יצירת הגדרות הנפקה

בדף הזה מוסבר איך ליצור ולנהל משאב של הגדרת הנפקת אישורים.

מידע נוסף על משאבי הגדרות הנפקת אישורים זמין במאמר בנושא הגדרות הנפקת אישורים.

יצירת משאב של הגדרות להנפקת אישורים

לפני שיוצרים את משאב הגדרת ההנפקה, צריך להגדיר את השילוב של CA Service עם Certificate Manager.

כדי ליצור משאב של הגדרת הנפקת אישור, צריך לציין את משך החיים של האישור, את אחוז חלון הרוטציה, את אלגוריתם המפתח ואת מאגר רשויות האישורים שבו רוצים להשתמש.

גם אם משתמשים במאגר אזורי של רשויות להנפקת אישורים (CA) כדי להנפיק אישור TLS שמנוהל על ידי Google, אפשר להשתמש באישור הזה באופן גלובלי.

המסוף

  1. במסוף Google Cloud , עוברים לכרטיסייה Issuance configs בדף Certificate Manager.

    כניסה אל Certificate Manager

  2. לוחצים על יצירה. ייפתח הדף Create a Certificate Issuance Config.

  3. בשדה שם, מזינים שם ייחודי למשאב של הגדרת הנפקת האישור.

  4. אופציונלי: בשדה Description, מזינים תיאור של הגדרת ההנפקה.

  5. בקטע Location, בוחרים באפשרות Global או Regional. אם בחרתם באפשרות אזורי, בוחרים באותו אזור שבו נמצאים האישור ומאגר רשויות להנפקת אישורים (CA).

  6. בשדה Lifetime, מציינים את משך החיים של האישור שהונפק בימים. הערך חייב להיות בין 21 ל-30 ימים (כולל).

  7. בקטע Rotation window percentage (אחוז חלון הרוטציה), מציינים את אחוז משך החיים של האישור שבו מתחיל תהליך החידוש. כדי לראות את טווח הערכים התקינים, אפשר לעיין במאמר בנושא אחוז חלון הזמן של מחזור החיים והרוטציה.

  8. מהרשימה Key algorithm (אלגוריתם המפתח), בוחרים את אלגוריתם המפתח שבו רוצים להשתמש כשיוצרים את המפתח הפרטי.

  9. ברשימה CA pool (מאגר רשויות אישורים), בוחרים את השם של מאגר רשויות האישורים שרוצים להקצות למשאב הזה של הגדרת הנפקת האישורים.

  10. בשדה Labels, מציינים את התוויות לשיוך לאישור. כדי להוסיף תווית, לוחצים על Add label ומציינים מפתח וערך לתווית.

  11. לוחצים על יצירה.

gcloud

כדי ליצור משאב של הגדרת הנפקת אישורים, משתמשים בפקודה certificate-manager issuance-configs create:

gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
    --ca-pool=CA_POOL \
    --lifetime=CERTIFICATE_LIFETIME \
    --rotation-window-percentage=ROTATION_WINDOW_PERCENTAGE \
    --key-algorithm=KEY_ALGORITHM
    [--location=LOCATION]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫ISSUANCE_CONFIG_NAME: השם של משאב הגדרות הנפקת האישורים שמפנה למאגר היעד של רשות האישורים.
  • ‫CA_POOL: הנתיב המלא של המשאב ושם מאגר רשויות להנפקת אישורים (CA) שרוצים להקצות למשאב של הגדרת הנפקת האישורים, בפורמט הבא: projects/PROJECT_ID/locations/LOCATION/caPools/CA_POOL_ID. הפרויקט והמיקום של מאגר רשויות להנפקת אישורים (CA) יכולים להיות שונים מהפרויקט והמיקום של הגדרת הנפקת האישורים.
  • ‫CERTIFICATE_LIFETIME: משך החיים של האישור בימים. הערכים האפשריים הם בין 21 ל-30 ימים בפורמט משך הזמן של ISO 8601. לדוגמה: P30D. ערך ברירת המחדל הוא 30 ימים (P30D). הדגל הזה הוא אופציונלי.
  • ‫ROTATION_WINDOW_PERCENTAGE: אחוז משך החיים שנותר לאישור לפני החידוש. ערך ברירת המחדל הוא 66%. כדי לראות את טווח הערכים התקינים, אפשר לעיין במאמר בנושא אחוז החלון של מחזור החיים והרוטציה. הדגל הזה הוא אופציונלי.
  • ‫KEY_ALGORITHM: אלגוריתם ההצפנה שבו אפשר להשתמש כדי ליצור את המפתח הפרטי. הערכים התקינים הם ecdsa-p256 או rsa-2048. ערך ברירת המחדל הוא rsa-2048. הדגל הזה הוא אופציונלי.
  • ‫LOCATION: מיקום היעד. Google Cloud

