Criar configuração de emissão

Visualizar

Este produto ou recurso está sujeito aos Termos das Soluções Pré-GA na seção Termos Gerais de Serviço dos Termos Específicos de Serviço. Os produtos e recursos pré-GA estão disponíveis "no estado em que se encontram" e podem ter suporte limitado. Para mais informações, consulte as descrições da fase de lançamento.

Nesta página, descrevemos como criar e gerenciar um recurso de configuração de emissão de certificado.

Para mais informações sobre os recursos de configuração de emissão de certificados, consulte Configurações de emissão de certificados.

Observação : as instruções da CLI do Google Cloud nesta página pressupõem que você esteja usando o Cloud Shell ou outro ambiente com o bash instalado. Para mais informações sobre os comandos da CLI gcloud usados nesta página, consulte a referência da CLI do Certificate Manager.

Criar um recurso de configuração de emissão de certificado

Antes de criar o recurso de configuração de emissão, configure a integração do CA Service com o Gerenciador de Certificados.

Para criar um recurso de configuração de emissão de certificado, especifique o ciclo de vida do certificado, a porcentagem da janela de rotação, o algoritmo de chave e o pool de CAs a ser usado.

Mesmo que você use um pool de CAs regional para emitir um certificado TLS gerenciado pelo Google, o certificado pode ser usado globalmente.

Papéis necessários para esta tarefa

Para executar essa tarefa, é preciso ter um dos seguintes papéis do IAM no projeto de destino do Google Cloud .

• Papel de editor do Certificate Manager (roles/certificatemanager.editor)
• Papel de proprietário do Certificate Manager (roles/certificatemanager.owner)

Para mais informações, consulte Papéis e permissões.

Observação: se você não tiver os papéis necessários, entre em contato com o administrador do IAM que tem o papel de Administrador do IAM do projeto (roles/resourcemanager.projectIamAdmin) para conceder os papéis que faltam.

Console

1. No console do Google Cloud , acesse a guia Configurações de emissão na página Gerenciador de certificados.

   Acessar o Gerenciador de Certificados

2. Clique em Criar. A página Criar uma configuração de emissão de certificado é exibida.

3. No campo Nome, insira um nome exclusivo para o recurso de configuração de emissão de certificados.

4. Opcional: no campo Descrição, insira uma descrição para a configuração de emissão.

5. Em Local, selecione Global ou Regional. Se você selecionou Regional, escolha a mesma Região do certificado e do pool de CAs.

6. No campo Ciclo de vida, especifique o ciclo de vida do certificado emitido em dias. O valor precisa estar entre 21 e 30 dias (inclusive).

7. Em Porcentagem da janela de rotação, especifique a porcentagem do ciclo de vida do certificado em que o processo de renovação começa. Para encontrar o intervalo de valores válidos, consulte Porcentagem da janela de ciclo de vida e rotação.

8. Na lista Algoritmo de chave, selecione o algoritmo de chave a ser usado ao gerar a chave privada.

9. Na lista Pool de CAs, selecione o nome do pool de CAs a ser atribuído a esse recurso de configuração de emissão de certificados.

10. No campo Rótulos, especifique os rótulos que serão associados ao certificado. Para adicionar um rótulo, clique em Adicionar rótulo e especifique uma chave e um valor para ele.

11. Clique em Criar.

gcloud

Para criar um recurso de configuração de emissão de certificado, use o comando certificate-manager issuance-configs create:

gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
    --ca-pool=CA_POOL \
    --lifetime=CERTIFICATE_LIFETIME \
    --rotation-window-percentage=ROTATION_WINDOW_PERCENTAGE \
    --key-algorithm=KEY_ALGORITHM
    [--location=LOCATION]

Substitua:

• ISSUANCE_CONFIG_NAME: o nome do recurso de configuração de emissão de certificados que faz referência ao pool de CAs de destino.
• CA_POOL: o caminho completo do recurso e o nome do pool de ACs que você quer atribuir ao recurso de configuração de emissão de certificados neste formato: projects/PROJECT_ID/locations/LOCATION/caPools/CA_POOL_ID. O projeto e o local do pool de CAs podem ser diferentes do projeto e do local da configuração de emissão de certificados.
• CERTIFICATE_LIFETIME: o ciclo de vida do certificado em dias. Os valores válidos são de 21 a 30 dias no formato de duração ISO 8601. Por exemplo, P30D. O valor padrão é de 30 dias (P30D). Essa flag é opcional.
• ROTATION_WINDOW_PERCENTAGE: a porcentagem do ciclo de vida restante do certificado antes da renovação. O valor padrão é 66%. Para encontrar o intervalo de valores válidos, consulte Porcentagem da vida útil e da janela de rotação. Essa sinalização é opcional.
• KEY_ALGORITHM: o algoritmo de criptografia que pode ser usado para gerar a chave privada. Os valores válidos são ecdsa-p256 ou rsa-2048. O valor padrão é rsa-2048. Essa sinalização é opcional.
• LOCATION: o local de destino do Google Cloud .

