Ver certificados emitidos

Nesta página, explicamos como visualizar os certificados emitidos usando o Google Cloud console, a Google Cloud CLI e as bibliotecas de cliente do Cloud.

Só é possível visualizar certificados emitidos por Enterprise tier CAs.

Ver certificados emitidos

Console

  1. No Google Cloud console, acesse a página Serviço de autoridade certificadora.

    Acesse Certificate Authority Service

  2. Clique na guia Gerenciador de CA.

  3. Na página Autoridades de certificação, clique no nome da CA.

  4. Na parte de baixo da página de detalhes da Autoridade de certificação, clique em Ver certificados emitidos para conferir a lista de certificados emitidos pela CA.

    Uma lista de certificados aparece na página Todos os certificados. Os detalhes exibidos incluem o status do certificado, a CA emissora, o pool de CAs que contém a CA, a data de validade do certificado e muito mais.

gcloud

Para listar todos os certificados emitidos por uma CA específica em um pool de CAs, use o seguinte comando gcloud:

gcloud privateca certificates list --issuer-pool ISSUER_POOL --issuer-location ISSUER_LOCATION --ca CA_NAME

Para mais informações sobre o comando gcloud privateca certificates list, consulte gcloud privateca certificates list.

Para listar todos os certificados em todas as CAs em um determinado local, use o seguinte comando gcloud:

gcloud privateca certificates list --location LOCATION

Go

Para autenticar no CA Service, configure o Application Default Credentials. Se quiser mais informações, consulte Configurar a autenticação para um ambiente de desenvolvimento local. 

import (
	"context"
	"fmt"
	"io"

	privateca "cloud.google.com/go/security/privateca/apiv1"
	"cloud.google.com/go/security/privateca/apiv1/privatecapb"
	"google.golang.org/api/iterator"
)

// List Certificates present in the given CA pool.
func listCertificates(
	w io.Writer,
	projectId string,
	location string,
	caPoolId string) error {
	// projectId := "your_project_id"
	// location := "us-central1"		// For a list of locations, see: https://cloud.google.com/certificate-authority-service/docs/locations.
	// caPoolId := "ca-pool-id"			// The CA Pool id in which the certificate exists.

	ctx := context.Background()
	caClient, err := privateca.NewCertificateAuthorityClient(ctx)
	if err != nil {
		return fmt.Errorf("NewCertificateAuthorityClient creation failed: %w", err)
	}
	defer caClient.Close()

	fullCaName := fmt.Sprintf("projects/%s/locations/%s/caPools/%s", projectId, location, caPoolId)

	// Create the ListCertificatesRequest.
	// See https://pkg.go.dev/cloud.google.com/go/security/privateca/apiv1/privatecapb#ListCertificatesRequest.
	req := &privatecapb.ListCertificatesRequest{Parent: fullCaName}

	it := caClient.ListCertificates(ctx, req)
	for {
		resp, err := it.Next()
		if err == iterator.Done {
			break
		}
		if err != nil {
			return fmt.Errorf("unable to get the list of cerficates: %w", err)
		}

		fmt.Fprintf(w, " - %s (common name: %s)", resp.Name,
			resp.CertificateDescription.SubjectDescription.Subject.CommonName)
	}

	return nil
}

Java

Para autenticar no CA Service, configure o Application Default Credentials. Se quiser mais informações, consulte Configurar a autenticação para um ambiente de desenvolvimento local. 


import com.google.cloud.security.privateca.v1.CaPoolName;
import com.google.cloud.security.privateca.v1.Certificate;
import com.google.cloud.security.privateca.v1.CertificateAuthorityServiceClient;
import java.io.IOException;

public class ListCertificates {

  public static void main(String[] args) throws IOException {
    // TODO(developer): Replace these variables before running the sample.
    // location: For a list of locations, see:
    // https://cloud.google.com/certificate-authority-service/docs/locations
    // poolId: Id of the CA pool which contains the certificates to be listed.
    String project = "your-project-id";
    String location = "ca-location";
    String poolId = "ca-pool-id";
    listCertificates(project, location, poolId);
  }

  // List Certificates present in the given CA pool.
  public static void listCertificates(String project, String location, String poolId)
      throws IOException {
    // Initialize client that will be used to send requests. This client only needs to be created
    // once, and can be reused for multiple requests. After completing all of your requests, call
    // the `certificateAuthorityServiceClient.close()` method on the client to safely
    // clean up any remaining background resources.
    try (CertificateAuthorityServiceClient certificateAuthorityServiceClient =
        CertificateAuthorityServiceClient.create()) {