API

כדי ליצור את משאב התצורה של הנפקת האישורים, שולחים בקשת POST אל ה-method‏ certificateIssuanceConfigs.create באופן הבא:

POST /v1/projects/PROJECT_ID/locations/LOCATION/certificateIssuanceConfigs?issuanceConfig_id=ISSUANCE_CONFIG_NAME
{
  "description": "DESCRIPTION",
  "certificateAuthorityConfig": {
    "certificateAuthorityServiceConfig": {
      "caPool": "CA_POOL"
    }
  },
  "lifetime": "CERTIFICATE_LIFETIME",
  "rotationWindowPercentage": ROTATION_WINDOW_PERCENTAGE,
  "keyAlgorithm": "KEY_ALGORITHM"
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
  • ‫LOCATION: מיקום היעד. Google Cloud
  • ‫ISSUANCE_CONFIG_NAME: השם של משאב הגדרות הנפקת האישורים שמפנה למאגר היעד של רשות האישורים.
  • DESCRIPTION: תיאור משמעותי של משאב ההגדרות של הנפקת האישור.
  • ‫CA_POOL: הנתיב המלא של המשאב ושם מאגר רשויות להנפקת אישורים (CA) שרוצים להקצות למשאב של הגדרת הנפקת האישורים, בפורמט הבא: projects/PROJECT_ID/locations/LOCATION/caPools/CA_POOL_ID. הפרויקט והמיקום של מאגר רשויות להנפקת אישורים (CA) יכולים להיות שונים מהפרויקט והמיקום של הגדרת הנפקת האישורים.
  • ‫CERTIFICATE_LIFETIME: משך החיים של האישור בשניות, שמסתיים ב-s. לדוגמה, 2592000s ל-30 יום. הערכים התקינים הם בין 21 ל-30 ימים (1814400s עד 2592000s).
  • ‫ROTATION_WINDOW_PERCENTAGE: אחוז משך החיים שנותר לאישור לפני החידוש. כדי לראות את טווח הערכים התקינים, אפשר לעיין במאמר בנושא אחוז החלון של מחזור החיים והרוטציה.
  • ‫KEY_ALGORITHM: אלגוריתם ההצפנה שבו אפשר להשתמש כדי ליצור את המפתח הפרטי. הערכים התקינים הם ECDSA_P256 או RSA_2048.

אחוז חלון ההמרות לכל משך החיים ואחוז חלון ההמרות לסיבוב

כשיוצרים משאב של הגדרת הנפקת אישור, מגדירים גם את משך החיים של האישור בשדה משך החיים, ואת הזמן שבו מתחיל תהליך חידוש האישור לפני שהוא פוקע בשדה אחוז חלון הרוטציה.

כדי לוודא שהאישור יתחדש לפחות שבעה ימים לפני תאריך התפוגה שלו ושבעה ימים אחרי הנפקתו, צריך להגדיר את אחוז חלון הרוטציה ביחס לזמן החיים של האישור. כדי לחשב את הטווח המותר של אחוז חלון הרוטציה, משתמשים בנוסחאות הבאות:

  • ערך מינימלי: אחוז חלון הרוטציה ≥ (7 / משך החיים) * 100
  • ערך מקסימלי: אחוז חלון הרוטציה ≤ ( (משך החיים – 7) / משך החיים) * 100

בנוסחאות הקודמות, 7 מייצג שבעה ימים.

