Criar configuração de confiança

Visualizar

Este produto ou recurso está sujeito aos Termos das Soluções Pré-GA na seção Termos Gerais de Serviço dos Termos Específicos de Serviço. Os produtos e recursos pré-GA estão disponíveis "no estado em que se encontram" e podem ter suporte limitado. Para mais informações, consulte as descrições da fase de lançamento.

Nesta página, descrevemos como criar e gerenciar configurações de confiança para uso em vários cenários de autenticação TLS mútua (mTLS).

Para mais informações sobre mTLS, consulte os seguintes recursos:

• Para entender os conceitos de configurações de confiança, âncoras de confiança e certificados intermediários, consulte Configurações de confiança.

• Para saber mais sobre mTLS, consulte Visão geral do TLS mútuo na documentação do Cloud Load Balancing.

• Para usar uma configuração de confiança para configurar o mTLS no proxy de destino, consulte as seguintes páginas na documentação do Cloud Load Balancing:

  • Configurar o TLS mútuo com certificados fornecidos pelo usuário
  • Configurar o TLS mútuo com uma CA particular

Observação: as instruções da CLI do Google Cloud nesta página pressupõem que você esteja usando o Cloud Shell ou outro ambiente com o bash instalado. Para mais informações sobre os comandos da CLI gcloud usados nesta página, consulte a referência da CLI do Certificate Manager.

Criar uma configuração de confiança

Ao criar uma configuração de confiança, é necessário especificar as âncoras de confiança usadas para validar o certificado.

Papéis necessários para esta tarefa

Para executar essa tarefa, é preciso ter um dos seguintes papéis do IAM no projeto de destino do Google Cloud .

• Papel de editor do Certificate Manager (roles/certificatemanager.editor)
• Papel de proprietário do Certificate Manager (roles/certificatemanager.owner)

Para mais informações, consulte Papéis e permissões.

Observação: se você não tiver os papéis necessários, entre em contato com o administrador do IAM que tem o papel de Administrador do IAM do projeto (roles/resourcemanager.projectIamAdmin) para conceder os papéis que faltam.

Para criar uma configuração de confiança, siga estas etapas:

Console

1. No console do Google Cloud , acesse a guia Configurações de confiança na página Certificate Manager.

   Acessar o Gerenciador de Certificados

2. Clique em Adicionar configuração de confiança. A página Criar configuração de confiança é exibida.

3. No campo Nome, insira um nome para a configuração.

   O nome precisa ser exclusivo no projeto. Além disso, ele precisa começar com uma letra minúscula, seguida por até 62 letras minúsculas, números ou hifens, e não pode terminar com um hífen.

4. Opcional: no campo Descrição, insira uma descrição para a configuração. Essa descrição ajuda a identificar uma configuração específica mais tarde.

5. Opcional: no campo Rótulos, especifique os rótulos a serem associados à configuração de confiança. Para adicionar um rótulo, clique em Adicionar rótulo e especifique uma chave e um valor para o rótulo.

6. Em Local, selecione Global ou Regional.

   Se você tiver selecionado Regional, escolha uma Região.

7. Na seção Repositório de confiança, adicione âncoras de confiança e ACs intermediárias.

   É possível especificar várias âncoras de confiança e certificados intermediários usando várias instâncias do payload PEM completo para o certificado, um certificado por instância.

   1. Na seção Âncoras de confiança, clique em Adicionar âncora de confiança e faça upload do arquivo de certificado codificado em PEM ou copie o conteúdo do certificado. Quando terminar, clique em Adicionar.

   2. Opcional: na seção CAs intermediárias, clique em Adicionar CA intermediária e faça upload do arquivo de certificado intermediário codificado em PEM ou copie o conteúdo do certificado intermediário. Quando terminar, clique em Adicionar.

      Essa etapa permite adicionar outro nível de confiança entre o certificado raiz e o certificado do servidor.

   3. Opcional: na seção Certificados na lista de permissões, clique em Adicionar certificado e faça upload do arquivo de certificado codificado em PEM ou copie o conteúdo do certificado. Isso adiciona o certificado a uma lista de permissões. Quando terminar, clique em Adicionar.

   Para especificar várias âncoras de confiança ou certificados intermediários na especificação do recurso de configuração de confiança, use várias instâncias do campo pemCertificate. Cada instância do campo contém um único certificado.

