Revocar certificados

En esta página, se explica cómo revocar certificados.

Certificate Authority Service admite la revocación de certificados mediante la publicación periódica de listas de revocación de certificados (CRL). Solo puedes revocar los certificados emitidos por grupos de CA en el nivel Enterprise.

Nota: Si bien el servicio de CA admite la publicación de CRL en el nivel Enterprise, la revocación efectiva requiere que las aplicaciones cliente descarguen esas CRL de forma periódica y rechacen los certificados cuyos números de serie aparezcan en ellas.

Antes de comenzar

Asegúrate de tener el rol Administrador de operaciones de Certificate Authority Service (roles/privateca.caManager) o Administrador de CA Service (roles/privateca.admin) de Identity and Access Management (IAM). Para obtener más información sobre los roles de IAM predefinidos para el servicio de CA, consulta Control de acceso con IAM.

Para obtener información sobre cómo otorgar un rol de IAM, consulta Cómo otorgar un solo rol.

Habilitar la publicación de CRL

Para revocar los certificados emitidos por un grupo de CA, debes habilitar la publicación de CRL en el grupo de CA. Puedes habilitar la publicación de CRL mientras creas un grupo de CA. Si se inhabilita inicialmente, puedes habilitar la publicación de CRL más adelante.

Después de habilitar la publicación de CRL, se publica una CRL nueva todos los días y es válida por 7 días. También se publica una CRL nueva en un plazo de 15 minutos después de cualquier revocación de certificado nuevo.

Los certificados contienen una extensión de punto de distribución de CRL (CDP) que especifica dónde se puede encontrar la información de CRL del certificado. De forma predeterminada, cuando habilitas la publicación de CRL, el servicio de CA propaga la extensión de CDP para todos los certificados que emite la CA con la ubicación de publicación de Cloud Storage que usa la CA. Para configurar tus propios vínculos para que aparezcan en esta extensión de certificado, configura UserDefinedAccessUrls. Para conservar el vínculo de ubicación de publicación predeterminado de Cloud Storage y también agregar tus propios vínculos, agrega el vínculo de Cloud Storage a la lista de vínculos que especificas.

Precaución: Los certificados emitidos mientras la publicación de CRL estaba inhabilitada no tienen la extensión necesaria para realizar verificaciones de revocación. Te recomendamos que te asegures de que la publicación de CRL esté habilitada antes de emitir certificados de larga duración.

Para habilitar la publicación de CRL en un grupo de CA, haz lo siguiente:

Console

1. Ve a la página Certificate Authority Service en la Google Cloud consola.

   Certificate Authority Service

2. Haz clic en la pestaña Administrador de grupos de CA.

3. Haz clic en el grupo de CA que deseas editar o en el grupo de CA que tiene la CA que deseas editar.

4. En la página Grupo de CA, haz clic en

   Editar.

5. Haz clic en Siguiente hasta llegar a la sección Configurar opciones de publicación.

6. Haz clic en el botón de activación Publicar la CRL en el bucket de GCS para las CA de este grupo.

   Nota: Si activas este botón, se habilita la publicación de CRL para todas las CA que forman parte del grupo de CA en el que reside tu CA.

gcloud

Ejecuta el siguiente comando:

gcloud privateca pools update POOL_ID --location LOCATION --publish-crl

Reemplaza lo siguiente:

• POOL_ID: el nombre del grupo de CA
• LOCATION: la ubicación del grupo de CA. Para obtener la lista completa de ubicaciones, consulta Ubicaciones.

Para obtener más información sobre el comando gcloud privateca pools update, consulta gcloud privateca pools update.

El servicio de CA aplica un límite de 500,000 certificados revocados no vencidos por CRL.

Solo se conservan las últimas 100 CRL en orden cronológico como CertificateRevocationList, y las CRL más antiguas se borran automáticamente. La retención de CRL más antiguas en buckets de Cloud Storage administrados por el cliente está sujeta a las políticas de control de versiones y retención de objetos configuradas por los clientes.
Ten en cuenta que se puede acceder a las CRL que se borraron del servicio de CA desde los buckets de Cloud Storage administrados por el servicio, a menos que se borre la CA. Las CRL nunca se borran de los buckets de Cloud Storage administrados por el cliente, incluso si se borra la CA.

Sugerencia: Te recomendamos que las aplicaciones cliente accedan a las CRL desde el bucket de Cloud Storage en lugar de usar las APIs de CRL para garantizar la simplicidad y la alta disponibilidad.

Revocar un certificado

El servicio de CA permite revocar certificados por número de serie o nombre de recurso, y también acepta un motivo opcional. Después de revocar un certificado, su número de serie y el motivo de revocación aparecen en todas las CRL futuras hasta que el certificado alcance su fecha de vencimiento. También se genera una CRL fuera de banda en un plazo de 15 minutos después de la revocación.

