Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Eliminazione delle autorità di certificazione

Certificate Authority Service ti consente di eliminare un'autorità di certificazione (CA) esistente. La CA viene eliminata definitivamente dopo un periodo di tolleranza di 30 giorni dall'avvio della procedura di eliminazione. Al termine del periodo di tolleranza, CA Service elimina definitivamente la CA e tutti gli artefatti nidificati, come certificati ed elenchi di revoca dei certificati (CRL).

Le risorse gestite dal cliente Google Cloud utilizzate dalla CA eliminata, come i bucket Cloud Storage o le chiavi Cloud Key Management Service, non vengono eliminate. Per saperne di più sulle risorse gestite da Google e gestite dal cliente, consulta Gestire le risorse.

Durante il periodo di tolleranza, non viene addebitato alcun costo per una CA eliminata. Tuttavia, se ripristini la CA, ti verranno addebitati i costi in base al livello di fatturazione della CA per il periodo in cui la CA è esistita nello DELETED stato.

Prima di iniziare

Assicurati di disporre del ruolo IAM (Identity and Access Management) di Gestore operazioni di CA Service (roles/privateca.caManager) o di Amministratore di CA Service (roles/privateca.admin). Per saperne di più sui ruoli IAM predefiniti per CA Service, consulta Controllo dell'accesso con IAM.

Per informazioni sulla concessione di un ruolo IAM, consulta Concedere un singolo ruolo.
Assicurati che la CA soddisfi le seguenti condizioni:
- La CA deve essere nello stato AWAITING_USER_ACTIVATION, DISABLED o STAGED. Per saperne di più, consulta Stati dell'autorità di certificazione.
Attenzione: **non puoi** recuperare le CA eliminate nello stato AWAITING_USER_ACTIVATION . Per utilizzare di nuovo la CA, devi ricrearla con un nome diverso.
- La CA non deve contenere certificati attivi. Un certificato è considerato attivo quando soddisfa le seguenti condizioni:
- Il certificato ha una data di inizio e di fine validità.
- Il certificato non è stato revocato.
- Il dispositivo o il sistema che utilizza il certificato considera attendibile l'autorità di certificazione (CA) che ha emesso il certificato.
Prima di eliminare la CA, assicurati che tutti i certificati attivi emessi dalla CA siano revocati. Non puoi revocare i certificati da una CA eliminata.

Eliminare una CA

Per avviare l'eliminazione della CA:

Console

Vai alla pagina Autorità di certificazione nella Google Cloud console.
Vai ad Autorità di certificazione
Nell'elenco delle CA, seleziona quella che vuoi eliminare.
Fai clic su Elimina. Viene visualizzata la finestra di dialogo Elimina Autorità di certificazione.
(Facoltativo) Seleziona una o entrambe le seguenti caselle di controllo se le condizioni si applicano a te:
- Elimina questa CA, anche se ci sono certificati attivi
  
  Questa opzione ti consente di eliminare una CA con certificati attivi. L'eliminazione di una CA con certificati attivi potrebbe causare il malfunzionamento di siti web, applicazioni o sistemi che si basano su questi certificati to fail. Ti consigliamo di revocare tutti i certificati attivi emessi da una CA prima di eliminarla.
- Salta il periodo di tolleranza di 30 giorni ed elimina questa CA immediatamente
  
  Il periodo di tolleranza di 30 giorni ti consente di revocare tutti i certificati emessi da questa CA e verificare che nessun sistema dipenda da questa CA. Ti consigliamo di utilizzare questa opzione solo in ambienti di test o non di produzione per evitare potenziali interruzioni e perdita di dati.
Fai clic su Conferma.