   A configuração de confiança sempre considera um certificado em uma lista de permissões como válido. Para encapsular vários certificados em uma lista de permissões, use várias instâncias do campo pemCertificate, um certificado por instância. Não é necessário um repositório de confiança ao usar certificados adicionados a uma lista de permissões.

   A configuração de confiança sempre considera um certificado em uma lista de permissões válido se ele atender a condições específicas: ele precisa ser analisável, ter comprovação de propriedade da chave privada e aderir às restrições no campo SAN do certificado. Os certificados expirados também são considerados válidos quando são adicionados a uma lista de permissões. Para mais informações sobre o formato codificado em PEM, consulte RFC 7468.

8. Clique em Criar.

Verifique se a nova configuração de confiança aparece na lista de configurações.

gcloud

1. Crie um arquivo YAML de configuração de confiança que especifique os parâmetros de configuração de confiança.

   O arquivo tem o seguinte formato:

   name: "TRUST_CONFIG_ID"
   trustStores:
   - trustAnchors:
     - pemCertificate: "CERTIFICATE_PEM_PAYLOAD"
     intermediateCas:
     - pemCertificate: "INTER_CERT_PEM_PAYLOAD"
   allowlistedCertificates:
   - pemCertificate: "ALLOWLISTED_CERT1"
   - pemCertificate: "ALLOWLISTED_CERT2"
   

   Substitua:

   • TRUST_CONFIG_ID: o ID do recurso de configuração de confiança.
   • CERTIFICATE_PEM_PAYLOAD: o payload PEM completo do certificado a ser usado para o recurso de configuração de confiança.
   • INTER_CERT_PEM_PAYLOAD: o payload PEM completo do certificado intermediário a ser usado para o recurso de configuração de confiança.
   • ALLOWLISTED_CERT1 e ALLOWLISTED_CERT2: os certificados que são adicionados a uma lista de permissões para uso com esse recurso de configuração de confiança.

   Para especificar várias âncoras de confiança ou certificados intermediários na especificação do recurso de configuração de confiança, use várias instâncias do campo pemCertificate. Cada instância do campo contém um único certificado.

   A configuração de confiança sempre considera um certificado em uma lista de permissões como válido. Para encapsular vários certificados em uma lista de permissões, use várias instâncias do campo pemCertificate, um certificado por instância. Não é necessário um repositório de confiança ao usar certificados adicionados a uma lista de permissões.

   A configuração de confiança sempre considera um certificado em uma lista de permissões válido se ele atender a condições específicas: ele precisa ser analisável, ter comprovação de propriedade da chave privada e aderir às restrições no campo SAN do certificado. Os certificados expirados também são considerados válidos quando são adicionados a uma lista de permissões. Para mais informações sobre o formato codificado em PEM, consulte RFC 7468.

2. Para importar o arquivo YAML de configuração de confiança, use o comando gcloud certificate-manager trust-configs import:

   gcloud certificate-manager trust-configs import TRUST_CONFIG_ID \
     --project=PROJECT_ID \
     --source=TRUST_CONFIG_FILE \
     --location=LOCATION
   

   Substitua:

   • TRUST_CONFIG_ID: o ID do recurso de configuração de confiança.
   • PROJECT_ID: ID do seu projeto do Google Cloud .
   • TRUST_CONFIG_FILE: o caminho completo e o nome do arquivo YAML de configuração de confiança que você criou na etapa 1.
   • LOCATION: a região em que o recurso de configuração de confiança é armazenado. O local padrão é global.

API

Faça uma solicitação POST ao método trustConfigs.create:

POST /v1/projects/PROJECT_ID/locations/LOCATION/trustConfigs?trust_config_id=TRUST_CONFIG_ID
{
  "description": "DESCRIPTION",
  "trust_stores": [{
    "trust_anchors": [{
      "pem_certificate": "CERTIFICATE_PEM_PAYLOAD"
    }],
    "intermediate_cas": [{
      "pem_certificate": "INTER_CERT_PEM_PAYLOAD"
    }],
  }],
  "allowlistedCertificates": [{
    "pem_certificate": "ALLOWLISTED_CERT"
  }],
}

Substitua:

• PROJECT_ID: ID do seu projeto do Google Cloud .
• LOCATION: a região em que o recurso de configuração de confiança é armazenado. O local padrão é global.
• TRUST_CONFIG_ID: o ID do recurso de configuração de confiança.
• DESCRIPTION: uma descrição significativa para esse recurso de configuração de confiança. Este valor é opcional.
• CERTIFICATE_PEM_PAYLOAD: o payload PEM completo do certificado a ser usado para o recurso de configuração de confiança.
• INTER_CERT_PEM_PAYLOAD: o payload PEM completo do certificado intermediário a ser usado para o recurso de configuração de confiança. Este valor é opcional.
• ALLOWLISTED_CERT: o certificado adicionado a uma lista de permissões para uso com esse recurso de configuração de confiança. Este valor é opcional.