Para revocar un certificado, sigue estos pasos:

Console

1. Ve a la página Certificate Authority Service en la Google Cloud consola.

   Ir a Certificate Authority Service

2. Haz clic en la pestaña Administrador de certificados privados.
3. En la lista de certificados, haz clic en Ver más en la fila de el certificado que deseas borrar.
4. Haz clic en Revocar.
5. En el cuadro de diálogo que se abre, haz clic en Confirmar.

Nota: Google Cloud La consola de no admite la revocación de un certificado con su número de serie. Si deseas revocar un certificado con su número de serie, usa la CLI de Google Cloud.

gcloud

• Para revocar un certificado con su nombre de recurso, ejecuta el siguiente comando:

  gcloud privateca certificates revoke \
      --certificate CERT_ID \
      --issuer-pool POOL_ID \
      --issuer-location ISSUER_LOCATION \
      --reason REVOCATION_REASON
  

  Reemplaza lo siguiente:

  • CERT_ID: el identificador único del certificado que deseas revocar
  • POOL_ID: el nombre del grupo de CA que emitió el certificado
  • ISSUER_LOCATION: la ubicación del grupo de CA emisor
  • REVOCATION_REASON: el motivo para revocar el certificado

  La marca --reason es opcional. Para obtener más información sobre esta marca, consulta --reason o usa el siguiente gcloud comando con la --help marca:

  gcloud privateca certificates revoke --help
  

  Para obtener más información sobre el gcloud privateca certificates revoke comando, consulta gcloud privateca certificates revoke.

• Para revocar un certificado con su número de serie, ejecuta el siguiente comando:

  gcloud privateca certificates revoke \
      --serial-number SERIAL_NUMBER \
      --issuer-pool POOL_ID \
      --issuer-location ISSUER_LOCATION \
      --reason REVOCATION_REASON
  

  Reemplaza lo siguiente:

  • SERIAL_NUMBER: el número de serie del certificado
  • POOL_ID: el nombre del grupo de CA que emitió el certificado
  • ISSUER_LOCATION: la ubicación del grupo de CA emisor
  • REVOCATION_REASON: el motivo para revocar el certificado

  Para obtener más información sobre el gcloud privateca certificates revoke comando, consulta gcloud privateca certificates revoke.

  Cuando se te solicite confirmar, puedes hacerlo ingresando "Y":

  You are about to revoke Certificate [projects/PROJECT_ID/locations/CA_POOL_REGION/caPools/POOL_ID/certificates/CERT_ID]
  
  Do you want to continue? (Y/n) Y
  Revoked certificate [projects/PROJECT_ID/locations/CA_POOL_REGION/caPools/POOL_ID/certificates/CERT_ID] at DATE_TIME.
  
  

Ir

Para autenticarte en el servicio de AC, configura las credenciales predeterminadas de la aplicación. Si deseas obtener más información, consulta Configura la autenticación para un entorno de desarrollo local.

import (
	"context"
	"fmt"
	"io"

	privateca "cloud.google.com/go/security/privateca/apiv1"
	"cloud.google.com/go/security/privateca/apiv1/privatecapb"
)

// Revoke an issued certificate. Once revoked, the certificate will become invalid
// and will expire post its lifetime.
func revokeCertificate(
	w io.Writer,
	projectId string,
	location string,
	caPoolId string,
	certId string) error {
	// projectId := "your_project_id"
	// location := "us-central1"		// For a list of locations, see: https://cloud.google.com/certificate-authority-service/docs/locations.
	// caPoolId := "ca-pool-id"			// The CA Pool id in which the certificate exists.
	// certId := "certificate"			// A unique name for the certificate.

	ctx := context.Background()
	caClient, err := privateca.NewCertificateAuthorityClient(ctx)
	if err != nil {
		return fmt.Errorf("NewCertificateAuthorityClient creation failed: %w", err)
	}
	defer caClient.Close()

	fullCertName := fmt.Sprintf("projects/%s/locations/%s/caPools/%s/certificates/%s", projectId, location,
		caPoolId, certId)

	// Create the RevokeCertificateRequest and specify the appropriate revocation reason.
	// See https://pkg.go.dev/cloud.google.com/go/security/privateca/apiv1/privatecapb#RevokeCertificateRequest.
	req := &privatecapb.RevokeCertificateRequest{
		Name:   fullCertName,
		Reason: privatecapb.RevocationReason_PRIVILEGE_WITHDRAWN,
	}