API

Crie o recurso de configuração de emissão de certificado fazendo uma solicitação POST ao método certificateIssuanceConfigs.create da seguinte maneira:

POST /v1/projects/PROJECT_ID/locations/LOCATION/certificateIssuanceConfigs?issuanceConfig_id=ISSUANCE_CONFIG_NAME
{
  "description": "DESCRIPTION",
  "certificateAuthorityConfig": {
    "certificateAuthorityServiceConfig": {
      "caPool": "CA_POOL"
    }
  },
  "lifetime": "CERTIFICATE_LIFETIME",
  "rotationWindowPercentage": ROTATION_WINDOW_PERCENTAGE,
  "keyAlgorithm": "KEY_ALGORITHM"
}

Substitua:

• PROJECT_ID: ID do seu projeto do Google Cloud .
• LOCATION: o local de destino do Google Cloud .
• ISSUANCE_CONFIG_NAME: o nome do recurso de configuração de emissão de certificados que faz referência ao pool de CAs de destino.
• DESCRIPTION: uma descrição significativa para o recurso de configuração de emissão de certificados.
• CA_POOL: o caminho completo do recurso e o nome do pool de ACs que você quer atribuir ao recurso de configuração de emissão de certificados neste formato: projects/PROJECT_ID/locations/LOCATION/caPools/CA_POOL_ID. O projeto e o local do pool de CAs podem ser diferentes do projeto e do local da configuração de emissão de certificados.
• CERTIFICATE_LIFETIME: a vida útil do certificado em segundos terminando com s. Por exemplo, 2592000s para 30 dias. Os valores válidos são de 21 a 30 dias (1814400s a 2592000s).
• ROTATION_WINDOW_PERCENTAGE: a porcentagem do ciclo de vida restante do certificado antes da renovação. Para encontrar o intervalo de valores válidos, consulte Porcentagem da janela de ciclo de vida e rotação.
• KEY_ALGORITHM: o algoritmo de criptografia que pode ser usado para gerar a chave privada. Os valores válidos são ECDSA_P256 ou RSA_2048.

Ciclo de vida e porcentagem da janela de rotação

Ao criar um recurso de configuração de emissão de certificado, você também define o ciclo de vida do certificado no campo Ciclo de vida e quando o processo de renovação do certificado começa antes de expirar no campo Porcentagem da janela de rotação.

Para garantir que o certificado seja renovado pelo menos sete dias antes da expiração e sete dias após a emissão, defina a porcentagem da janela de rotação em relação ao ciclo de vida do certificado. Para calcular o intervalo permitido para a porcentagem da janela de rotação, use as seguintes fórmulas:

• Valor mínimo: porcentagem da janela de rotação ≥ (7 / ciclo de vida) * 100
• Valor máximo: porcentagem da janela de rotação ≤ ( (Ciclo de vida - 7) / Ciclo de vida) * 100

Nas fórmulas anteriores, 7 é sete dias.

Se o valor mínimo for decimal, arredonde-o para cima até o número inteiro mais próximo. Se o valor máximo for decimal, arredonde-o para baixo até o número inteiro mais próximo.

Atualizar uma configuração de emissão de certificado

Ao atualizar uma configuração de emissão de certificado, é possível fazer o seguinte:

• Especificar novos rótulos
• Especifique uma nova descrição

Papéis necessários para esta tarefa

Para executar essa tarefa, é preciso ter um dos seguintes papéis do IAM no projeto de destino do Google Cloud .

• Papel de editor do Certificate Manager (roles/certificatemanager.editor)
• Papel de proprietário do Certificate Manager (roles/certificatemanager.owner)

Para mais informações, consulte Papéis e permissões.