Atualizar uma configuração de confiança

Para atualizar uma configuração de confiança, crie outro arquivo YAML de configuração de confiança que especifique os novos parâmetros de configuração de confiança e importe esse arquivo para o Certificate Manager.

Papéis necessários para esta tarefa

Para executar essa tarefa, é preciso ter um dos seguintes papéis do IAM no projeto de destino do Google Cloud .

• Papel de editor do Certificate Manager (roles/certificatemanager.editor)
• Papel de proprietário do Certificate Manager (roles/certificatemanager.owner)

Para mais informações, consulte Papéis e permissões.

Observação: se você não tiver os papéis necessários, entre em contato com o administrador do IAM que tem o papel de Administrador do IAM do projeto (roles/resourcemanager.projectIamAdmin) para conceder os papéis que faltam.

Console

1. No console do Google Cloud , acesse a guia Configurações de confiança na página Certificate Manager.

   Acessar o Gerenciador de Certificados

2. Localize e selecione a configuração de confiança que você quer atualizar.

3. Na coluna Mais opções, clique em Mais ações para a configuração que você quer atualizar e selecione Editar.

4. Faça as mudanças necessárias.

5. Clique em Salvar.

Verifique se as alterações de configuração foram atualizadas.

gcloud

1. Exporte o arquivo YAML de configuração de confiança.

   gcloud certificate-manager trust-configs export TRUST_CONFIG_ID \
       --project=PROJECT_ID \
       --destination=TRUST_CONFIG_FILE \
       --location=LOCATION
   

   Substitua:

   • TRUST_CONFIG_ID: o ID do recurso de configuração de confiança.
   • PROJECT_ID: ID do seu projeto do Google Cloud .
   • TRUST_CONFIG_FILE: o caminho completo e o nome do arquivo YAML de configuração de confiança.
   • LOCATION: a região em que o recurso de configuração de confiança é armazenado. O local padrão é global.

2. Edite o arquivo YAML de configuração de confiança.

   O arquivo tem o seguinte formato:

   name: "TRUST_CONFIG_ID"
   trustStores:
   - trustAnchors:
     - pemCertificate: "CERTIFICATE_PEM_PAYLOAD"
     intermediateCas:
     - pemCertificate: "INTER_CERT_PEM_PAYLOAD"
   allowlistedCertificates:
   - pemCertificate: "ALLOWLISTED_CERT1"
   - pemCertificate: "ALLOWLISTED_CERT2"
   

   Substitua:

   • TRUST_CONFIG_ID: o ID do recurso de configuração de confiança.
   • CERTIFICATE_PEM_PAYLOAD: o payload PEM completo do certificado a ser usado para o recurso de configuração de confiança.
   • INTER_CERT_PEM_PAYLOAD: o payload PEM completo do certificado intermediário a ser usado para o recurso de configuração de confiança. Esse valor é opcional.
   • ALLOWLISTED_CERT1 e ALLOWLISTED_CERT2: os certificados adicionados a uma lista de permissões para uso com esse recurso de configuração de confiança. Esse valor é opcional.

3. Importe o novo arquivo de configuração de confiança para o Certificate Manager com o nome do recurso de configuração de confiança atual.

   gcloud certificate-manager trust-configs import TRUST_CONFIG_ID \
       --project=PROJECT_ID \
       --source=TRUST_CONFIG_FILE \
       --location=LOCATION
   

   Substitua:

   • TRUST_CONFIG_ID: o ID do recurso de configuração de confiança.
   • PROJECT_ID: ID do seu projeto do Google Cloud .
   • TRUST_CONFIG_FILE: o caminho completo e o nome do arquivo YAML de configuração de confiança.
   • LOCATION: a região em que o recurso de configuração de confiança é armazenado. O local padrão é global.

