יצירת רשות אישורים משנית מרשות אישורים חיצונית

בדף הזה מוסבר איך ליצור רשות אישורים (CA) משנית שמקושרת לרשות אישורים חיצונית בסיסית.

אם יש לכם היררכיה קיימת של תשתית מפתח ציבורי (PKI) שמכילה רשות אישורים (CA) ברמה הבסיסית ורשויות אישורים (CA) משניות, אתם יכולים לשמור על אותה רשות אישורים (CA) ברמה הבסיסית וליצור רשות אישורים (CA) משנית בשירות CA שמקושרת לרשות האישורים (CA) החיצונית ברמה הבסיסית. המפתח והפעולות של רשות האישורים (CA) החיצונית ברמה הבסיסית נשארים מחוץ ל- Google Cloud. אפשר להשתמש רק ב-CA הבסיסי החיצוני כדי להנפיק את אישור ה-CA המשני ל-Google Cloud. כל עומס עבודה שסומך על רשות האישורים הבסיסית החיצונית סומך באופן מיידי על רשות האישורים המשנית. לאחר מכן תוכלו להשתמש ברשות האישורים המשנית כדי להנפיק אישורים בלי שתצטרכו לחזור לרשות האישורים החיצונית ברמה הבסיסית בזמן הריצה.

לפני שמתחילים

• מוודאים שיש לכם את תפקיד ה-IAM ‏CA Service Operation Manager ‏(roles/privateca.caManager) או CA Service Admin ‏(roles/privateca.admin). למידע נוסף, ראו הגדרת מדיניות IAM.
• מזהים את רשות האישורים (CA) החיצונית הבסיסית.
• מגדירים את השם, הנושא, תקופת התוקף וגודל המפתח של רשות האישורים המשנית. מידע נוסף מופיע במאמר בנושא קביעת הגדרות של רשות אישורים.

יצירת רשות אישורים משנית מרשות אישורים חיצונית

כדי ליצור רשות אישורים משנית מרשות אישורים חיצונית, צריך לבצע את השלבים הבאים:

1. יוצרים בקשת חתימה על אישור (CSR) של רשות אישורים משנית: השלב הראשון הוא ליצור CSR עבור רשות האישורים המשנית ואז להוריד את ה-CSR.

2. מקבלים את אישור ה-CA המשני שחתום על ידי ה-CA החיצוני ברמה הבסיסית: השלב השני הוא לשלוח את ה-CSR ל-CA החיצוני ברמה הבסיסית לחתימה. חשוב לפעול לפי ההוראות הספציפיות של רשות האישורים החיצונית כדי לשלוח בקשות CSR ולקבל אישורים חתומים.

3. ייבוא האישור החתום של רשות אישורים משנית אל CA Service: השלב האחרון הוא להעלות את שרשרת אישורי ה-PEM החתומים באמצעות Google Cloud CLI או Google Cloud המסוף.

הערה: כשיוצרים רשות אישורים משנית שמתחברת לרשות אישורים חיצונית, צריך לשמור על המאפיינים שכלולים ב-CSR שנוצר על ידי CA Service באישור ה-CA שנחתם על ידי רשות האישורים החיצונית. רשות האישורים החיצונית יכולה להוסיף תוספים נוספים, כל עוד היא שומרת על המאפיינים ב-CSR. לדוגמה, אם בקובץ ה-CSR יש הגבלה על אורך הנתיב, גם בתעודת ה-CA המשנית החתומה צריך להיות אותה הגבלה על אורך הנתיב.

בקטע הבא מוסבר איך ליצור רשות אישורים משנית מרשות אישורים חיצונית בסיסית.

יצירת CSR

המסוף

1. במסוף Google Cloud , עוברים לדף Certificate Authority Service.

   כניסה אל Certificate Authority Service

2. לוחצים על הכרטיסייה מנהל רשויות אישורים.

3. לוחצים על יצירת רשות אישורים.

בחירת סוג ה-CA:

1. לוחצים על Subordinate CA (רשות אישורים משנית).
2. בשדה תוקף, מזינים את משך הזמן שבו האישורים שהונפקו על ידי רשות האישורים המשנית יהיו תקפים.
3. לוחצים על Root CA is external (רשות האישורים העליונה היא חיצונית).
4. בוחרים אחת מהאפשרויות הזמינות עבור רמת הרשאות הגישה. מידע נוסף זמין במאמר בנושא בחירת רמות הפעולה.
5. בקטע Regionalization (התאמה לאזור), בוחרים מיקום בקנדה מהרשימה.
6. לוחצים על הבא.

