAC precisa estar associada a uma conta de serviço com permissão para enviar objetos ao bucket de destino.

Conceda à conta de serviço pelo menos este papel do IAM no bucket (ou um papel personalizado com permissões equivalentes):

roles/storage.objectCreator (ou a permissão storage.objects.create)

Exemplo de permissões mínimas em um papel IAM personalizado:

storage.objects.create

Para saber como gerenciar permissões do IAM, consulte a documentação do Google Cloud IAM.