API

Faça uma solicitação PATCH ao método trustConfigs.update:

PATCH /v1/projects/PROJECT_ID/locations/LOCATION/trustConfigs/TRUST_CONFIG_ID?update_mask=*
  {
    "description": "DESCRIPTION",
    "trust_stores": [{
      "trust_anchors": [{
        "pem_certificate": "CERTIFICATE_PEM_PAYLOAD"
      }],
      "intermediate_cas": [{
        "pem_certificate": "INTER_CERT_PEM_PAYLOAD"
      }],
    }],
    "allowlistedCertificates": [{
      "pem_certificate": "ALLOWLISTED_CERT"
  }],
  }

Substitua:

• PROJECT_ID: ID do seu projeto do Google Cloud .
• LOCATION: a região em que o recurso de configuração de confiança está armazenado. O local padrão é global.
• TRUST_CONFIG_ID: o ID do recurso de configuração de confiança.
• DESCRIPTION: uma descrição significativa para esse recurso de configuração de confiança. Essa descrição é opcional.
• CERTIFICATE_PEM_PAYLOAD: o payload PEM completo do certificado a ser usado para o recurso de configuração de confiança.
• INTER_CERT_PEM_PAYLOAD: o payload PEM completo do certificado intermediário a ser usado para o recurso de configuração de confiança. Este valor é opcional.
• ALLOWLISTED_CERT: o certificado adicionado a uma lista de permissões para uso com esse recurso de configuração de confiança. Este valor é opcional.

Listar configurações de confiança

É possível ver todas as configurações de confiança do seu projeto.

Papéis necessários para esta tarefa

Para executar essa tarefa, é preciso ter um dos seguintes papéis do IAM no projeto de destino do Google Cloud .

• Papel de editor do Certificate Manager (roles/certificatemanager.editor)
• Papel de proprietário do Certificate Manager (roles/certificatemanager.owner)
• Papel de Leitor do Certificate Manager (roles/certificatemanager.viewer)

Para mais informações, consulte Papéis e permissões.

Observação: se você não tiver os papéis necessários, entre em contato com o administrador do IAM que tem o papel de Administrador do IAM do projeto (roles/resourcemanager.projectIamAdmin) para conceder os papéis que faltam.

Console

1. No console do Google Cloud , acesse a guia Configurações de confiança na página Certificate Manager.

   Acessar o Gerenciador de Certificados

2. Na guia Configurações de confiança, é possível conferir uma lista de todos os recursos de configuração de confiança configurados no projeto selecionado.

gcloud

Use o comando gcloud certificate-manager trust-configs list:

gcloud certificate-manager trust-configs list \
    --filter="FILTER" \
    --page-size="PAGE_SIZE" \
    --limit="LIMIT" \
    --sort-by="SORT_BY" \
    --location=LOCATION

Substitua:

• FILTER: uma expressão que restringe os resultados retornados a valores específicos.

  Por exemplo, para filtrar os resultados pelos rótulos e pelo horário de criação, especifique: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

  Para mais exemplos de filtragem que podem ser usados com o Certificate Manager, consulte Como classificar e filtrar resultados de listas na documentação do Cloud Key Management Service.

• PAGE_SIZE: número de resultados que você quer retornar por página.

• LIMIT: número máximo de resultados que você quer retornar.

• SORT_BY: uma lista separada por vírgulas de campos name que classifica os resultados retornados. A ordem de classificação padrão é crescente. Para a ordem decrescente, use o prefixo til (~) no campo.

• LOCATION: a região em que o recurso de configuração de confiança está armazenado. Para listar as configurações de confiança de todas as regiões, use - como o valor. O padrão é -. Essa sinalização é opcional.

API

Faça uma solicitação GET ao método trustConfigs.list:

GET /v1/projects/PROJECT_ID/locations/LOCATION/trustConfigs?filter=FILTER&pageSize=PAGE_SIZE&sortBy=SORT_BY

Substitua:

• PROJECT_ID: ID do seu projeto do Google Cloud .
• LOCATION: a região em que o recurso de configuração de confiança está armazenado. Para ver todas as configurações de confiança em todos os locais, especifique um único hífen (-).

• FILTER: uma expressão que restringe os resultados retornados a valores específicos.

