Como criar registros para validação DNS-01 do Certificate Manager entre projetos do GCP

Olá, sou incompetente.

Embora não aconteça com muita frequência, ao emitir certificados curinga para os projetos A e B, no caso normal de FIXED_RECORD — ou seja, no caso geral —

é necessário registrar _acme-challenge.example.com. como destino do registro CNAME, mas, nesse caso, os projetos acabam apontando para o mesmo destino de registro e entram em conflito.

Por isso, como no momento parece ser possível usar isso apenas com o comando gcloud e não encontrei essa opção no Console Web, presumo que só seja possível fazer isso pelo comando gcloud — ou, mais precisamente, criar o registro por meio da API —, mas

é possível evitar esse conflito usando a opção PER_PROJECT_RECORD. É um mecanismo bem pensado, mas, por ser uma implementação própria do Google, por assim dizer, não acho que seja recomendável adotar uma operação que dependa dela. Ainda assim, provavelmente haverá situações em que será necessário.

Parece que o ACM da AWS também tem um mecanismo semelhante, então, bem, acho que isso não será um problema em uma migração entre GCP e AWS.

gcloud certificate-manager dns-authorizations create my-dns-01-auth \
  --domain="*.example.com" \
  --type=PER_PROJECT_RECORD \
  --location=global \
  --project=PROJECT_ID

Assim, será necessário registrar registros como estes:

_acme-challenge_abc123.example.com. CNAME ...
_acme-challenge_xyz123.example.com. CNAME ...

Mas tenho uma vaga lembrança de que esse abc123 ou xyz123 era o ID do projeto...