Crea configurazione dell'emissione

In questa pagina viene descritto come creare e gestire una risorsa di configurazione per l'emissione dei certificati.

Per saperne di più sulle risorse di configurazione dell'emissione dei certificati, consulta Configurazioni di emissione dei certificati.

Crea una risorsa di configurazione dell'emissione dei certificati

Prima di creare la risorsa di configurazione dell'emissione, configura l'integrazione di Certificate Authority Service con Certificate Manager.

Per creare una risorsa di configurazione dell'emissione dei certificati, specifica la durata del certificato, la percentuale della finestra di rotazione, l'algoritmo della chiave e il pool di CA da utilizzare.

Anche se utilizzi un pool di CA regionale per emettere un certificato TLS gestito da Google, il certificato può essere utilizzato a livello globale.

Console

  1. Nella console Google Cloud , vai alla scheda Configurazioni di emissione nella pagina Certificate Manager.

    Vai a Certificate Manager

  2. Fai clic su Crea. Viene visualizzata la pagina Crea una configurazione dell'emissione dei certificati.

  3. Nel campo Nome, inserisci un nome univoco per la risorsa di configurazione dell'emissione dei certificati.

  4. (Facoltativo) Nel campo Descrizione, inserisci una descrizione della configurazione di emissione.

  5. In Località, seleziona Globale o Regionale. Se hai selezionato Regionale, seleziona la stessa Regione del certificato e del pool CA.

  6. Nel campo Durata, specifica la durata del certificato emesso in giorni. Il valore deve essere compreso tra 21 e 30 giorni (inclusi).

  7. Per Percentuale della finestra di rotazione, specifica la percentuale della durata del certificato in cui inizia il processo di rinnovo. Per trovare l'intervallo di valori validi, consulta Percentuale della durata e della finestra di rotazione.

  8. Dall'elenco Algoritmo chiave, seleziona l'algoritmo chiave da utilizzare per generare la chiave privata.

  9. Dall'elenco pool CA, seleziona il nome del pool CA da assegnare a questa risorsa di configurazione di emissione dei certificati.

  10. Nel campo Etichette, specifica le etichette da associare al certificato. Per aggiungere un'etichetta, fai clic su Aggiungi etichetta e specifica una chiave e un valore per l'etichetta.

  11. Fai clic su Crea.

gcloud

Per creare una risorsa di configurazione dell'emissione dei certificati, utilizza il comando certificate-manager issuance-configs create:

gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
    --ca-pool=CA_POOL \
    --lifetime=CERTIFICATE_LIFETIME \
    --rotation-window-percentage=ROTATION_WINDOW_PERCENTAGE \
    --key-algorithm=KEY_ALGORITHM
    [--location=LOCATION]

Sostituisci quanto segue:

  • ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione di emissione dei certificati che fa riferimento al pool CA di destinazione.
  • CA_POOL: il percorso completo della risorsa e il nome del pool CA che vuoi assegnare alla risorsa di configurazione di emissione dei certificati in questo formato: projects/PROJECT_ID/locations/LOCATION/caPools/CA_POOL_ID. Il progetto e la località del pool CA possono essere diversi dal progetto e dalla località della configurazione di emissione dei certificati.
  • CERTIFICATE_LIFETIME: la durata del certificato in giorni. I valori validi sono compresi tra 21 e 30 giorni nel formato di durata ISO 8601, ad esempio P30D. Il valore predefinito è 30 giorni (P30D). Questo flag è facoltativo.
  • ROTATION_WINDOW_PERCENTAGE: la percentuale della durata rimanente del certificato prima del rinnovo. Il valore predefinito è 66%. Per trovare l'intervallo di valori validi, consulta Percentuale della finestra di rotazione e durata. Questo flag è facoltativo.
  • KEY_ALGORITHM: l'algoritmo crittografico che puoi utilizzare per generare la chiave privata. I valori validi sono ecdsa-p256 o rsa-2048. Il valore predefinito è rsa-2048. Questo flag è facoltativo.
  • LOCATION: la località Google Cloud target.

API

Crea la risorsa di configurazione dell'emissione dei certificati inviando una richiesta POST al metodo certificateIssuanceConfigs.create come segue:

POST /v1/projects/PROJECT_ID/locations/LOCATION/certificateIssuanceConfigs?issuanceConfig_id=ISSUANCE_CONFIG_NAME
{
  "description": "DESCRIPTION",
  "certificateAuthorityConfig": {
    "certificateAuthorityServiceConfig": {
      "caPool": "CA_POOL"
    }
  },
  "lifetime": "CERTIFICATE_LIFETIME",
  "rotationWindowPercentage": ROTATION_WINDOW_PERCENTAGE,
  "keyAlgorithm": "KEY_ALGORITHM"
}

Sostituisci quanto segue:

