Ausstellungskonfiguration erstellen

Auf dieser Seite wird beschrieben, wie Sie eine Konfigurationsressource für die Zertifikatsausstellung erstellen und verwalten.

Weitere Informationen zu Konfigurationsressourcen für die Zertifikatsausstellung finden Sie unter Konfigurationen für die Zertifikatsausstellung.

Konfigurationsressource für die Zertifikatsausstellung erstellen

Bevor Sie die Ressource für die Ausstellerkonfiguration erstellen, müssen Sie die Integration von CA Service in Certificate Manager konfigurieren.

Wenn Sie eine Konfigurationsressource für die Zertifikatsausstellung erstellen möchten, geben Sie die Lebensdauer des Zertifikats, den Prozentsatz des Rotationsfensters, den Schlüsselalgorithmus und den zu verwendenden CA-Pool an.

Auch wenn Sie einen regionalen CA-Pool verwenden, um ein von Google verwaltetes TLS-Zertifikat auszustellen, kann das Zertifikat global verwendet werden.

Console

  1. Rufen Sie in der Google Cloud Console auf der Seite Zertifikatmanager den Tab Ausstellungskonfigurationen auf.

    Zum Zertifikatmanager

  2. Klicken Sie auf Erstellen. Die Seite Konfiguration der Zertifikatsausstellung erstellen wird angezeigt.

  3. Geben Sie im Feld Name einen eindeutigen Namen für die Konfigurationsressource für die Zertifikatsausstellung ein.

  4. Optional: Geben Sie im Feld Beschreibung eine Beschreibung für die Ausstellerkonfiguration ein.

  5. Wählen Sie unter Standort die Option Global oder Regional aus. Wenn Sie Regional ausgewählt haben, wählen Sie dieselbe Region wie für Ihr Zertifikat und Ihren CA-Pool aus.

  6. Geben Sie im Feld Lebensdauer die Lebensdauer des ausgestellten Zertifikats in Tagen an. Der Wert muss zwischen 21 und 30 Tagen (einschließlich) liegen.

  7. Geben Sie unter Prozentsatz des Rotationsfensters den Prozentsatz der Zertifikatslebensdauer an, bei dem der Verlängerungsprozess beginnt. Informationen zum Bereich der gültigen Werte finden Sie unter Prozentsatz für Lebensdauer und Rotationsfenster.

  8. Wählen Sie in der Liste Schlüsselalgorithmus den Schlüsselalgorithmus aus, der beim Generieren des privaten Schlüssels verwendet werden soll.

  9. Wählen Sie in der Liste CA-Pool den Namen des CA-Pools aus, der dieser Konfigurationsressource für die Zertifikatsausstellung zugewiesen werden soll.

  10. Geben Sie im Feld Labels die Labels an, die dem Zertifikat zugeordnet werden sollen. Klicken Sie auf Label hinzufügen, um ein Label hinzuzufügen, und geben Sie einen Schlüssel und einen Wert für das Label an.

  11. Klicken Sie auf Erstellen.

gcloud

Verwenden Sie den certificate-manager issuance-configs create-Befehl, um eine Konfigurationsressource für die Zertifikatsausstellung zu erstellen:

gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
    --ca-pool=CA_POOL \
    --lifetime=CERTIFICATE_LIFETIME \
    --rotation-window-percentage=ROTATION_WINDOW_PERCENTAGE \
    --key-algorithm=KEY_ALGORITHM
    [--location=LOCATION]

Ersetzen Sie Folgendes:

  • ISSUANCE_CONFIG_NAME: der Name der Konfigurationsressource für die Zertifikatsausstellung, die auf den Ziel-CA-Pool verweist.
  • CA_POOL: der vollständige Ressourcenpfad und Name des CA-Pools, den Sie der Konfigurationsressource für die Zertifikatsausstellung zuweisen möchten, im Format projects/PROJECT_ID/locations/LOCATION/caPools/CA_POOL_ID. Das Projekt und der Standort des CA-Pools können sich vom Projekt und Standort der Konfiguration für die Zertifikatsausstellung unterscheiden.
  • CERTIFICATE_LIFETIME: die Lebensdauer des Zertifikats in Tagen. Gültige Werte sind 21 bis 30 Tage im ISO 8601-Dauerformat, z. B. P30D. Der Standardwert ist 30 Tage (P30D). Dieses Flag ist optional.
  • ROTATION_WINDOW_PERCENTAGE: der Prozentsatz der verbleibenden Lebensdauer des Zertifikats vor der Verlängerung. Der Standardwert ist 66 %. Informationen zum Bereich der gültigen Werte finden Sie unter Prozentsatz für Lebensdauer und Rotationsfenster. Dieses Flag ist optional.
  • KEY_ALGORITHM: der Verschlüsselungsalgorithmus, mit dem Sie den privaten Schlüssel generieren können. Gültige Werte sind ecdsa-p256 und rsa-2048. Der Standardwert ist rsa-2048. Dieses Flag ist optional.
  • LOCATION: der Zielstandort in Google Cloud .