  Por exemplo, para filtrar os resultados pelos rótulos e pelo horário de criação, especifique: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

  Para mais exemplos de filtragem que podem ser usados com o Certificate Manager, consulte Como classificar e filtrar resultados de listas na documentação do Cloud Key Management Service.

• PAGE_SIZE: número de resultados que você quer retornar por página.

• SORT_BY: uma lista separada por vírgulas de campos name que classifica os resultados retornados. A ordem de classificação padrão é crescente. Para a ordem decrescente, use o prefixo til (~) no campo.

Ver configurações de confiança

É possível ver os detalhes de uma configuração de confiança específica.

Papéis necessários para esta tarefa

Para executar essa tarefa, é preciso ter um dos seguintes papéis do IAM no projeto de destino do Google Cloud .

• Papel de editor do Certificate Manager (roles/certificatemanager.editor)
• Papel de proprietário do Certificate Manager (roles/certificatemanager.owner)
• Papel de Leitor do Certificate Manager (roles/certificatemanager.viewer)

Para mais informações, consulte Papéis e permissões.

Observação: se você não tiver os papéis necessários, entre em contato com o administrador do IAM que tem o papel de Administrador do IAM do projeto (roles/resourcemanager.projectIamAdmin) para conceder os papéis que faltam.

Console

1. No console do Google Cloud , acesse a guia Configurações de confiança na página Certificate Manager.

   Acessar o Gerenciador de Certificados

2. Clique no recurso de configuração de confiança que você quer visualizar. A página Detalhes da configuração de confiança mostra informações detalhadas sobre o recurso de configuração de confiança selecionado.

gcloud

Use o comando gcloud certificate-manager trust-configs describe:

gcloud certificate-manager trust-configs describe TRUST_CONFIG_ID \
    --location=LOCATION

Substitua:

• TRUST_CONFIG_ID: o ID do recurso de configuração de confiança.
• LOCATION: a região em que o recurso de configuração de confiança está armazenado. O local padrão é global.

API

Faça uma solicitação GET ao método trustConfigs.get:

GET /v1/projects/PROJECT_ID/locations/LOCATION/trustConfigs/TRUST_CONFIG_ID

Substitua:

• PROJECT_ID: ID do seu projeto do Google Cloud .
• LOCATION: a região em que o recurso de configuração de confiança está armazenado. O local padrão é global.
• TRUST_CONFIG_ID: o ID do recurso de configuração de confiança.

Excluir uma configuração de confiança

Antes de excluir uma configuração de confiança, desvincule-a do recurso de autenticação do cliente (ServerTlsPolicy).

Papéis necessários para esta tarefa

Para executar essa tarefa, é preciso ter um dos seguintes papéis do IAM no projeto de destino do Google Cloud .

• Papel de proprietário do Certificate Manager (roles/certificatemanager.owner)

Para mais informações, consulte Papéis e permissões.

Observação: se você não tiver os papéis necessários, entre em contato com o administrador do IAM que tem o papel de Administrador do IAM do projeto (roles/resourcemanager.projectIamAdmin) para conceder os papéis que faltam.

Console

1. No console do Google Cloud , acesse a guia Configurações de confiança na página Certificate Manager.

   Acessar o Gerenciador de Certificados

2. Marque a caixa de seleção da configuração de confiança que você quer excluir.

3. Clique em Excluir.

4. Na caixa de diálogo exibida, clique em Excluir para confirmar.

gcloud

Use o comando gcloud certificate-manager trust-configs delete:

gcloud certificate-manager trust-configs delete TRUST_CONFIG_ID \
    --location=LOCATION

Substitua:

• TRUST_CONFIG_ID: o ID do recurso de configuração de confiança.
• LOCATION: a região em que o recurso de configuração de confiança está armazenado. O local padrão é global.

API

Faça uma solicitação DELETE ao método trustConfigs.delete:

DELETE /v1/projects/PROJECT_ID/locations/LOCATION/trustConfigs/TRUST_CONFIG_ID

Substitua:

• PROJECT_ID: ID do seu projeto do Google Cloud .
• LOCATION: a região em que o recurso de configuração de confiança está armazenado. O local padrão é global.
• TRUST_CONFIG_ID: o ID do recurso de configuração de confiança.

A seguir

• Ver inventário de certificados
• Monitorar seus certificados
• Criar configuração de emissão