אם ערך המינימום הוא מספר עשרוני, צריך לעגל אותו כלפי מעלה למספר השלם הקרוב ביותר. אם הערך המקסימלי הוא עשרוני, צריך לעגל אותו כלפי מטה למספר השלם הקרוב ביותר.

עדכון של הגדרות הנפקת אישורים

כשמעדכנים הגדרה של הנפקת אישורים, אפשר:

  • ציון תוויות חדשות
  • מציינים תיאור חדש

gcloud

כדי לעדכן משאב של הגדרת הנפקת אישורים, משתמשים בפקודה certificate-manager issuance-configs update:

gcloud certificate-manager issuance-configs update ISSUANCE_CONFIG_NAME
    [--update-labels="LABELS"] \
    [--description="DESCRIPTION"]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫ISSUANCE_CONFIG_NAME: השם של הגדרות הנפקת האישורים של היעד שרוצים לעדכן.
  • LABELS: תוויות שרוצים לציין להגדרת הנפקת האישור. צריך לציין את התוויות ברשימה מופרדת בפסיקים כצמדים של KEY=VALUE. השדה הזה אופציונלי.
  • ‫DESCRIPTION: תיאור של הגדרות הנפקת האישור. השדה הזה הוא אופציונלי.

API

משתמשים בשיטה certificateIssuanceConfigs.patch כדי לעדכן את הגדרת הנפקת האישור:

PATCH /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME?updateMask=labels,description
{
  labels: { "LABEL_KEY": "LABEL_VALUE" },
  description: "DESCRIPTION"
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
  • ‫ISSUANCE_CONFIG_NAME: השם של הגדרות הנפקת האישורים של היעד שרוצים לעדכן.
  • ‫LABEL_KEY: מפתח התווית. השדה הזה הוא אופציונלי.
  • ‫LABEL_VALUE: הערך של התווית. השדה הזה אופציונלי.
  • ‫DESCRIPTION: הגדרות הנפקת האישורים.

הצגת רשימה של הגדרות הנפקת אישורים

תוכלו לראות את כל משאבי ההגדרה של הנפקת האישורים בפרויקט ואת הפרטים שלהם.

המסוף

  1. במסוף Google Cloud , עוברים לכרטיסייה Issuance configs בדף Certificate Manager.

    כניסה אל Certificate Manager

    בכרטיסייה Issuance configs (הגדרות הנפקה) מוצגים כל משאבי ההגדרה של הנפקת אישורים שמנוהלים על ידי Certificate Manager בפרויקט שנבחר.

gcloud

כדי לראות את רשימת המשאבים של הגדרות הנפקת אישורים, משתמשים בפקודה certificate-manager issuance-configs list:

gcloud certificate-manager issuance-configs list \
    --filter="FILTER" \
    --page-size="PAGE_SIZE" \
    --limit="LIMIT" \
    --sort-by="SORT_BY" \
    [--location=LOCATION]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫FILTER: ביטוי שמגביל את התוצאות שמוחזרות לערכים ספציפיים.

    לדוגמה, כדי לסנן את התוצאות לפי התוויות וזמן היצירה, אפשר לציין: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

    דוגמאות נוספות לסינון שאפשר להשתמש בהן ב-Certificate Manager מופיעות במאמר מיון וסינון של תוצאות ברשימה במסמכי העזרה של Cloud Key Management Service.

  • ‫PAGE_SIZE: מספר התוצאות שרוצים להחזיר בכל דף

  • ‫LIMIT: המספר המקסימלי של התוצאות שרוצים להחזיר

  • ‫SORT_BY: רשימה מופרדת בפסיקים של name שדות שלפיהם התוצאות שמוחזרות ממוינות. סדר המיון שמוגדר כברירת מחדל הוא סדר עולה. כדי להגדיר סדר יורד, מוסיפים טילדה (~) לפני השדה.