  • PROJECT_ID: l'ID del tuo progetto Google Cloud .
  • LOCATION: la località Google Cloud target.
  • ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione di emissione dei certificati che fa riferimento al pool CA di destinazione.
  • DESCRIPTION: una descrizione significativa della risorsa di configurazione dell'emissione dei certificati.
  • CA_POOL: il percorso completo della risorsa e il nome del pool CA che vuoi assegnare alla risorsa di configurazione di emissione dei certificati in questo formato: projects/PROJECT_ID/locations/LOCATION/caPools/CA_POOL_ID. Il progetto e la località del pool CA possono essere diversi dal progetto e dalla località della configurazione di emissione dei certificati.
  • CERTIFICATE_LIFETIME: la durata del certificato in secondi che termina con s; ad esempio, 2592000s per 30 giorni. I valori validi sono compresi tra 21 e 30 giorni (da 1814400s a 2592000s).
  • ROTATION_WINDOW_PERCENTAGE: la percentuale della durata rimanente del certificato prima del rinnovo. Per trovare l'intervallo di valori validi, consulta Percentuale della finestra di rotazione e della durata.
  • KEY_ALGORITHM: l'algoritmo crittografico che puoi utilizzare per generare la chiave privata. I valori validi sono ECDSA_P256 o RSA_2048.

Durata e percentuale della finestra di rotazione

Quando crei una risorsa di configurazione per l'emissione dei certificati, definisci anche la durata del certificato nel campo Durata e quando inizia il processo di rinnovo del certificato prima della scadenza nel campo Percentuale finestra di rotazione.

Per assicurarti che il certificato venga rinnovato almeno sette giorni prima della scadenza e sette giorni dopo l'emissione, imposta la percentuale della finestra di rotazione in base alla durata del certificato. Per calcolare l'intervallo consentito per la percentuale della finestra di rotazione, utilizza le seguenti formule:

  • Valore minimo: percentuale della finestra di rotazione ≥ (7/durata) * 100
  • Valore massimo: percentuale della finestra di rotazione ≤ ( (Durata - 7) / Durata) * 100

Nelle formule precedenti, 7 corrisponde a sette giorni.

Se il valore minimo è un valore decimale, arrotondalo per eccesso al numero intero più vicino. Se il valore massimo è un valore decimale, arrotondalo per difetto al numero intero più vicino.

Aggiorna una configurazione di emissione dei certificati

Quando aggiorni una configurazione di emissione dei certificati, puoi eseguire queste operazioni:

  • Specifica nuove etichette
  • Specifica una nuova descrizione

gcloud

Per aggiornare una risorsa di configurazione dell'emissione dei certificati, utilizza il comando certificate-manager issuance-configs update:

gcloud certificate-manager issuance-configs update ISSUANCE_CONFIG_NAME
    [--update-labels="LABELS"] \
    [--description="DESCRIPTION"]

Sostituisci quanto segue:

  • ISSUANCE_CONFIG_NAME: il nome della configurazione di emissione dei certificati di destinazione che vuoi aggiornare.
  • LABELS: le etichette che vuoi specificare per la configurazione di emissione dei certificati. Le etichette devono essere specificate in un elenco delimitato da virgole come coppie KEY=VALUE. Questo campo è facoltativo.
  • DESCRIPTION: la descrizione della configurazione di emissione dei certificati. Questo campo è facoltativo.

API

Utilizza il metodo certificateIssuanceConfigs.patch per aggiornare una configurazione di emissione dei certificati:

PATCH /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME?updateMask=labels,description
{
  labels: { "LABEL_KEY": "LABEL_VALUE" },
  description: "DESCRIPTION"
}

Sostituisci quanto segue:

  • PROJECT_ID: l'ID del tuo progetto Google Cloud .
  • ISSUANCE_CONFIG_NAME: il nome della configurazione di emissione dei certificati di destinazione che vuoi aggiornare.
  • LABEL_KEY: la chiave dell'etichetta. Questo campo è facoltativo.
  • LABEL_VALUE: il valore dell'etichetta. Questo campo è facoltativo.
  • DESCRIPTION: la configurazione di emissione dei certificati.

Elenca le configurazioni di emissione dei certificati

Puoi visualizzare tutte le risorse di configurazione dell'emissione dei certificati del tuo progetto e i relativi dettagli.

Console

  1. Nella console Google Cloud , vai alla scheda Configurazioni di emissione nella pagina Certificate Manager.

    Vai a Certificate Manager

    Nella scheda Configurazioni di emissione vengono visualizzate tutte le risorse di configurazione dell'emissione dei certificati gestite da Certificate Manager nel progetto selezionato.

gcloud

Per elencare le risorse di configurazione di emissione dei certificati, utilizza il comando certificate-manager issuance-configs list:

gcloud certificate-manager issuance-configs list \
    --filter="FILTER" \
    --page-size="PAGE_SIZE" \
    --limit="LIMIT" \
    --sort-by="SORT_BY" \
    [--location=LOCATION]

Sostituisci quanto segue:

  • FILTER: un'espressione che limita i risultati restituiti a valori specifici.