gcloud

Controlla lo stato della CA per assicurarti che sia disabilitata. Puoi eliminare solo le CA nello stato DISABLED.
```
gcloud privateca roots describe CA_ID --pool=POOL_ID --location=LOCATION --format="value(state)"
```
Sostituisci quanto segue:
- CA_ID: l'identificatore univoco della CA
- POOL_ID: il nome del pool di CA che contiene la CA
- LOCATION: la località del pool di CA. Per l'elenco completo delle località, consulta Località.
Per saperne di più sul comando gcloud privateca roots describe, consulta gcloud privateca roots describe.
Se la CA non è disabilitata, esegui il seguente comando per disabilitarla.
```
gcloud privateca roots disable CA_ID --pool=POOL_ID --location=LOCATION
```
Per saperne di più sul comando gcloud privateca roots disable, consulta gcloud privateca roots disable.
Elimina la CA.
```
gcloud privateca roots delete CA_ID --pool=POOL_ID --location=LOCATION
```
Puoi eliminare la CA anche se ha certificati attivi includendo il flag --ignore-active-certificates nel comando gcloud.

Per saperne di più sul comando gcloud privateca roots delete, consulta gcloud privateca roots delete.
Quando ti viene richiesto, conferma di voler eliminare la CA.

Dopo la conferma, la CA viene pianificata per l'eliminazione e inizia il periodo di tolleranza di 30 giorni. Il comando restituisce la data e l'ora previste per l'eliminazione della CA.
```
    Deleted Root CA [projects/PROJECT_ID/locations/us-west1/caPools/POOL_ID/certificateAuthorities/CA_ID] can be undeleted until 2020-08-14T19:28:39Z.
```

Vai

Per eseguire l'autenticazione in CA Service, configura le credenziali predefinite dell'applicazione. Per saperne di più, consulta Configura l'autenticazione per un ambiente di sviluppo locale.

import (
	"context"
	"fmt"
	"io"

	privateca "cloud.google.com/go/security/privateca/apiv1"
	"cloud.google.com/go/security/privateca/apiv1/privatecapb"
)

// Delete a Certificate Authority from the specified CA pool.
// Before deletion, the CA must be disabled or staged and must not contain any active certificates.
func deleteCa(w io.Writer, projectId string, location string, caPoolId string, caId string) error {
	// projectId := "your_project_id"
	// location := "us-central1"	// For a list of locations, see: https://cloud.google.com/certificate-authority-service/docs/locations.
	// caPoolId := "ca-pool-id"		// The id of the CA pool under which the CA is present.
	// caId := "ca-id"				// The id of the CA to be deleted.

	ctx := context.Background()
	caClient, err := privateca.NewCertificateAuthorityClient(ctx)
	if err != nil {
		return fmt.Errorf("NewCertificateAuthorityClient creation failed: %w", err)
	}
	defer caClient.Close()

	fullCaName := fmt.Sprintf("projects/%s/locations/%s/caPools/%s/certificateAuthorities/%s",
		projectId, location, caPoolId, caId)

	// Check if the CA is disabled or staged.
	// See https://pkg.go.dev/cloud.google.com/go/security/privateca/apiv1/privatecapb#GetCertificateAuthorityRequest.
	caReq := &privatecapb.GetCertificateAuthorityRequest{Name: fullCaName}
	caResp, err := caClient.GetCertificateAuthority(ctx, caReq)
	if err != nil {
		return fmt.Errorf("GetCertificateAuthority failed: %w", err)
	}

	if caResp.State != privatecapb.CertificateAuthority_DISABLED &&
		caResp.State != privatecapb.CertificateAuthority_STAGED {
		return fmt.Errorf("you can only delete disabled or staged Certificate Authorities. %s is not disabled", caId)
	}

	// Create the DeleteCertificateAuthorityRequest.
	// Setting the IgnoreActiveCertificates to True will delete the CA
	// even if it contains active certificates. Care should be taken to re-anchor
	// the certificates to new CA before deleting.
	// See https://pkg.go.dev/cloud.google.com/go/security/privateca/apiv1/privatecapb#DeleteCertificateAuthorityRequest.
	req := &privatecapb.DeleteCertificateAuthorityRequest{
		Name:                     fullCaName,
		IgnoreActiveCertificates: false,
	}

	op, err := caClient.DeleteCertificateAuthority(ctx, req)
	if err != nil {
		return fmt.Errorf("DeleteCertificateAuthority failed: %w", err)
	}

	if caResp, err = op.Wait(ctx); err != nil {
		return fmt.Errorf("DeleteCertificateAuthority failed during wait: %w", err)
	}

	if caResp.State != privatecapb.CertificateAuthority_DELETED {
		return fmt.Errorf("unable to delete Certificate Authority. Current state: %s", caResp.State.String())
	}

	fmt.Fprintf(w, "Successfully deleted Certificate Authority: %s.", caId)
	return nil
}

