יצירת הגדרות הנפקה

תצוגה מקדימה

השימוש במוצר או בתכונה כפוף לתנאי השימוש במוצרים בשלב טרום-GA, בחלק "תנאים כלליים לשירות" של התנאים הספציפיים לשירות. השימוש בתכונות ובמוצרים בגרסת טרום-GA הוא "כפי שהם" (As is), ויכול להיות שהתמיכה בהם תהיה מוגבלת. אתם יכולים לקרוא מידע נוסף בקטע תיאור שלבי ההשקה.

בדף הזה מוסבר איך ליצור ולנהל משאב של הגדרת הנפקת אישורים.

מידע נוסף על משאבי הגדרות להנפקת אישורים זמין במאמר הגדרות להנפקת אישורים.

הערה: ההוראות של Google Cloud CLI בדף הזה מבוססות על ההנחה שאתם משתמשים ב- Cloud Shell או בסביבה אחרת שמותקן בה bash. למידע נוסף על הפקודות של ה-CLI של gcloud שמופיעות בדף הזה, קראו את מדריך העזר ל-CLI של Certificate Manager.

יצירת משאב להגדרת הנפקת אישורים

לפני שיוצרים את משאב הגדרת ההנפקה, צריך להגדיר את השילוב של שירות CA עם Certificate Manager.

כדי ליצור משאב של הגדרת הנפקת אישורים, צריך לציין את משך החיים של האישור, את אחוז חלון הרוטציה, את אלגוריתם המפתח ואת מאגר ה-CA שבו רוצים להשתמש.

למרות שאתם משתמשים במאגר אזורי של רשויות להנפקת אישורים (CA) כדי להנפיק אישור TLS בניהול Google, אפשר להשתמש באישור באופן גלובלי.

התפקידים שנדרשים למשימה הזו

כדי לבצע את המשימה הזו, אתם צריכים אחד מתפקידי ה-IAM הבאים בפרויקט היעד Google Cloud .

• תפקיד עריכה ב-Certificate Manager‏ (roles/certificatemanager.editor)
• תפקיד הבעלים של Certificate Manager‏ (roles/certificatemanager.owner)

מידע נוסף זמין במאמר תפקידים והרשאות.

הערה: אם לא הוקצו לכם התפקידים הנדרשים, פנו לאדמין של IAM עם התפקיד אדמין של IAM בפרויקט (roles/resourcemanager.projectIamAdmin) כדי שיקצה לכם את התפקידים החסרים.

המסוף

1. במסוף Google Cloud , נכנסים לכרטיסייה Issuance configs בדף Certificate Manager.

   כניסה ל-Certificate Manager

2. לוחצים על יצירה. ייפתח הדף Create a Certificate Issuance Config.

3. בשדה Name, מזינים שם ייחודי למשאב של הגדרת הנפקת האישורים.

4. אופציונלי: בשדה Description, מזינים תיאור להגדרת ההנפקה.

5. בשדה Location, בוחרים באפשרות Global או Regional. אם בחרתם באפשרות Regional, בוחרים את אותו Region כמו של האישור ומאגר ה-CA.

6. בשדה Lifetime, מציינים את משך החיים של האישור שהונפק בימים. הערך צריך להיות בין 21 ל-30 ימים (כולל).

7. בשדה Rotation window percentage, מציינים את אחוז משך החיים של האישור שבו מתחיל תהליך החידוש שלו. כדי למצוא את טווח הערכים החוקיים, עיינו בקטע אחוז חלון הרוטציה ומשך החיים.

8. ברשימה Key algorithm, בוחרים את אלגוריתם המפתח שבו רוצים להשתמש כדי ליצור את המפתח הפרטי.

9. ברשימה CA pool, בוחרים את השם של מאגר ה-CA שרוצים להקצות למשאב של הגדרת הנפקת האישורים.

10. בשדה Labels, מציינים תוויות לשיוך לאישור. כדי להוסיף תווית, לוחצים על Add label ומציינים מפתח וערך בשביל התווית.