API

Erstellen Sie die Konfigurationsressource für die Zertifikatsausstellung. Senden Sie dazu eine POST-Anfrage an die Methode certificateIssuanceConfigs.create:

POST /v1/projects/PROJECT_ID/locations/LOCATION/certificateIssuanceConfigs?issuanceConfig_id=ISSUANCE_CONFIG_NAME
{
  "description": "DESCRIPTION",
  "certificateAuthorityConfig": {
    "certificateAuthorityServiceConfig": {
      "caPool": "CA_POOL"
    }
  },
  "lifetime": "CERTIFICATE_LIFETIME",
  "rotationWindowPercentage": ROTATION_WINDOW_PERCENTAGE,
  "keyAlgorithm": "KEY_ALGORITHM"
}

Ersetzen Sie Folgendes:

  • PROJECT_ID: ID Ihres Projekts in Google Cloud .
  • LOCATION: der Zielstandort in Google Cloud .
  • ISSUANCE_CONFIG_NAME: der Name der Konfigurationsressource für die Zertifikatsausstellung, die auf den Ziel-CA-Pool verweist.
  • DESCRIPTION: eine aussagekräftige Beschreibung für die Konfigurationsressource für die Zertifikatsausstellung.
  • CA_POOL: der vollständige Ressourcenpfad und Name des CA-Pools, den Sie der Konfigurationsressource für die Zertifikatsausstellung zuweisen möchten, im Format projects/PROJECT_ID/locations/LOCATION/caPools/CA_POOL_ID. Das Projekt und der Standort des CA-Pools können sich vom Projekt und Standort der Konfiguration für die Zertifikatsausstellung unterscheiden.
  • CERTIFICATE_LIFETIME: die Zertifikatslebensdauer in Sekunden, die mit s endet, z. B. 2592000s für 30 Tage. Gültige Werte liegen zwischen 21 und 30 Tagen (1814400s bis 2592000s).
  • ROTATION_WINDOW_PERCENTAGE: der Prozentsatz der verbleibenden Lebensdauer des Zertifikats vor der Verlängerung. Informationen zum Bereich der gültigen Werte finden Sie unter Prozentsatz für Lebensdauer und Rotationsfenster.
  • KEY_ALGORITHM: der Verschlüsselungsalgorithmus, mit dem Sie den privaten Schlüssel generieren können. Gültige Werte sind ECDSA_P256 und RSA_2048.

Laufzeit und Prozentsatz des Rotationsfensters

Wenn Sie eine Konfigurationsressource für die Zertifikatsausstellung erstellen, definieren Sie auch die Lebensdauer des Zertifikats im Feld Lebensdauer und den Zeitpunkt, an dem der Erneuerungsprozess des Zertifikats beginnt, bevor es abläuft, im Feld Prozentsatz des Rotationsfensters.

Damit das Zertifikat mindestens sieben Tage vor Ablauf und sieben Tage nach der Ausstellung verlängert wird, legen Sie den Prozentsatz des Rotationsfensters relativ zur Laufzeit des Zertifikats fest. Verwenden Sie die folgenden Formeln, um den zulässigen Bereich für den Prozentsatz des Rotationsfensters zu berechnen:

  • Mindestwert: Prozentsatz des Rotationsfensters ≥ (7 / Laufzeit) × 100
  • Höchstwert: Prozentsatz des Rotationsfensters ≤ ( (Laufzeit − 7) ÷ Laufzeit) × 100

In den vorherigen Formeln ist 7 sieben Tage.

Wenn der Mindestwert ein Dezimalwert ist, runden Sie ihn auf die nächste ganze Zahl auf. Wenn der Höchstwert ein Dezimalwert ist, runden Sie ihn auf die nächste ganze Zahl ab.

