Übersicht über den Certificate Authority Service

Der Certificate Authority Service (CA Service) ist ein hochskalierbarer Google Cloud Dienst, mit dem Sie die Bereitstellung, Verwaltung und Sicherheit privater Zertifizierungsstellen (Certificate Authorities, CAs) vereinfachen und automatisieren können. Private Zertifizierungsstellen stellen digitale Zertifikate aus, die Entitätsidentität, Ausstelleridentität und kryptografische Signaturen enthalten. Private Zertifikate sind eine der häufigsten Möglichkeiten, Nutzer, Maschinen oder Dienste über Netzwerke zu authentifizieren. Private Zertifikate werden oft in DevOps-Umgebungen verwendet, um Container, Mikrodienste, virtuelle Maschinen und Dienstkonten zu schützen.

Mit dem CA Service haben Sie folgende Möglichkeiten:

  • Benutzerdefinierte Stamm- und untergeordnete CAs erstellen.
  • Subjekt, Schlüsselalgorithmus und Standort der CA definieren.
  • Die Region einer untergeordneten CA unabhängig von der Region der Stamm-CA auswählen.
  • Wiederverwendbare und parametrisierte Vorlagen für häufige Szenarien der Zertifikatsausstellung erstellen.
  • Ihre eigene Stamm-CA verwenden und andere CAs so konfigurieren, dass sie mit der vorhandenen Stamm- CA verknüpft werden, die lokal oder an einem anderen externen Standort ausgeführt wird Google Cloud.
  • Ihre privaten CA-Schlüssel mit Cloud HSM speichern. Dieser Dienst entspricht FIPS 140-2 Level 3 und ist in mehreren Regionen in Amerika, Europa und im asiatisch-pazifischen Raum verfügbar.
  • Mit Cloud Audit LogsLogs abrufen und Informationen dazu erhalten, wer was wann und wo getan hat.
  • Mit Identity and Access Management (IAM) detaillierte Zugriffskontrollen und mit VPC Service Controls virtuelle Sicherheitsbereiche definieren.
  • Große Mengen an Zertifikaten verwalten. Der CA Service unterstützt die Ausstellung von bis zu 25 Zertifikaten pro Sekunde und CA (DevOps-Tarif). Das bedeutet, dass jede CA Millionen von Zertifikaten ausstellen kann. Sie können mehrere CAs hinter einem Ausstellungs-Endpunkt erstellen, der als CA-Pool bezeichnet wird, und die eingehenden Zertifikatsanfragen auf alle CAs verteilen. Mit dieser Funktion können Sie bis zu 100 Zertifikate pro Sekunde ausstellen.
  • Private CAs so verwalten, automatisieren und einbinden, wie es für Sie am praktischsten ist: über APIs, die Google Cloud CLI, die Google Cloud Console oder Terraform.

Anwendungsfälle für Zertifikate

Sie können Ihre privaten CAs verwenden, um Zertifikate für die folgenden Anwendungsfälle auszustellen:

  • Integrität der Softwarelieferkette und Codeidentität: Codesignatur, Artefakt authentifizierung und Zertifikate für die Anwendungsidentität.
  • Nutzeridentität: Zertifikate für die Clientauthentifizierung, die als Nutzeridentität verwendet werden für Zero-Trust-Netzwerke, VPN, Dokumentsignatur, E-Mail, Smartcard und mehr.
  • IoT- und Mobilgeräteidentität: Zertifikate für die Clientauthentifizierung, die als Geräte-Identität und zur Authentifizierung verwendet werden, z. B. für den drahtlosen Zugriff.
  • Intraservice-Identität: mTLS-Zertifikate, die von Mikrodiensten verwendet werden.
  • CI/CD-Kanäle (Continuous Integration und Continuous Delivery): Code signaturzertifikate, die während des gesamten CI/CD-Builds verwendet werden, um die Codeintegrität und ‑sicherheit zu verbessern.
  • Kubernetes und Istio: Zertifikate zum Sichern von Verbindungen zwischen den Kubernetes- und Istio-Komponenten.

Warum eine private PKI wählen?

In einer typischen Web-PKI (Public Key Infrastructure) vertrauen Millionen von Clients auf der ganzen Welt einer Reihe unabhängiger Zertifizierungsstellen (CAs), um Identitäten (z. B. Domainnamen) in Zertifikaten zu bestätigen. Im Rahmen ihrer Aufgaben verpflichten sich CAs, Zertifikate nur auszustellen, wenn sie die Identität im Zertifikat unabhängig validiert haben. Eine CA muss beispielsweise in der Regel bestätigen, dass jemand, der ein Zertifikat für den Domainnamen example.com anfordert, die Domain tatsächlich kontrolliert, bevor sie ein Zertifikat ausstellt. Da diese CAs Zertifikate für Millionen von Kunden ausstellen können, mit denen sie möglicherweise keine direkte Beziehung haben, können sie nur Identitäten bestätigen, die öffentlich überprüfbar sind. Diese CAs sind auf bestimmte, genau definierte Überprüfungsprozesse beschränkt, die einheitlich in der Web-PKI angewendet werden.

Im Gegensatz zur Web-PKI umfasst eine private PKI oft eine kleinere CA-Hierarchie, die direkt von einer Organisation verwaltet wird. Eine private PKI sendet Zertifikate nur an Clients, die der Organisation von Natur aus vertrauen, dass sie die entsprechenden Kontrollen hat (z. B. Maschinen, die der Organisation gehören). Da die CA-Administratoren oft eigene Methoden zum Validieren von Identitäten haben, für die sie Zertifikate ausstellen (z. B. das Ausstellen von Zertifikaten für ihre eigenen Mitarbeiter), unterliegen sie nicht denselben Anforderungen wie bei der Web-PKI. Diese Flexibilität ist einer der Hauptvorteile der privaten PKI gegenüber der Web-PKI. Eine private PKI ermöglicht neue Anwendungsfälle, z. B. das Sichern interner Websites mit kurzen Domainnamen, ohne dass ein eindeutiges Eigentum an diesen Namen erforderlich ist, oder das Codieren alternativer Identitätsformate (z. B. wie SPIFFE-IDs) in ein Zertifikat.

Außerdem müssen alle CAs in der Web-PKI jedes von ihnen ausgestellte Zertifikat in öffentlichen Certificate TransparencyLogs protokollieren. Dies ist möglicherweise nicht für Organisationen erforderlich, die Zertifikate für ihre internen Dienste ausstellen. Mit einer privaten PKI können Organisationen ihre interne Infrastrukturtopologie, z. B. die Namen ihrer Netzwerkdienste oder Anwendungen, vor dem Rest der Welt geheim halten.

Nächste Schritte

  • Informationen zu den Preisen für den CA Service.
  • Standorte des CA Service ansehen.