הגדרה של שם הנושא של CA

1. בשדה ארגון (O), מזינים את שם החברה.
2. אופציונלי: בשדה יחידה ארגונית (OU), מזינים את החלוקה המשנית של החברה או את היחידה העסקית.
3. אופציונלי: בשדה שם המדינה (C), מזינים קוד מדינה בן שתי אותיות.
4. אופציונלי: בשדה State or province name (שם המדינה או הפרובינציה), מזינים את שם המדינה.
5. אופציונלי: בשדה שם היישוב, מזינים את שם העיר.
6. בשדה שם נפוץ (CN) של רשות האישורים, מזינים את שם רשות האישורים.
7. לוחצים על Continue.

הגדרה של גודל המפתח והאלגוריתם של רשות האישורים

1. בוחרים את אלגוריתם המפתח שהכי מתאים לצרכים שלכם. פרטים נוספים על אפשרויות מפתחות החתימה זמינים במאמר הגדרת מפתחות חתימה של רשות אישורים.
2. כדי להשתמש במפתח חתימה בניהול הלקוח, בוחרים באפשרות מפתח בניהול הלקוח ומזינים את הגרסה של המפתח הקריפטוגרפי ב-Cloud Key Management Service.
3. לוחצים על Continue.

הגדרת ארטיפקטים של CA

1. בוחרים אם רוצים להשתמש בקטגוריה של Cloud Storage שמנוהלת על ידי Google או בקטגוריה שמנוהלת על ידי הלקוח.
1. בקטגוריה של Cloud Storage בניהול Google, שירות CA יוצר קטגוריה בניהול Google באותו מיקום שבו נמצא ה-CA.
2. כדי לבחור קטגוריה של Cloud Storage בניהול הלקוח, לוחצים על Browse ובוחרים אחת מהקטגוריות הקיימות של Cloud Storage.
2. לוחצים על Continue.

הוספת תוויות

השלבים הבאים הם אופציונליים.

כדי להוסיף תוויות לקהל המקור:

1. לוחצים על הוספת פריט.
2. בשדה מפתח 1, מזינים את מפתח התווית.
3. בשדה ערך 1, מזינים את ערך התווית.
4. אם רוצים להוסיף עוד תווית, לוחצים על הוספת פריט. לאחר מכן, מוסיפים את המפתח והערך של התווית כמו שצוין בשלבים 2 ו-3.
5. לוחצים על Continue.

בדיקת ההגדרות

בודקים בקפידה את כל ההגדרות ולוחצים על סיום כדי ליצור את רשות האישורים.

הערה: רשות האישורים נוצרת במצב AWAITING_USER_ACTIVATION. אם לא תפעילו את רשות האישורים המשנית תוך 30 ימים ממועד היצירה שלה, שירות ה-CA ימחק את רשות האישורים.

הורדת ה-CSR

1. בדף רשות אישורים, בוחרים את רשות האישורים שרוצים להפעיל.
2. לוחצים על הפעלה.

3. בתיבת הדו-שיח שנפתחת, לוחצים על הורדת CSR.

   

gcloud

1. כדי ליצור מאגר של רשויות אישורים עבור רשות האישורים המשנית, מריצים את הפקודה הבאה. מידע נוסף זמין במאמר בנושא יצירת מאגר של רשויות אישורים.

   gcloud privateca pools create SUBORDINATE_POOL_ID --location=LOCATION
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫SUBORDINATE_POOL_ID: השם של מאגר רשות האישורים
   • ‫LOCATION: המיקום של מאגר אישורי ה-CA

2. כדי ליצור רשות אישורים משנית במאגר רשויות האישורים שנוצר, מריצים את הפקודה הבאה:gcloud הפקודה gcloud יוצרת גם CSR ושומרת אותו בקובץ FILE_NAME.

     gcloud privateca subordinates create SUBORDINATE_CA_ID \
         --pool=SUBORDINATE_POOL_ID \
         --location=LOCATION \
         --create-csr --csr-output-file=FILE_NAME \
         --key-algorithm="ec-p256-sha256" \
         --subject="CN=Example Server TLS CA, O=Example LLC"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫SUBORDINATE_CA_ID: המזהה הייחודי של רשות האישורים המשנית
   • ‫SUBORDINATE_POOL_ID: השם של מאגר רשות האישורים
   • ‫LOCATION: המיקום של מאגר אישורי ה-CA
   • ‫FILE_NAME: השם של הקובץ שבו נכתב ה-CSR בקידוד PEM

   הדגל --key-algorithm מציין את האלגוריתם הקריפטוגרפי שבו רוצים להשתמש ליצירת מפתח מנוהל של Cloud HSM עבור רשות האישורים.

   הדגל --subject מציין את שם הנושא של האישור לפי X.501.

   מידע נוסף על הפקודה gcloud privateca subordinates create זמין במאמר gcloud privateca subordinates create.