	_, err = caClient.RevokeCertificate(ctx, req)
	if err != nil {
		return fmt.Errorf("RevokeCertificate failed: %w", err)
	}

	fmt.Fprintf(w, "Certificate %s revoked", certId)

	return nil
}

Java

Para autenticarte en el servicio de AC, configura las credenciales predeterminadas de la aplicación. Si deseas obtener más información, consulta Configura la autenticación para un entorno de desarrollo local.

import com.google.api.core.ApiFuture;
import com.google.cloud.security.privateca.v1.Certificate;
import com.google.cloud.security.privateca.v1.CertificateAuthorityServiceClient;
import com.google.cloud.security.privateca.v1.CertificateName;
import com.google.cloud.security.privateca.v1.RevocationReason;
import com.google.cloud.security.privateca.v1.RevokeCertificateRequest;
import java.io.IOException;
import java.util.concurrent.ExecutionException;

public class RevokeCertificate {

  public static void main(String[] args)
      throws IOException, ExecutionException, InterruptedException {
    // TODO(developer): Replace these variables before running the sample.
    // location: For a list of locations, see:
    // https://cloud.google.com/certificate-authority-service/docs/locations
    // poolId: Id for the CA pool which contains the certificate.
    // certificateName: Name of the certificate to be revoked.
    String project = "your-project-id";
    String location = "ca-location";
    String poolId = "ca-pool-id";
    String certificateName = "certificate-name";
    revokeCertificate(project, location, poolId, certificateName);
  }

  // Revoke an issued certificate. Once revoked, the certificate will become invalid and will expire
  // post its lifetime.
  public static void revokeCertificate(
      String project, String location, String poolId, String certificateName)
      throws IOException, ExecutionException, InterruptedException {
    // Initialize client that will be used to send requests. This client only needs to be created
    // once, and can be reused for multiple requests. After completing all of your requests, call
    // the `certificateAuthorityServiceClient.close()` method on the client to safely
    // clean up any remaining background resources.
    try (CertificateAuthorityServiceClient certificateAuthorityServiceClient =
        CertificateAuthorityServiceClient.create()) {

      // Create Certificate Name.
      CertificateName certificateNameParent =
          CertificateName.newBuilder()
              .setProject(project)
              .setLocation(location)
              .setCaPool(poolId)
              .setCertificate(certificateName)
              .build();

      // Create Revoke Certificate Request and specify the appropriate revocation reason.
      RevokeCertificateRequest revokeCertificateRequest =
          RevokeCertificateRequest.newBuilder()
              .setName(certificateNameParent.toString())
              .setReason(RevocationReason.PRIVILEGE_WITHDRAWN)
              .build();

      // Revoke certificate.
      ApiFuture<Certificate> response =
          certificateAuthorityServiceClient
              .revokeCertificateCallable()
              .futureCall(revokeCertificateRequest);
      Certificate certificateResponse = response.get();

      System.out.println("Certificate Revoked: " + certificateResponse.getName());
    }
  }
}

Python

Para autenticarte en el servicio de AC, configura las credenciales predeterminadas de la aplicación. Si deseas obtener más información, consulta Configura la autenticación para un entorno de desarrollo local.

import google.cloud.security.privateca_v1 as privateca_v1


def revoke_certificate(
    project_id: str,
    location: str,
    ca_pool_name: str,
    certificate_name: str,
) -> None:
    """
    Revoke an issued certificate. Once revoked, the certificate will become invalid and will expire post its lifetime.

    Args:
        project_id: project ID or project number of the Cloud project you want to use.
        location: location you want to use. For a list of locations, see: https://cloud.google.com/certificate-authority-service/docs/locations.
        ca_pool_name: name for the CA pool which contains the certificate.
        certificate_name: name of the certificate to be revoked.
    """

    caServiceClient = privateca_v1.CertificateAuthorityServiceClient()

    # Create Certificate Path.
    certificate_path = caServiceClient.certificate_path(
        project_id, location, ca_pool_name, certificate_name
    )

    # Create Revoke Certificate Request and specify the appropriate revocation reason.
    request = privateca_v1.RevokeCertificateRequest(
        name=certificate_path, reason=privateca_v1.RevocationReason.PRIVILEGE_WITHDRAWN
    )
    result = caServiceClient.revoke_certificate(request=request)

    print("Certificate revoke result:", result)

Nota: Las CRL se vuelven a crear todos los días. Sin embargo, si revocas un certificado, se creará una CRL nueva en un plazo de 15 minutos. Si es necesario volver a crear la CRL antes del día siguiente, emite un certificado ficticio y, luego, revócalo para forzar el proceso de recreación de la CRL.

¿Qué sigue?

• Aprende a ordenar y filtrar certificados.
• Aprende a implementar un respondedor de OCSP delegado.