Konfiguration der Zertifikatsausstellung aktualisieren

Wenn Sie eine Konfiguration für die Zertifikatsausstellung aktualisieren, können Sie Folgendes tun:

  • Neue Labels angeben
  • Neue Beschreibung angeben

gcloud

Verwenden Sie den Befehl certificate-manager issuance-configs update, um eine Konfigurationsressource für die Zertifikatsausstellung zu aktualisieren:

gcloud certificate-manager issuance-configs update ISSUANCE_CONFIG_NAME
    [--update-labels="LABELS"] \
    [--description="DESCRIPTION"]

Ersetzen Sie Folgendes:

  • ISSUANCE_CONFIG_NAME: der Name der Zielkonfiguration für die Zertifikatsausstellung, die Sie aktualisieren möchten.
  • LABELS: Labels, die Sie für die Konfiguration der Zertifikatsausstellung angeben möchten. Labels müssen in einer durch Kommas getrennten Liste als KEY=VALUE-Paare angegeben werden. Dieses Feld ist optional.
  • DESCRIPTION: die Beschreibung der Konfiguration für die Zertifikatsausstellung. Dieses Feld ist optional.

API

Verwenden Sie die Methode certificateIssuanceConfigs.patch, um eine Konfiguration für die Zertifikatsausstellung zu aktualisieren:

PATCH /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME?updateMask=labels,description
{
  labels: { "LABEL_KEY": "LABEL_VALUE" },
  description: "DESCRIPTION"
}

Ersetzen Sie Folgendes:

  • PROJECT_ID: ID Ihres Projekts in Google Cloud .
  • ISSUANCE_CONFIG_NAME: der Name der Zielkonfiguration für die Zertifikatsausstellung, die Sie aktualisieren möchten.
  • LABEL_KEY: der Labelschlüssel. Dieses Feld ist optional.
  • LABEL_VALUE: der Wert des Labels. Dieses Feld ist optional.
  • DESCRIPTION: die Konfiguration der Zertifikatsausstellung.

Konfigurationen für die Zertifikatsausstellung auflisten

Sie können alle Konfigurationsressourcen für die Zertifikatsausstellung Ihres Projekts und deren Details aufrufen.

Console

  1. Rufen Sie in der Google Cloud Console auf der Seite Zertifikatmanager den Tab Ausstellungskonfigurationen auf.

    Zum Zertifikatmanager

    Auf dem Tab Ausstellungskonfigurationen werden alle vom Zertifikatmanager im ausgewählten Projekt verwalteten Konfigurationsressourcen für die Zertifikatausstellung angezeigt.

gcloud

Verwenden Sie den Befehl certificate-manager issuance-configs list, um Konfigurationsressourcen für die Zertifikatsausstellung aufzulisten:

gcloud certificate-manager issuance-configs list \
    --filter="FILTER" \
    --page-size="PAGE_SIZE" \
    --limit="LIMIT" \
    --sort-by="SORT_BY" \
    [--location=LOCATION]

Ersetzen Sie Folgendes:

  • FILTER: Ein Ausdruck, der die zurückgegebenen Ergebnisse auf bestimmte Werte beschränkt.

    Wenn Sie die Ergebnisse beispielsweise nach Labels und Erstellungszeit filtern möchten, können Sie Folgendes angeben: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

    Weitere Filterbeispiele, die Sie mit dem Zertifikatmanager verwenden können, finden Sie in der Cloud Key Management Service-Dokumentation unter Listenergebnisse sortieren und filtern.

  • PAGE_SIZE: Anzahl der Ergebnisse, die pro Seite zurückgegeben werden sollen

  • LIMIT: Maximale Anzahl von Ergebnissen, die zurückgegeben werden sollen

  • SORT_BY: Eine durch Kommas getrennte Liste von name-Feldern, nach denen die zurückgegebenen Ergebnisse sortiert werden. Die Standardsortierreihenfolge ist aufsteigend. Für eine absteigende Sortierreihenfolge stellen Sie dem Feld eine Tilde (~) voran.

  • LOCATION: der Zielstandort in Google Cloud .

API

Listen Sie konfigurierte Ressourcen für die Zertifikatsausstellung auf, indem Sie eine LIST-Anfrage an die Methode certificateIssuanceConfigs.list senden:

GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs?filter=FILTER&pageSize=PAGE_SIZE&sortBy=SORT_BY

Ersetzen Sie Folgendes:

  • PROJECT_ID: ID Ihres Projekts in Google Cloud .