11. לוחצים על יצירה.

gcloud

כדי ליצור משאב של הגדרת הנפקת אישורים, משתמשים בפקודה certificate-manager issuance-configs create:

gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
    --ca-pool=CA_POOL \
    --lifetime=CERTIFICATE_LIFETIME \
    --rotation-window-percentage=ROTATION_WINDOW_PERCENTAGE \
    --key-algorithm=KEY_ALGORITHM
    [--location=LOCATION]

מחליפים את מה שכתוב בשדות הבאים:

• ‫ISSUANCE_CONFIG_NAME: השם של משאב ההגדרות להנפקת אישורים שמפנה למאגר היעד של רשויות האישורים.
• ‫CA_POOL: הנתיב המלא של המשאב והשם של מאגר ה-CA שרוצים להקצות למשאב של הגדרת הנפקת האישורים, בפורמט הזה: projects/PROJECT_ID/locations/LOCATION/caPools/CA_POOL_ID. הפרויקט והמיקום של מאגר ה-CA יכולים להיות שונים מהפרויקט והמיקום של הגדרת הנפקת האישורים.
• ‫CERTIFICATE_LIFETIME: משך החיים של האישור בימים. הערכים החוקיים הם בין 21 ל-30 ימים בפורמט משך הזמן של ISO 8601, לדוגמה P30D. ערך ברירת המחדל הוא 30 ימים (P30D). הדגל הזה הוא אופציונלי.
• ‫ROTATION_WINDOW_PERCENTAGE: אחוז הזמן שנותר עד לחידוש האישור. ערך ברירת המחדל הוא 66%. כדי למצוא את טווח הערכים החוקיים, עיינו בקטע אחוז חלון הרוטציה ומשך החיים. הדגל הזה הוא אופציונלי.
• ‫KEY_ALGORITHM: אלגוריתם ההצפנה שבו אפשר להשתמש כדי ליצור את המפתח הפרטי. הערכים התקינים הם ecdsa-p256 או rsa-2048. ערך ברירת המחדל הוא rsa-2048. הדגל הזה הוא אופציונלי.
• ‫LOCATION: מיקום היעד Google Cloud .

API

כדי ליצור את משאב ההגדרות של הנפקת האישורים, שולחים בקשת POST ל-method‏ certificateIssuanceConfigs.create באופן הבא:

POST /v1/projects/PROJECT_ID/locations/LOCATION/certificateIssuanceConfigs?issuanceConfig_id=ISSUANCE_CONFIG_NAME
{
  "description": "DESCRIPTION",
  "certificateAuthorityConfig": {
    "certificateAuthorityServiceConfig": {
      "caPool": "CA_POOL"
    }
  },
  "lifetime": "CERTIFICATE_LIFETIME",
  "rotationWindowPercentage": ROTATION_WINDOW_PERCENTAGE,
  "keyAlgorithm": "KEY_ALGORITHM"
}

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
• ‫LOCATION: מיקום היעד Google Cloud .
• ‫ISSUANCE_CONFIG_NAME: השם של משאב ההגדרות להנפקת אישורים שמפנה למאגר היעד של רשויות האישורים.
• ‫DESCRIPTION: תיאור משמעותי של משאב ההגדרות להנפקת אישורים.
• ‫CA_POOL: הנתיב המלא של המשאב והשם של מאגר ה-CA שרוצים להקצות למשאב של הגדרת הנפקת האישורים, בפורמט הזה: projects/PROJECT_ID/locations/LOCATION/caPools/CA_POOL_ID. הפרויקט והמיקום של מאגר ה-CA יכולים להיות שונים מהפרויקט והמיקום של הגדרת הנפקת האישורים.
• ‫CERTIFICATE_LIFETIME: משך החיים של האישור בשניות, שמסתיים ב-s. לדוגמה: 2592000s למשך 30 ימים. הערכים התקינים הם בין 21 ל-30 ימים (1814400s עד 2592000s).
• ‫ROTATION_WINDOW_PERCENTAGE: אחוז הזמן שנותר עד לחידוש האישור. כדי למצוא את טווח הערכים החוקיים, עיינו בקטע אחוז חלון הרוטציה ומשך החיים.
• ‫KEY_ALGORITHM: אלגוריתם ההצפנה שבו אפשר להשתמש כדי ליצור את המפתח הפרטי. הערכים התקינים הם ECDSA_P256 או RSA_2048.