Observação: se você não tiver os papéis necessários, entre em contato com o administrador do IAM que tem o papel de Administrador do IAM do projeto (roles/resourcemanager.projectIamAdmin) para conceder os papéis que faltam.

gcloud

Para atualizar um recurso de configuração de emissão de certificado, use o comando certificate-manager issuance-configs update:

gcloud certificate-manager issuance-configs update ISSUANCE_CONFIG_NAME
    [--update-labels="LABELS"] \
    [--description="DESCRIPTION"]

Substitua:

• ISSUANCE_CONFIG_NAME: o nome da configuração de emissão de certificado de destino que você quer atualizar.
• LABELS: rótulos que você quer especificar para a configuração de emissão de certificados. Os rótulos precisam ser especificados em uma lista delimitada por vírgulas como pares KEY=VALUE. Este campo é opcional.
• DESCRIPTION: a descrição da configuração de emissão de certificado. Este campo é opcional.

API

Use o método certificateIssuanceConfigs.patch para atualizar uma configuração de emissão de certificado:

PATCH /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME?updateMask=labels,description
{
  labels: { "LABEL_KEY": "LABEL_VALUE" },
  description: "DESCRIPTION"
}

Substitua:

• PROJECT_ID: ID do seu projeto do Google Cloud .
• ISSUANCE_CONFIG_NAME: o nome da configuração de emissão de certificado de destino que você quer atualizar.
• LABEL_KEY: a chave do rótulo. Este campo é opcional.
• LABEL_VALUE: o valor do rótulo. Este campo é opcional.
• DESCRIPTION: a configuração de emissão de certificados.

Listar configurações de emissão de certificados

É possível ver todos os recursos de configuração de emissão de certificados do seu projeto e os detalhes deles.

Papéis necessários para esta tarefa

Para executar essa tarefa, é preciso ter um dos seguintes papéis do IAM no projeto de destino do Google Cloud .

• Papel de Leitor do Certificate Manager (roles/certificatemanager.viewer)
• Papel de editor do Certificate Manager (roles/certificatemanager.editor)
• Papel de proprietário do Certificate Manager (roles/certificatemanager.owner)

Para mais informações, consulte Papéis e permissões.

Observação: se você não tiver os papéis necessários, entre em contato com o administrador do IAM que tem o papel de Administrador do IAM do projeto (roles/resourcemanager.projectIamAdmin) para conceder os papéis que faltam.

Console

1. No console do Google Cloud , acesse a guia Configurações de emissão na página Gerenciador de certificados.

   Acessar o Gerenciador de Certificados

   Na guia Configurações de emissão, todos os recursos de configuração de emissão de certificados gerenciados pelo Gerenciador de Certificados no projeto selecionado são exibidos.

gcloud

Para listar os recursos de configuração de emissão de certificados, use o comando certificate-manager issuance-configs list:

gcloud certificate-manager issuance-configs list \
    --filter="FILTER" \
    --page-size="PAGE_SIZE" \
    --limit="LIMIT" \
    --sort-by="SORT_BY" \
    [--location=LOCATION]

Substitua:

• FILTER: uma expressão que restringe os resultados retornados a valores específicos.

  Por exemplo, para filtrar os resultados pelos rótulos e pelo horário de criação, especifique: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

  Para mais exemplos de filtragem que podem ser usados com o Certificate Manager, consulte Como classificar e filtrar resultados de listas na documentação do Cloud Key Management Service.

• PAGE_SIZE: número de resultados que você quer retornar por página.

• LIMIT: número máximo de resultados que você quer retornar.

• SORT_BY: uma lista separada por vírgulas de campos name que classifica os resultados retornados. A ordem de classificação padrão é crescente. Para a ordem decrescente, use o prefixo til (~) no campo.

• LOCATION: o local de destino do Google Cloud .

API

Liste os recursos de configuração de emissão de certificados configurados fazendo uma solicitação LIST ao método certificateIssuanceConfigs.list da seguinte maneira:

GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs?filter=FILTER&pageSize=PAGE_SIZE&sortBy=SORT_BY

Substitua:

• PROJECT_ID: ID do seu projeto do Google Cloud .

• FILTER: uma expressão que restringe os resultados retornados a valores específicos.

  Por exemplo, para filtrar os resultados pelos rótulos e pelo horário de criação, especifique: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

  Para mais exemplos de filtragem que podem ser usados com o Certificate Manager, consulte Como classificar e filtrar resultados de listas na documentação do Cloud Key Management Service.

