Google Cloud コンソールを使用して証明書を発行する

Google Cloud コンソールを使用して証明書を発行する

このクイックスタート ガイドでは、 Google Cloud コンソールを使用して Certificate Authority Service で証明書を生成または発行する方法について説明します。

インフラストラクチャのプロビジョニングやメンテナンスを行わずに、プライベート認証局（CA）を安全に管理する方法について説明します。

始める前に

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

このガイドで既存のプロジェクトを使用する場合は、このガイドを完了するために必要な権限があることを確認します。新しいプロジェクトを作成した場合は、必要な権限がすでに付与されています。

Verify that billing is enabled for your Google Cloud project.

Enable the Certificate Authority Service API.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

このガイドで既存のプロジェクトを使用する場合は、このガイドを完了するために必要な権限があることを確認します。新しいプロジェクトを作成した場合は、必要な権限がすでに付与されています。

Verify that billing is enabled for your Google Cloud project.

Enable the Certificate Authority Service API.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the API

必要なロール

このクイックスタートを完了するために必要な権限を取得するには、プロジェクトに対する次の IAM ロールを付与するよう管理者に依頼してください。

• CA サービス オペレーション マネージャー （roles/privateca.caManager）
• CA サービス証明書管理者 （roles/privateca.certificateManager）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

CA プールを作成します

CA プールは複数の CA の集合です。CA プールには、ワークロードの停止やダウンタイムなしに信頼チェーンをローテーションする機能があります。CA プールは単一の Google Cloud ロケーションに存在し、作成後に変更することはできません。

デフォルト設定で CA プールを作成するには、次の手順を行います。

1. Google Cloud コンソールの [Certificate Authority Service] ページに移動します。

   Certificate Authority Service に移動

2. [CA プール マネージャー] タブで、[プールを作成] をクリックします。

3. [CA プールを作成] ページで、CA プールの名前を追加します。

   注: すべての CA サービス リソースの名前には、使用可能な文字（すべての文字、数字、ハイフン、アンダースコア）のみを含める必要があります。名前の最大長は 63 文字です。

4. [リージョン] をクリックし、CA プールのリージョンとして [us-east1（サウスカロライナ）] を選択します。

5. 各ステップで [次へ] をクリックします。

6. [完了] をクリックします。

この CA プールは、[CA プール マネージャー] タブの CA プールの一覧で確認できます。

ルート CA を作成する

CA プールは、作成時に空です。証明書をリクエストするには、CA プールに CA を追加する必要があります。

ルート CA には、クライアントのトラストストアに自己署名証明書があります。このセクションでは、作成した CA プールにルート CA を追加する方法について説明します。

ルート CA を CA プールに追加するには、次の手順を行います。

1. [認証局サービス] ページで、[CA マネージャー] をクリックします。
2. [CA を作成] 展開矢印をクリックし、[既存の CA プールに CA を作成] を選択します。
3. 作成した CA プールを選択します。
4. [続行] をクリックします。
5. [CA タイプの選択] セクションで、[続行] をクリックします。
6. [組織（O）] フィールドに、組織の名前を入力します。
7. [CA 共通名（CN）] フィールドに、CA の名前を入力します。証明書をリクエストする際に必要になるため、CA 名をメモしておきます。
8. 各手順で [続行] をクリックします。
9. CA の詳細を確認し、[完了] をクリックします。

省略可: 下位 CA プールを作成する

下位 CA プールを使用すると、複数の下位 CA を整理して管理できます。ルート CA は、下位 CA プール内のすべての CA を検証して署名します。

デフォルト設定で下位 CA プールを作成するには、次の操作を行います。

1. [認証局サービス] ページで、[CA プール マネージャー] をクリックします。
2. [プールを作成] をクリックします。

3. [CA プールを作成] ページで、下位 CA プールの名前を追加します。

   注: すべての CA サービス リソースの名前には、使用可能な文字（すべての文字、数字、ハイフン、アンダースコア）のみを含める必要があります。名前の最大長は 63 文字です。

4. [リージョン] をクリックし、下位 CA プールのリージョンとして [us-east1（サウスカロライナ）] を選択します。

5. 各ステップで [次へ] をクリックします。

6. [完了] をクリックします。

[CA プール マネージャー] タブの CA プールのリストに、下位 CA プールが表示されていることを確認します。

省略可: ルート CA によって署名された下位 CA を作成する

下位 CA は、ウェブサーバー、ユーザー、デバイスなど、証明書を必要とするエンド エンティティに証明書を配布します。下位 CA は、機密性の高いルート CA と日常的な証明書発行の間に分離レイヤを作成します。