Java

Per eseguire l'autenticazione in CA Service, configura le credenziali predefinite dell'applicazione. Per saperne di più, consulta Configura l'autenticazione per un ambiente di sviluppo locale.


import com.google.api.core.ApiFuture;
import com.google.cloud.security.privateca.v1.CertificateAuthority.State;
import com.google.cloud.security.privateca.v1.CertificateAuthorityName;
import com.google.cloud.security.privateca.v1.CertificateAuthorityServiceClient;
import com.google.cloud.security.privateca.v1.DeleteCertificateAuthorityRequest;
import com.google.longrunning.Operation;
import java.io.IOException;
import java.util.concurrent.ExecutionException;

public class DeleteCertificateAuthority {

  public static void main(String[] args)
      throws InterruptedException, ExecutionException, IOException {
    // TODO(developer): Replace these variables before running the sample.
    // location: For a list of locations, see:
    // https://cloud.google.com/certificate-authority-service/docs/locations
    // poolId: The id of the CA pool under which the CA is present.
    // certificateAuthorityName: The name of the CA to be deleted.
    String project = "your-project-id";
    String location = "ca-location";
    String poolId = "ca-pool-id";
    String certificateAuthorityName = "certificate-authority-name";
    deleteCertificateAuthority(project, location, poolId, certificateAuthorityName);
  }

  // Delete the Certificate Authority from the specified CA pool.
  // Before deletion, the CA must be disabled and must not contain any active certificates.
  public static void deleteCertificateAuthority(
      String project, String location, String poolId, String certificateAuthorityName)
      throws IOException, ExecutionException, InterruptedException {
    // Initialize client that will be used to send requests. This client only needs to be created
    // once, and can be reused for multiple requests. After completing all of your requests, call
    // the `certificateAuthorityServiceClient.close()` method on the client to safely
    // clean up any remaining background resources.
    try (CertificateAuthorityServiceClient certificateAuthorityServiceClient =
        CertificateAuthorityServiceClient.create()) {
      // Create the Certificate Authority Name.
      CertificateAuthorityName certificateAuthorityNameParent =
          CertificateAuthorityName.newBuilder()
              .setProject(project)
              .setLocation(location)
              .setCaPool(poolId)
              .setCertificateAuthority(certificateAuthorityName)
              .build();

      // Check if the CA is enabled.
      State caState =
          certificateAuthorityServiceClient
              .getCertificateAuthority(certificateAuthorityNameParent)
              .getState();
      if (caState == State.ENABLED) {
        System.out.println(
            "Please disable the Certificate Authority before deletion ! Current state: " + caState);
        return;
      }

      // Create the DeleteCertificateAuthorityRequest.
      // Setting the setIgnoreActiveCertificates() to true, will delete the CA
      // even if it contains active certificates. Care should be taken to re-anchor
      // the certificates to new CA before deleting.
      DeleteCertificateAuthorityRequest deleteCertificateAuthorityRequest =
          DeleteCertificateAuthorityRequest.newBuilder()
              .setName(certificateAuthorityNameParent.toString())
              .setIgnoreActiveCertificates(false)
              .build();

      // Delete the Certificate Authority.
      ApiFuture<Operation> futureCall =
          certificateAuthorityServiceClient
              .deleteCertificateAuthorityCallable()
              .futureCall(deleteCertificateAuthorityRequest);
      Operation response = futureCall.get();

      if (response.hasError()) {
        System.out.println("Error while deleting Certificate Authority !" + response.getError());
        return;
      }

      // Check if the CA has been deleted.
      caState =
          certificateAuthorityServiceClient
              .getCertificateAuthority(certificateAuthorityNameParent)
              .getState();
      if (caState == State.DELETED) {
        System.out.println(
            "Successfully deleted Certificate Authority : " + certificateAuthorityName);
      } else {
        System.out.println(
            "Unable to delete Certificate Authority. Please try again ! Current state: " + caState);
      }
    }
  }
}