  • FILTER: Ein Ausdruck, der die zurückgegebenen Ergebnisse auf bestimmte Werte beschränkt.

    Wenn Sie die Ergebnisse beispielsweise nach Labels und Erstellungszeit filtern möchten, können Sie Folgendes angeben: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

    Weitere Filterbeispiele, die Sie mit dem Zertifikatmanager verwenden können, finden Sie in der Dokumentation zum Cloud Key Management Service unter Listenergebnisse sortieren und filtern.

  • PAGE_SIZE: Anzahl der Ergebnisse, die pro Seite zurückgegeben werden sollen

  • SORT_BY: Eine durch Kommas getrennte Liste von name-Feldern, nach denen die zurückgegebenen Ergebnisse sortiert werden. Die Standardsortierreihenfolge ist aufsteigend. Für eine absteigende Sortierreihenfolge stellen Sie dem Feld eine Tilde (~) voran.

Status einer Konfigurationsressource für die Zertifikatsausstellung ansehen

Console

  1. Rufen Sie in der Google Cloud Console auf der Seite Zertifikatmanager den Tab Ausstellungskonfigurationen auf.

    Zum Zertifikatmanager

  2. Klicken Sie auf den Namen der Zertifikatsausstellungskonfigurations-Ressource, die Sie aufrufen möchten. Auf der Seite Konfiguration der Zertifikatsausstellung werden detaillierte Informationen zur Konfigurationsressource für die Zertifikatsausstellung angezeigt.

gcloud

Verwenden Sie den Befehl certificate-manager issuance-configs describe, um den Status einer Konfigurationsressource für die Zertifikatsausstellung aufzurufen:

gcloud certificate-manager issuance-configs describe ISSUANCE_CONFIG_NAME

Ersetzen Sie ISSUANCE_CONFIG_NAME durch den Namen der Konfigurationsressource für die Zertifikatsausstellung, die auf den Ziel-CA-Pool verweist.

API

Rufen Sie den Status der Konfigurationsressource für die Zertifikatsausstellung auf, indem Sie eine GET-Anfrage an die Methode certificateIssuanceConfigs.get senden:

  GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

Ersetzen Sie Folgendes:

  • PROJECT_ID: ID Ihres Projekts in Google Cloud .
  • ISSUANCE_CONFIG_NAME: der Name der Konfigurationsressource für die Zertifikatsausstellung, die auf den Ziel-CA-Pool verweist.

Konfigurationsressource für die Zertifikatsausstellung löschen

Bevor Sie eine Konfigurationsressource für die Zertifikatsausstellung löschen, müssen Sie zuerst das von Google verwaltete Zertifikat löschen, das darauf verweist.

Wenn Sie die letzte CA deaktivieren möchten, die Sie in einem CA-Pool aktiviert haben, auf den in der Konfigurationsressource für die Zertifikatsausstellung verwiesen wird, oder wenn Sie den CA-Pool vollständig löschen möchten, müssen Sie zuerst alle Konfigurationsressourcen für die Zertifikatsausstellung löschen, die auf den CA-Pool verweisen.

Console

  1. Rufen Sie in der Google Cloud Console auf der Seite Zertifikatmanager den Tab Ausstellungskonfigurationen auf.

    Zum Zertifikatmanager

  2. Klicken Sie auf das Kästchen neben der Ausstellerkonfiguration, die Sie löschen möchten.

  3. Klicken Sie auf Löschen.

  4. Klicken Sie im angezeigten Dialogfeld zur Bestätigung auf Löschen.

gcloud

Verwenden Sie den certificate-manager issuance-configs delete-Befehl, um eine Konfigurationsressource für die Zertifikatsausstellung zu löschen:

gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME
    [--location=LOCATION]

Ersetzen Sie Folgendes:

  • ISSUANCE_CONFIG_NAME: der Name der Konfigurationsressource für die Zertifikatsausstellung, die auf den Ziel-CA-Pool verweist.
  • LOCATION: der Zielstandort in Google Cloud .

API

Löschen Sie die Konfigurationsressource für die Zertifikatsausstellung, indem Sie eine DELETE-Anfrage an die Methode certificateIssuanceConfigs.delete senden:

  DELETE /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

Ersetzen Sie Folgendes:

  • PROJECT_ID: ID Ihres Projekts in Google Cloud .
  • ISSUANCE_CONFIG_NAME: der Name der Konfigurationsressource für die Zertifikatsausstellung, die auf den Ziel-CA-Pool verweist.

Nächste Schritte