אחוז חלון הרוטציה ומשך החיים

כשיוצרים משאב של הגדרת הנפקת אישורים, מגדירים גם את משך החיים של האישור בשדה Lifetime, ומתי מתחיל תהליך החידוש של האישור לפני שהוא פג בשדה Rotation window percentage.

כדי לוודא שהאישור יתחדש לפחות שבעה ימים לפני שהוא יפוג ושבעה ימים אחרי שהוא יונפק, צריך להגדיר את אחוז חלון הרוטציה ביחס למשך החיים של האישור. כדי לחשב את הטווח המותר לאחוז של חלון הרוטציה, משתמשים בנוסחאות הבאות:

• ערך מינימלי: אחוז חלון הסבב ≥ (7 / משך החיים) * 100
• ערך מקסימלי: אחוז חלון הסבב ≤ ( (משך החיים - 7) / משך החיים) * 100

בנוסחאות הקודמות, 7 הוא שבעה ימים.

אם הערך המינימלי הוא מספר עשרוני, מעגלים אותו כלפי מעלה למספר השלם הקרוב ביותר. אם הערך המקסימלי הוא מספר עשרוני, מעגלים אותו כלפי מטה למספר השלם הקרוב ביותר.

עדכון הגדרת הנפקת אישורים

כשמעדכנים הגדרה של הנפקת אישורים, אפשר לבצע את הפעולות הבאות:

• הגדרת תוויות חדשות
• מציינים תיאור חדש

התפקידים שנדרשים למשימה הזו

כדי לבצע את המשימה הזו, אתם צריכים אחד מתפקידי ה-IAM הבאים בפרויקט היעד Google Cloud .

• תפקיד עריכה ב-Certificate Manager‏ (roles/certificatemanager.editor)
• תפקיד הבעלים של Certificate Manager‏ (roles/certificatemanager.owner)

מידע נוסף זמין במאמר תפקידים והרשאות.

הערה: אם לא הוקצו לכם התפקידים הנדרשים, פנו לאדמין של IAM עם התפקיד אדמין של IAM בפרויקט (roles/resourcemanager.projectIamAdmin) כדי שיקצה לכם את התפקידים החסרים.

gcloud

כדי לעדכן משאב של הגדרת הנפקת אישורים, משתמשים בפקודה certificate-manager issuance-configs update:

gcloud certificate-manager issuance-configs update ISSUANCE_CONFIG_NAME
    [--update-labels="LABELS"] \
    [--description="DESCRIPTION"]

מחליפים את מה שכתוב בשדות הבאים:

• ISSUANCE_CONFIG_NAME: השם של הגדרת היעד להנפקת אישורים שרוצים לעדכן.
• LABELS: תוויות שרוצים לציין להגדרת הנפקת האישורים. צריך לציין את התוויות ברשימה מופרדת בפסיקים כצמדים של KEY=VALUE. השדה הזה אופציונלי.
• ‫DESCRIPTION: התיאור של הגדרת הנפקת האישורים. השדה הזה הוא אופציונלי.

API

משתמשים ב-method‏ certificateIssuanceConfigs.patch כדי לעדכן את הגדרת הנפקת האישורים:

PATCH /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME?updateMask=labels,description
{
  labels: { "LABEL_KEY": "LABEL_VALUE" },
  description: "DESCRIPTION"
}

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
• ISSUANCE_CONFIG_NAME: השם של הגדרת היעד להנפקת אישורים שרוצים לעדכן.
• ‫LABEL_KEY: מפתח התווית. השדה הזה הוא אופציונלי.
• ‫LABEL_VALUE: הערך של התווית. השדה הזה אופציונלי.
• DESCRIPTION: הגדרת הנפקת האישור.

הצגת רשימה של הגדרות להנפקת אישורים

אתם יכולים לראות את כל משאבי ההגדרות להנפקת אישורים בפרויקט ואת הפרטים שלהם.