以前に作成したルート CA によって署名された下位 CA を生成するには、次の操作を行います。

1. [認証局サービス] ページで、[CA マネージャー] をクリックします。
2. [CA を作成] 展開矢印をクリックし、[既存の CA プールに CA を作成] を選択します。
3. 作成した下位 CA プールを選択します。
4. [続行] をクリックします。
5. [下位 CA] をクリックします。
6. [ルート CA は Google Cloud内] をクリックします。
7. [署名認証局] フィールドで、[参照] をクリックします。
8. [CA を選択] ダイアログで、ルート CA を作成するセクションで作成したルート CA を選択します。
9. [確認] をクリックします。
10. [有効期間] フィールドに、下位 CA 証明書の有効期間を入力します。
11. [続行] をクリックします。
12. [組織（O）] フィールドに、組織の名前を入力します。
13. [CA 共通名（CN）] フィールドに、下位 CA の名前を入力します。証明書をリクエストする際に必要になるため、下位 CA の名前をメモしておきます。
14. 各手順で [続行] をクリックします。
15. 下位 CA の詳細を確認し、[完了] をクリックします。

証明書をリクエスト

CA を使用して証明書をリクエストするには、次の手順を行います。

1. [認証局] ページで、[証明書をリクエスト] をクリックします。

2. [詳細を入力] をクリックします。

   

3. [ドメイン名を追加] に、この証明書で保護するサイトの完全修飾ドメイン名を入力します。

4. [次へ] をクリックします。

5. [鍵のサイズとアルゴリズムを構成する] で、[続行] をクリックします。

   生成された証明書が表示されます。この証明書はコピーまたはダウンロードできます。証明書をコピーするには、[] をクリックします。

   

6. [完了] をクリックします。

クリーンアップ

証明書を取り消し、このクイックスタート用に作成した CA プール、CA、プロジェクトを削除してクリーンアップします。

1. 証明書を取り消します。

   1. [プライベート証明書マネージャー] タブをクリックします。
   2. 証明書のリストで、削除する証明書の行にある [さらに表示] をクリックします。
   3. [取り消し] をクリックします。
   4. 表示されたダイアログで [登録解除] をクリックします。

2. CA を削除します。

   CA は、CA が発行したすべての証明書を取り消した場合にのみ削除できます。

   証明書を取り消したら、次の操作を行います。

   1. CA のリストで、削除する CA を選択します。
   2. [削除] をクリックします。 [Delete Certificate Authority] ダイアログが表示されます。
   3. 省略可: 以下の条件に該当する場合は、1 つまたは両方のチェックボックスをオンにします。

      • 有効な証明書がある場合でも、この CA を削除する

        このオプションを使用すると、有効な証明書がある CA を削除できます。有効な証明書を持つ CA を削除すると、それらの証明書に依存するウェブサイト、アプリケーション、システムで障害が発生する可能性があります。CA を削除する前に、CA によって発行されたすべてのアクティブな証明書を取り消すことをおすすめします。

      • 30 日の猶予期間をスキップして、この CA を直ちに削除する

        30 日間の猶予期間を利用して、この CA によって発行されたすべての証明書を取り消し、この CA に依存するシステムがないことを確認できます。サービス停止やデータ損失を防ぐため、このオプションは非本番環境またはテスト環境でのみ使用することをおすすめします。

   4. [確認] をクリックします。

   CA の状態が Deleted に変わります。CA は、削除を開始してから 30 日後に完全に削除されます。

3. CA プールを削除します。

   CA プールを削除できるのは、CA Service が CA を完全に削除した後のみです。

   CA プール内の CA を削除したら、次の手順を行います。

   1. [CA プール マネージャー] タブをクリックします。
   2. CA プールのリストで、削除する CA プールを選択します。
   3. [削除] をクリックします。
   
   4. 表示されたダイアログ ボックスで [確認] をクリックします。

4. プロジェクトを削除する手順は次のとおりです。

   注意: プロジェクトを削除すると、次のような影響があります。

   • プロジェクト内のすべてのものが削除されます。このドキュメントのタスクで既存のプロジェクトを使用した場合、それを削除すると、そのプロジェクトで行った他の作業もすべて削除されます。
   • カスタム プロジェクト ID が失われます。このプロジェクトを作成したときに、将来使用するカスタム プロジェクト ID を作成した可能性があります。そのプロジェクト ID を使用した URL（たとえば、appspot.com）を保持するには、プロジェクト全体ではなくプロジェクト内の選択したリソースだけを削除します。

   複数のアーキテクチャ、チュートリアル、クイックスタートを実施する予定がある場合は、プロジェクトを再利用すると、プロジェクトの割り当て上限の超過を回避できます。

   1. In the Google Cloud console, go to the Manage resources page.

      Go to Manage resources

   2. In the project list, select the project that you want to delete, and then click Delete.
   3. In the dialog, type the project ID, and then click Shut down to delete the project.

次のステップ

• CA プールの詳細について学習する。
• CA プールの作成の詳細について学習する。
• CA の作成の詳細について学習する。
• 証明書のリクエストの詳細について学習する。
• CA プールが発行できる証明書の種類を制御する方法を学習する。