      CaPoolName caPool =
          CaPoolName.newBuilder()
              .setProject(project)
              .setLocation(location)
              .setCaPool(poolId)
              .build();

      // Retrieve and print the certificate names.
      System.out.println("Available certificates: ");
      for (Certificate certificate :
          certificateAuthorityServiceClient.listCertificates(caPool).iterateAll()) {
        System.out.println(certificate.getName());
      }
    }
  }
}

Python

Para autenticar no CA Service, configure o Application Default Credentials. Se quiser mais informações, consulte Configurar a autenticação para um ambiente de desenvolvimento local. 


import google.cloud.security.privateca_v1 as privateca_v1


def list_certificates(
    project_id: str,
    location: str,
    ca_pool_name: str,
) -> None:
    """
    List Certificates present in the given CA pool.

    Args:
        project_id: project ID or project number of the Cloud project you want to use.
        location: location you want to use. For a list of locations, see: https://cloud.google.com/certificate-authority-service/docs/locations.
        ca_pool_name: name of the CA pool which contains the certificates to be listed.
    """

    caServiceClient = privateca_v1.CertificateAuthorityServiceClient()

    ca_pool_path = caServiceClient.ca_pool_path(project_id, location, ca_pool_name)

    # Retrieve and print the certificate names.
    print(f"Available certificates in CA pool {ca_pool_name}:")
    for certificate in caServiceClient.list_certificates(parent=ca_pool_path):
        print(certificate.name)

Visualizar todos os certificados emitidos no seu projeto

Console

  1. No Google Cloud console, acesse a página Serviço de autoridade certificadora.

    Acesse Certificate Authority Service

  2. Clique na guia Gerenciador de certificados particulares.

    Uma lista de certificados aparece na página Todos os certificados.

    Os detalhes exibidos incluem o status do certificado, a CA emissora, o pool de CAs que contém a CA, a data de validade do certificado e muito mais. É possível filtrar os certificados usando qualquer um dos parâmetros.

Visualizar detalhes de um único certificado

Console

  1. No Google Cloud console, acesse a página Serviço de autoridade certificadora.

    Acesse Certificate Authority Service

  2. Escolha a CA de destino na guia Gerenciador de CA.

  3. Clique no nome da CA.

  4. Na parte de baixo da página de detalhes da Autoridade de certificação, clique em Ver certificados emitidos para conferir a lista de certificados emitidos.

  5. Clique em na coluna Ações do certificado que você quer baixar.

  6. Em Download, clique em Certificado. É possível fazer o download da cadeia de certificados clicando em Cadeia de certificados.

gcloud

Para conferir a descrição completa de um certificado, execute o seguinte comando:

gcloud privateca certificates describe CERT_NAME --issuer-pool POOL_ID --issuer-location ISSUER_LOCATION

Para mais informações sobre o gcloud privateca certificates describe comando, consulte gcloud privateca certificates describe.

Para exportar a cadeia de certificados X.509 codificada em PEM e para um arquivo, execute o seguinte comando:

gcloud privateca certificates export CERT_NAME \
    --issuer-pool POOL_ID \
    --issuer-location ISSUER_LOCATION \
    --include-chain \
    --output-file certificate-file

Para mais informações sobre o comando gcloud privateca certificates export, consulte gcloud privateca certificates export.

Listar certificados em todos os pools de CAs

Para listar todos os certificados em todos os pools de CAs de um determinado projeto PROJECT_ID e local LOCATION ao chamar a API, especifique o nome do recurso da CA com um caractere curinga -.

Exemplo: projects/PROJECT_ID/locations/LOCATION/caPools/-

Comprovação de posse de certificados

A comprovação de posse da chave privada garante que o solicitante de um certificado tenha a chave privada desse certificado. O CA Service verifica a comprovação de posse somente se o solicitante fornecer um CSR PKCS nº 10 de acordo com a RFC 2986. A comprovação de posse para outras formas de solicitações de certificado, como solicitações por CertificateConfig , não é aplicada.

É responsabilidade dos aplicativos cliente que aceitam certificados validar se o titular do certificado possui a chave privada desse certificado. A aplicação de verificações de comprovação de posse durante a emissão de certificados é uma forma de defesa em profundidade para proteger contra clientes com comportamento inadequado. A existência desses clientes, independentemente de a CA verificar a comprovação de posse, pode constituir uma vulnerabilidade de segurança.

A seguir