התפקידים שנדרשים למשימה הזו

כדי לבצע את המשימה הזו, אתם צריכים אחד מתפקידי ה-IAM הבאים בפרויקט היעד Google Cloud .

• תפקיד הצפייה ב-Certificate Manager (roles/certificatemanager.viewer)
• תפקיד עריכה ב-Certificate Manager‏ (roles/certificatemanager.editor)
• תפקיד הבעלים של Certificate Manager‏ (roles/certificatemanager.owner)

מידע נוסף זמין במאמר תפקידים והרשאות.

הערה: אם לא הוקצו לכם התפקידים הנדרשים, פנו לאדמין של IAM עם התפקיד אדמין של IAM בפרויקט (roles/resourcemanager.projectIamAdmin) כדי שיקצה לכם את התפקידים החסרים.

המסוף

1. במסוף Google Cloud , נכנסים לכרטיסייה Issuance configs בדף Certificate Manager.

   כניסה ל-Certificate Manager

   בכרטיסייה Issuance configs מוצגים כל משאבי ההגדרות להנפקת אישורים שמנוהלים על ידי Certificate Manager בפרויקט שנבחר.

gcloud

כדי להציג את רשימת המשאבים של הגדרת הנפקת האישורים, משתמשים בפקודה certificate-manager issuance-configs list:

gcloud certificate-manager issuance-configs list \
    --filter="FILTER" \
    --page-size="PAGE_SIZE" \
    --limit="LIMIT" \
    --sort-by="SORT_BY" \
    [--location=LOCATION]

מחליפים את מה שכתוב בשדות הבאים:

• ‫FILTER: ביטוי שמגביל את התוצאות שמוחזרות לערכים ספציפיים.

  לדוגמה, כדי לסנן את התוצאות לפי התוויות וזמן היצירה, אפשר לציין: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

  דוגמאות נוספות לסינון שאפשר להשתמש בהן עם Certificate Manager מופיעות במאמר מיון וסינון של תוצאות רשימה במסמכי התיעוד של Cloud Key Management Service.

• ‫PAGE_SIZE: מספר התוצאות שרוצים להחזיר בכל דף

• ‫LIMIT: מספר התוצאות המקסימלי שרוצים להחזיר

• ‫SORT_BY: רשימה מופרדת בפסיקים של שדות name, שלפיהם התוצאות שמוחזרות ממוינות. ברירת המחדל היא סדר עולה. כדי למיין בסדר יורד, צריך להוסיף טילדה (~) בתחילת השדה.

• ‫LOCATION: מיקום היעד Google Cloud .

API

כדי להציג רשימה של משאבי הגדרות להנפקת אישורים, שולחים בקשת LIST ל-method‏ certificateIssuanceConfigs.list:

GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs?filter=FILTER&pageSize=PAGE_SIZE&sortBy=SORT_BY

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .

• ‫FILTER: ביטוי שמגביל את התוצאות שמוחזרות לערכים ספציפיים.

  לדוגמה, כדי לסנן את התוצאות לפי התוויות וזמן היצירה, אפשר לציין: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

  דוגמאות נוספות לסינון שאפשר להשתמש בהן עם Certificate Manager מפורטות במאמר מיון וסינון של תוצאות רשימה במסמכי התיעוד של Cloud Key Management Service.

• ‫PAGE_SIZE: מספר התוצאות שרוצים להחזיר בכל דף

• ‫SORT_BY: רשימה מופרדת בפסיקים של שדות name, שלפיהם התוצאות שמוחזרות ממוינות. ברירת המחדל היא סדר עולה. כדי למיין בסדר יורד, צריך להוסיף טילדה (~) בתחילת השדה.

הצגת המצב של משאב הגדרות אישיות להנפקת אישורים

התפקידים שנדרשים למשימה הזו

כדי לבצע את המשימה הזו, אתם צריכים אחד מתפקידי ה-IAM הבאים בפרויקט היעד Google Cloud .

• תפקיד הצפייה ב-Certificate Manager (roles/certificatemanager.viewer)
• תפקיד עריכה ב-Certificate Manager‏ (roles/certificatemanager.editor)
• תפקיד הבעלים של Certificate Manager‏ (roles/certificatemanager.owner)

מידע נוסף זמין במאמר תפקידים והרשאות.