• PAGE_SIZE: número de resultados que você quer retornar por página.

• SORT_BY: uma lista separada por vírgulas de campos name que classifica os resultados retornados. A ordem de classificação padrão é crescente. Para a ordem decrescente, use o prefixo til (~) no campo.

Ver o estado de um recurso de configuração de emissão de certificado

Papéis necessários para esta tarefa

Para executar essa tarefa, é preciso ter um dos seguintes papéis do IAM no projeto de destino do Google Cloud .

• Papel de Leitor do Certificate Manager (roles/certificatemanager.viewer)
• Papel de editor do Certificate Manager (roles/certificatemanager.editor)
• Papel de proprietário do Certificate Manager (roles/certificatemanager.owner)

Para mais informações, consulte Papéis e permissões.

Observação: se você não tiver os papéis necessários, entre em contato com o administrador do IAM que tem o papel de Administrador do IAM do projeto (roles/resourcemanager.projectIamAdmin) para conceder os papéis que faltam.

Console

1. No console do Google Cloud , acesse a guia Configurações de emissão na página Gerenciador de certificados.

   Acessar o Gerenciador de Certificados

2. Clique no nome do recurso de configuração de emissão de certificado que você quer visualizar. A página Configuração de emissão de certificados exibe informações detalhadas sobre o recurso de configuração de emissão de certificados.

gcloud

Para conferir o estado de um recurso de configuração de emissão de certificado, use o comando certificate-manager issuance-configs describe:

gcloud certificate-manager issuance-configs describe ISSUANCE_CONFIG_NAME

Substitua ISSUANCE_CONFIG_NAME pelo nome do recurso de configuração de emissão de certificado que faz referência ao pool de CAs de destino.

API

Para conferir o estado do recurso de configuração de emissão de certificado, faça uma solicitação GET ao método certificateIssuanceConfigs.get da seguinte maneira:

  GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

Substitua:

• PROJECT_ID: ID do seu projeto do Google Cloud .
• ISSUANCE_CONFIG_NAME: o nome do recurso de configuração de emissão de certificados que faz referência ao pool de CAs de destino.

Excluir um recurso de configuração de emissão de certificado

Antes de excluir um recurso de configuração de emissão de certificado, é preciso excluir o certificado gerenciado pelo Google que faz referência a ele.

Para desativar a última CA que você ativou em um pool de CAs referenciado no recurso de configuração de emissão de certificados ou para excluir o pool de CAs completamente, primeiro é necessário excluir todos os recursos de configuração de emissão de certificados que referenciam o pool de CAs.

Papéis necessários para esta tarefa

Para executar essa tarefa, é preciso ter um dos seguintes papéis do IAM no projeto de destino do Google Cloud .

• Papel de proprietário do Certificate Manager (roles/certificatemanager.owner)

Para mais informações, consulte Papéis e permissões.

Observação: se você não tiver os papéis necessários, entre em contato com o administrador do IAM que tem o papel de Administrador do IAM do projeto (roles/resourcemanager.projectIamAdmin) para conceder os papéis que faltam.

Console

1. No console do Google Cloud , acesse a guia Configurações de emissão na página Gerenciador de certificados.

   Acessar o Gerenciador de Certificados

2. Marque a caixa de seleção da configuração de emissão que você quer excluir.

3. Clique em Excluir.

4. Na caixa de diálogo exibida, clique em Excluir para confirmar.

gcloud

Para excluir um recurso de configuração de emissão de certificado, use o comando certificate-manager issuance-configs delete:

gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME
    [--location=LOCATION]

Substitua:

• ISSUANCE_CONFIG_NAME: o nome do recurso de configuração de emissão de certificados que faz referência ao pool de CAs de destino.
• LOCATION: o local de destino do Google Cloud .

API

Exclua o recurso de configuração de emissão de certificado fazendo uma solicitação DELETE ao método certificateIssuanceConfigs.delete da seguinte maneira:

  DELETE /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

Substitua:

• PROJECT_ID: ID do seu projeto do Google Cloud .
• ISSUANCE_CONFIG_NAME: o nome do recurso de configuração de emissão de certificados que faz referência ao pool de CAs de destino.

A seguir

• Comparar as versões do Certificate Manager
• Ver inventário de certificados
• Monitorar seus certificados
• Criar configuração de confiança