   כדי ליצור CA משני באמצעות מפתח חתימה בניהול הלקוח, מריצים את הפקודה הבאה:

     gcloud privateca subordinates create SUBORDINATE_CA_ID \
         --pool=SUBORDINATE_POOL_ID \
         --location=LOCATION \
         --create-csr --csr-output-file=FILE_NAME \
         --kms-key-version=KMS_KEY_VERSION \
         --subject="CN=Example Server TLS CA, O=Example LLC"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫SUBORDINATE_CA_ID: המזהה הייחודי של רשות האישורים המשנית
   • ‫SUBORDINATE_POOL_ID: השם של מאגר רשות האישורים
   • ‫LOCATION: המיקום של מאגר אישורי ה-CA
   • ‫FILE_NAME: השם של הקובץ שבו נכתב ה-CSR בקידוד PEM
   • ‫KMS_KEY_VERSION: מזהה המשאב המלא של גרסה של מפתח קריפטוגרפי ב-Cloud KMS בניהול הלקוח, לשימוש כמפתח חתימה

   פרטים נוספים על אפשרויות של מפתחות חתימה ועל הכנת מפתח חתימה בניהול הלקוח מופיעים במאמר בנושא הגדרת מפתחות חתימה של רשות אישורים.

ההצהרה הבאה מוחזרת כשיוצרים את ה-CSR:

Created Certificate Authority [projects/my-project-pki/locations/us-west1/caPools/SUBORDINATE_POOL_ID/certificateAuthorities/SUBORDINATE_CA_ID] and saved CSR to FILE_NAME.

כדי לראות את הרשימה המלאה של ההגדרות הזמינות, מריצים את הפקודה הבאה:

gcloud privateca subordinates create --help

אם איבדתם את ה-CSR, תוכלו להוריד אותו שוב באמצעות הפקודה הבאה:

gcloud privateca subordinates get-csr SUBORDINATE_CA_ID \
    --pool=SUBORDINATE_POOL_ID \
    --location=LOCATION

Terraform

1. כדי ליצור מאגר רשויות אישורים ורשות אישורים משנית במאגר הזה, משתמשים בקובץ התצורה הבא:

   resource "google_privateca_ca_pool" "default" {
     name     = "test-ca-pool"
     location = "us-central1"
     tier     = "ENTERPRISE"
   }
   
   resource "google_privateca_certificate_authority" "sub-ca" {
     pool = google_privateca_ca_pool.default.name
     certificate_authority_id = "my-certificate-authority-sub"
     location = "us-central1"
     config {
       subject_config {
         subject {
           organization = "HashiCorp"
           common_name = "my-subordinate-authority"
         }
         subject_alt_name {
           dns_names = ["hashicorp.com"]
         }
       }
       x509_config {
         ca_options {
           is_ca = true
           # Force the sub CA to only issue leaf certs
           max_issuer_path_length = 0
         }
         key_usage {
           base_key_usage {
             cert_sign = true
             crl_sign = true
           }
           extended_key_usage {
           }
        }
      }
     }
     lifetime = "86400s"
     key_spec {
       algorithm = "RSA_PKCS1_4096_SHA256"
     }
     type = "SUBORDINATE"
   }
   

2. כדי לשלוף את ה-CSR, מוסיפים את ההגדרה הבאה.

   data "google_privateca_certificate_authority" "sub-ca-csr" {
     location = "us-central1"
     pool = google_privateca_ca_pool.default.name
     certificate_authority_id = google_privateca_certificate_authority.sub-ca.certificate_authority_id
   }
   
   output "csr" {
     value = data.google_privateca_certificate_authority.sub-ca-csr.pem_csr
   }
   

3. מריצים את terraform apply.

שימו לב: רשויות CA חדשות כפופות נוצרות במצב AWAITING_USER_ACTIVATION עד שהן מופעלות באמצעות אישור PEM חתום שהונפק על ידי רשות ה-CA הראשית שלהן. אם לא מפעילים רשויות אישורים משניות תוך 30 יום ממועד היצירה, רשויות האישורים המשניות נמחקות. כדי להפעיל CA משני, צריך לעיין במאמר העלאת האישור החתום.
מידע על מצבי CA זמין במאמר מצבי CA.

חתימה על ה-CSR

מעבירים את קובץ ה-CSR שנוצר לחבר בארגון שאחראי על הנפקת אישורים, ומבקשים ממנו לחתום עליו. השלבים הספציפיים תלויים בהגדרה של הארגון.