הערה: אם לא הוקצו לכם התפקידים הנדרשים, פנו לאדמין של IAM עם התפקיד אדמין של IAM בפרויקט (roles/resourcemanager.projectIamAdmin) כדי שיקצה לכם את התפקידים החסרים.

המסוף

1. במסוף Google Cloud , נכנסים לכרטיסייה Issuance configs בדף Certificate Manager.

   כניסה ל-Certificate Manager

2. לוחצים על השם של משאב הגדרת ההנפקה של האישורים שרוצים לראות. בדף Certificate Issuance Config מוצג מידע מפורט על משאב הגדרת הנפקת האישורים.

gcloud

כדי לראות את המצב של משאב הגדרת הנפקת האישורים, משתמשים בפקודה certificate-manager issuance-configs describe:

gcloud certificate-manager issuance-configs describe ISSUANCE_CONFIG_NAME

מחליפים את ISSUANCE_CONFIG_NAME בשם של משאב הגדרת ההנפקה של האישורים שמפנה למאגר היעד של רשויות האישורים.

API

כדי לראות את המצב של משאב ההגדרות להנפקת אישורים, שולחים בקשת GET ל-method‏ certificateIssuanceConfigs.get באופן הבא:

  GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
• ‫ISSUANCE_CONFIG_NAME: השם של משאב ההגדרות להנפקת אישורים שמפנה למאגר היעד של רשויות האישורים.

מחיקת משאב של הגדרת הנפקת אישורים

לפני שמוחקים משאב של הגדרת הנפקת אישורים, צריך קודם למחוק את האישור בניהול Google שמפנה אליו.

כדי להשבית את ה-CA האחרון שהפעלתם במאגר רשויות להנפקת אישורים (CA) שמופיע במשאב ההגדרות להנפקת אישורים, או כדי למחוק את מאגר הרשויות להנפקת אישורים (CA) לגמרי, קודם צריך למחוק את כל משאבי ההגדרות להנפקת אישורים שמופיעים במאגר הרשויות להנפקת אישורים (CA).

התפקידים שנדרשים למשימה הזו

כדי לבצע את המשימה הזו, אתם צריכים אחד מתפקידי ה-IAM הבאים בפרויקט היעד Google Cloud .

• תפקיד הבעלים של Certificate Manager‏ (roles/certificatemanager.owner)

מידע נוסף זמין במאמר תפקידים והרשאות.

הערה: אם לא הוקצו לכם התפקידים הנדרשים, פנו לאדמין של IAM עם התפקיד אדמין של IAM בפרויקט (roles/resourcemanager.projectIamAdmin) כדי שיקצה לכם את התפקידים החסרים.

המסוף

1. במסוף Google Cloud , נכנסים לכרטיסייה Issuance configs בדף Certificate Manager.

   כניסה ל-Certificate Manager

2. מסמנים את התיבה של הגדרת ההנפקה שרוצים למחוק.

3. לוחצים על Delete.

4. בתיבת הדו-שיח שמופיעה, לוחצים על מחיקה כדי לאשר.

gcloud

כדי למחוק משאב של הגדרת הנפקת אישורים, משתמשים בפקודה certificate-manager issuance-configs delete:

gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME
    [--location=LOCATION]

מחליפים את מה שכתוב בשדות הבאים:

• ‫ISSUANCE_CONFIG_NAME: השם של משאב ההגדרות להנפקת אישורים שמפנה למאגר היעד של רשויות האישורים.
• ‫LOCATION: מיקום היעד Google Cloud .

API

כדי למחוק את משאב ההגדרות להנפקת אישורים, שולחים בקשת DELETE ל-method‏ certificateIssuanceConfigs.delete:

  DELETE /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
• ‫ISSUANCE_CONFIG_NAME: השם של משאב ההגדרות להנפקת אישורים שמפנה למאגר היעד של רשויות האישורים.

המאמרים הבאים

• השוואה בין הגרסאות של Certificate Manager
• הצגת מלאי האישורים
• מעקב אחרי האישורים
• יצירת הגדרת אמון