    Ad esempio, per filtrare i risultati in base alle etichette e alla data/ora di creazione, puoi specificare: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

    Per altri esempi di filtri che puoi utilizzare con Certificate Manager, consulta Ordinamento e filtro dei risultati dell'elenco nella documentazione di Cloud Key Management Service.

  • PAGE_SIZE: il numero di risultati che vuoi restituire per pagina

  • LIMIT: il numero massimo di risultati che vuoi restituire

  • SORT_BY: un elenco separato da virgole di campi name in base ai quali vengono ordinati i risultati restituiti. L'ordinamento predefinito è crescente; per l'ordinamento decrescente, anteponi una tilde (~) al campo.

  • LOCATION: la località Google Cloud target.

API

Elenca le risorse di configurazione dell'emissione dei certificati configurate inviando una richiesta LIST al metodo certificateIssuanceConfigs.list come segue:

GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs?filter=FILTER&pageSize=PAGE_SIZE&sortBy=SORT_BY

Sostituisci quanto segue:

  • PROJECT_ID: l'ID del tuo progetto Google Cloud .

  • FILTER: un'espressione che limita i risultati restituiti a valori specifici.

    Ad esempio, per filtrare i risultati in base alle etichette e alla data/ora di creazione, puoi specificare: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

    Per altri esempi di filtri che puoi utilizzare con Certificate Manager, consulta Ordinamento e filtro dei risultati dell'elenco nella documentazione di Cloud Key Management Service.

  • PAGE_SIZE: il numero di risultati che vuoi restituire per pagina

  • SORT_BY: un elenco separato da virgole di campi name in base ai quali vengono ordinati i risultati restituiti. L'ordinamento predefinito è crescente; per l'ordinamento decrescente, anteponi una tilde (~) al campo.

Visualizza lo stato di una risorsa di configurazione dell'emissione dei certificati

Console

  1. Nella console Google Cloud , vai alla scheda Configurazioni di emissione nella pagina Certificate Manager.

    Vai a Certificate Manager

  2. Fai clic sul nome della risorsa di configurazione di emissione dei certificati che vuoi visualizzare. La pagina Configurazione di emissione dei certificati mostra informazioni dettagliate sulla risorsa di configurazione di emissione dei certificati.

gcloud

Per visualizzare lo stato di una risorsa di configurazione di emissione dei certificati, utilizza il comando certificate-manager issuance-configs describe:

gcloud certificate-manager issuance-configs describe ISSUANCE_CONFIG_NAME

Sostituisci ISSUANCE_CONFIG_NAME con il nome della risorsa di configurazione dell'emissione dei certificati che fa riferimento al pool CA di destinazione.

API

Visualizza lo stato della risorsa di configurazione dell'emissione dei certificati inviando una richiesta GET al metodo certificateIssuanceConfigs.get come segue:

  GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

Sostituisci quanto segue:

  • PROJECT_ID: l'ID del tuo progetto Google Cloud .
  • ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione di emissione dei certificati che fa riferimento al pool CA di destinazione.

Elimina una risorsa di configurazione dell'emissione dei certificati

Prima di eliminare una risorsa di configurazione di emissione dei certificati, devi eliminare il certificato gestito da Google che vi fa riferimento.

Per disattivare l'ultima CA che hai attivato all'interno di un pool CA a cui viene fatto riferimento nella risorsa di configurazione dell'emissione dei certificati o per eliminare completamente il pool CA, devi prima eliminare tutte le risorse di configurazione dell'emissione dei certificati che fanno riferimento al pool CA.

Console

  1. Nella console Google Cloud , vai alla scheda Configurazioni di emissione nella pagina Certificate Manager.

    Vai a Certificate Manager

  2. Seleziona la casella di controllo della configurazione di emissione che vuoi eliminare.

  3. Fai clic su Elimina.

  4. Nella finestra di dialogo visualizzata, fai clic su Elimina per confermare.

gcloud

Per eliminare una risorsa di configurazione dell'emissione dei certificati, utilizza il comando certificate-manager issuance-configs delete:

gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME
    [--location=LOCATION]

Sostituisci quanto segue:

  • ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione di emissione dei certificati che fa riferimento al pool CA di destinazione.
  • LOCATION: la località Google Cloud target.

API

Elimina la risorsa di configurazione dell'emissione dei certificati inviando una richiesta DELETE al metodo certificateIssuanceConfigs.delete come segue:

  DELETE /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

Sostituisci quanto segue:

  • PROJECT_ID: l'ID del tuo progetto Google Cloud .
  • ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione di emissione dei certificati che fa riferimento al pool CA di destinazione.

Passaggi successivi