Python

Per eseguire l'autenticazione in CA Service, configura le credenziali predefinite dell'applicazione. Per saperne di più, consulta Configura l'autenticazione per un ambiente di sviluppo locale.

import google.cloud.security.privateca_v1 as privateca_v1


def delete_certificate_authority(
    project_id: str, location: str, ca_pool_name: str, ca_name: str
) -> None:
    """
    Delete the Certificate Authority from the specified CA pool.
    Before deletion, the CA must be disabled and must not contain any active certificates.

    Args:
        project_id: project ID or project number of the Cloud project you want to use.
        location: location you want to use. For a list of locations, see: https://cloud.google.com/certificate-authority-service/docs/locations.
        ca_pool_name: the name of the CA pool under which the CA is present.
        ca_name: the name of the CA to be deleted.
    """

    caServiceClient = privateca_v1.CertificateAuthorityServiceClient()
    ca_path = caServiceClient.certificate_authority_path(
        project_id, location, ca_pool_name, ca_name
    )

    # Check if the CA is enabled.
    ca_state = caServiceClient.get_certificate_authority(name=ca_path).state
    if ca_state != privateca_v1.CertificateAuthority.State.DISABLED:
        print(
            "Please disable the Certificate Authority before deletion ! Current state:",
            ca_state,
        )
        raise RuntimeError(
            f"You can only delete disabled Certificate Authorities. "
            f"{ca_name} is not disabled!"
        )

    # Create the DeleteCertificateAuthorityRequest.
    # Setting the ignore_active_certificates to True will delete the CA
    # even if it contains active certificates. Care should be taken to re-anchor
    # the certificates to new CA before deleting.
    request = privateca_v1.DeleteCertificateAuthorityRequest(
        name=ca_path, ignore_active_certificates=False
    )

    # Delete the Certificate Authority.
    operation = caServiceClient.delete_certificate_authority(request=request)
    result = operation.result()

    print("Operation result", result)

    # Get the current CA state.
    ca_state = caServiceClient.get_certificate_authority(name=ca_path).state

    # Check if the CA has been deleted.
    if ca_state == privateca_v1.CertificateAuthority.State.DELETED:
        print("Successfully deleted Certificate Authority:", ca_name)
    else:
        print(
            "Unable to delete Certificate Authority. Please try again ! Current state:",
            ca_state,
        )

Controllare la data di scadenza di una CA eliminata

Per vedere quando una CA verrà eliminata definitivamente:

Console

Fai clic sulla scheda Gestore pool di CA.
Fai clic sul nome del pool di CA che conteneva la CA eliminata.

Puoi visualizzare la data di scadenza della CA nella tabella nella pagina Pool di CA.

Visualizza la data di scadenza di una CA eliminata.

gcloud

Per controllare l'ora di eliminazione prevista per una CA, esegui il seguente comando:

gcloud privateca roots describe CA_ID \
    --pool=POOL_ID \
    --location=LOCATION \
    --format="value(expireTime.date())"

Sostituisci quanto segue:

CA_ID: il nome della CA
POOL_ID: il nome del pool di CA che conteneva la CA
LOCATION: la località del pool di CA. Per l' elenco completo delle località, consulta Località.

Il comando restituisce la data e l'ora previste per l'eliminazione della CA da parte di CA Service.

2020-08-14T19:28:39

Per verificare che la CA sia stata eliminata definitivamente, esegui il seguente comando:

gcloud privateca roots describe CA_ID --pool=POOL_ID --location=LOCATION

Se la CA viene eliminata correttamente, il comando restituisce il seguente errore.

ERROR: (gcloud.privateca.roots.describe) NOT_FOUND: Resource 'projects/PROJECT_ID/locations/LOCATION/caPools/POOL_ID/certificateAuthorities/CA_ID' was not found

Passaggi successivi

Scopri come ripristinare le CA.
Scopri di più sugli stati delle CA .