אפשר להתנסות ב-CA פשוט של שורש באמצעות הפקודות הבאות של openssl:

מעטפת

מגדירים את ההגדרות של רשות האישורים הבסיסית החדשה.

cat > root.conf <<- EOM
[ req ]
distinguished_name = req_distinguished_name
x509_extensions    = v3_ca
prompt             = no
[ req_distinguished_name ]
commonName = Sample Root
[ v3_ca ]
subjectKeyIdentifier=hash
basicConstraints=critical, CA:true
EOM

יוצרים את ה-CA החדש ברמה הבסיסית.

openssl req -x509 -new -nodes -config root.conf -keyout rootCA.key \
  -days 3000 -out rootCA.crt -batch

מגדירים את התוספים שצריך להוסיף לאישור החדש של רשות אישורים משנית.

cat > extensions.conf <<- EOM
basicConstraints=critical,CA:TRUE,pathlen:0
keyUsage=critical,keyCertSign,cRLSign
extendedKeyUsage=critical,serverAuth
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid
EOM

חתימה על בקשת חתימה על אישור (CSR) של רשות אישורים (CA) משנית באמצעות אישור הבסיס הזה.

openssl x509 -req -in FILE_NAME -CA rootCA.crt -CAkey rootCA.key \
  -CAcreateserial -out subordinate.crt -days 1095 -sha256 -extfile extensions.conf

שרשור כל שרשרת האישורים לקובץ אחד.

cat subordinate.crt > chain.crt
cat rootCA.crt >> chain.crt

הערה: כברירת מחדל, openssl לא כולל הרחבות מ-CSR באישור החתום. extensions.conf נדרש כדי להוסיף תוספים לאישור חתום, גם אם בקשות CSR שהונפקו על ידי שירות רשות האישורים כוללות תוספים.

העלאת האישור החתום

כדי להפעיל CA משני באמצעות אישור חתום:

המסוף

1. נכנסים לדף Certificate Authority Service במסוףGoogle Cloud .

   כניסה אל Certificate Authority Service

2. לוחצים על הכרטיסייה מנהל רשויות אישורים.

3. בקטע רשויות אישורים, בוחרים את רשות האישורים המשנית שיצרתם.

4. לוחצים על הפעלה.

5. בתיבת הדו-שיח שנפתחת, לוחצים על הורדת CSR כדי להוריד את קובץ ה-CSR בקידוד PEM שרשות האישורים המנפיקה יכולה לחתום עליו.

6. לוחצים על הבא.

7. בשדה העלאת שרשרת אישורים, לוחצים על עיון.

8. מעלים את קובץ האישור החתום עם הסיומת .crt.

9. לוחצים על הפעלה.

gcloud

gcloud privateca subordinates activate SUBORDINATE_CA_ID \
    --pool=SUBORDINATE_POOL_ID \
    --location=LOCATION \
    --pem-chain ./chain.crt

מחליפים את מה שכתוב בשדות הבאים:

• ‫SUBORDINATE_CA_ID: המזהה הייחודי של רשות האישורים המשנית שרוצים להפעיל
• ‫SUBORDINATE_POOL_ID: השם של מאגר רשויות האישורים שמכיל את רשות האישורים המשנית
• ‫LOCATION: המיקום של מאגר אישורי ה-CA. רשימה מלאה של המיקומים זמינה במאמר בנושא מיקומים.

חובה להשתמש בדגל --pem-chain. הדגל הזה מציין קובץ שמכיל את רשימת האישורים בקידוד PEM. רשימת האישורים מתחילה באישור ה-CA הנוכחי ומסתיימת באישור ה-CA הבסיסי.

מידע נוסף על הפקודה gcloud privateca subordinates activate זמין במאמר gcloud privateca subordinates activate.

ההצהרה הבאה מוחזרת כשמעלים את האישור החתום:

Activated certificate authority [SUBORDINATE_CA_ID].

Terraform

1. שומרים את אישור CA החתום באופן מקומי בשם subordinate.crt.
2. שומרים את אישורי רשות האישורים של החותם באופן מקומי כ-rootCA.crt.
3. מסירים את ההגדרה לאחזור CSR שצוינה בשלב הראשון, כי המערכת מנסה לאחזר CSR שלא מורשה אחרי הפעלת CA.

4. מעדכנים את ההגדרות של רשות האישורים המשנית בשדות הבאים ומריצים את terraform apply.

   pem_ca_certificate     = file("subordinate.crt")
   subordinate_config {
     pem_issuer_chain {
         pem_certificates = [file("rootCA.crt")]
     }
   }
   

אם שרשרת הגורם המנפיק כוללת יותר מ-CA אחד, צריך לציין את הערך כ-[file("intermediateCA.cert"), file("rootCA.crt")].

הערה: רשויות אישורים משניות מוגדרות למצב STAGED אחרי הפעלת המשתמש. אחרי שמוודאים ש-CA פועל כמו שצריך, אפשר להפעיל אותו כדי להתחיל להנפיק אישורים מאוזני עומס למאגר CA. במאמר הפעלת רשות אישורים משנית מוסבר איך להפעיל רשות אישורים. מידע על מצבי CA מופיע במאמר מצבי CA.

המאמרים הבאים

• איך מבקשים אישורים
• מידע על תבניות ומדיניות הנפקה