  • ‫LOCATION: מיקום היעד. Google Cloud

API

כדי לראות רשימה של משאבי הגדרות הנפקת אישורים שהוגדרו, שולחים בקשת LIST אל ה-method‏ certificateIssuanceConfigs.list באופן הבא:

GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs?filter=FILTER&pageSize=PAGE_SIZE&sortBy=SORT_BY

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .

  • ‫FILTER: ביטוי שמגביל את התוצאות שמוחזרות לערכים ספציפיים.

    לדוגמה, כדי לסנן את התוצאות לפי התוויות וזמן היצירה, אפשר לציין: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

    דוגמאות נוספות לסינון שאפשר להשתמש בהן ב-Certificate Manager זמינות במאמר מיון וסינון של תוצאות הרשימה במרכז העזרה של Cloud Key Management Service.

  • ‫PAGE_SIZE: מספר התוצאות שרוצים להחזיר בכל דף

  • ‫SORT_BY: רשימה מופרדת בפסיקים של name שדות שלפיהם התוצאות שמוחזרות ממוינות. סדר המיון שמוגדר כברירת מחדל הוא סדר עולה. כדי להגדיר סדר יורד, מוסיפים טילדה (~) לפני השדה.

הצגת המצב של משאב הגדרות להנפקת אישור

המסוף

  1. במסוף Google Cloud , עוברים לכרטיסייה Issuance configs בדף Certificate Manager.

    כניסה אל Certificate Manager

  2. לוחצים על השם של משאב הגדרת הנפקת האישורים שרוצים להציג. בדף Certificate Issuance Config מוצג מידע מפורט על משאב הגדרת הנפקת האישורים.

gcloud

כדי להציג את המצב של משאב הגדרת הנפקת אישורים, משתמשים בפקודה certificate-manager issuance-configs describe:

gcloud certificate-manager issuance-configs describe ISSUANCE_CONFIG_NAME

מחליפים את ISSUANCE_CONFIG_NAME בשם של משאב ההגדרה של הנפקת האישורים שמפנה למאגר רשויות להנפקת אישורים (CA) היעד.

API

כדי לראות את המצב של משאב הגדרת הנפקת האישור, שולחים בקשת GET אל ה-method‏ certificateIssuanceConfigs.get באופן הבא:

  GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
  • ‫ISSUANCE_CONFIG_NAME: השם של משאב הגדרות הנפקת האישורים שמפנה למאגר היעד של רשות האישורים.

מחיקת משאב של הגדרת הנפקת אישורים

לפני שמוחקים משאב של הגדרת הנפקת אישורים, צריך קודם למחוק את האישור שמנוהל על ידי Google שמפנה אליו.

כדי להשבית את ה-CA האחרון שהפעלתם במאגר CA שאליו מתייחס משאב הגדרת הנפקת האישורים, או כדי למחוק את מאגר ה-CA לגמרי, קודם צריך למחוק את כל משאבי הגדרת הנפקת האישורים שמתייחסים למאגר ה-CA.

המסוף

  1. במסוף Google Cloud , עוברים לכרטיסייה Issuance configs בדף Certificate Manager.

    כניסה אל Certificate Manager

  2. מסמנים את התיבה של הגדרת ההנפקה שרוצים למחוק.

  3. לוחצים על Delete.

  4. בתיבת הדו-שיח שמופיעה, לוחצים על מחיקה כדי לאשר.

gcloud

כדי למחוק משאב של הגדרת הנפקת אישורים, משתמשים בפקודה certificate-manager issuance-configs delete:

gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME
    [--location=LOCATION]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫ISSUANCE_CONFIG_NAME: השם של משאב הגדרות הנפקת האישורים שמפנה למאגר היעד של רשות האישורים.
  • ‫LOCATION: מיקום היעד. Google Cloud

API

כדי למחוק את משאב ההגדרה של הנפקת האישורים, שולחים בקשת DELETE אל method‏ certificateIssuanceConfigs.delete באופן הבא:

  DELETE /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
  • ‫ISSUANCE_CONFIG_NAME: השם של משאב הגדרות הנפקת האישורים שמפנה למאגר היעד של רשות האישורים.

המאמרים הבאים