Standardzertifikatsaussteller ändern

Die GDC-Appliance mit Air Gap bietet eine PKI-API (Public-Key-Infrastruktur) zum Abrufen von Webzertifikaten. Auf dieser Seite finden Sie eine Anleitung zum Ändern des Standardzertifikatausstellers in einen anderen Aussteller. Weitere Informationen zu PKI-Zertifikatsmodi finden Sie unter Web-TLS-Zertifikatskonfiguration.

Hinweise

Bitten Sie Ihren IAM-Administrator der Organisation, Ihnen die Rolle „Infra PKI Admin“ (infra-pki-admin) im System-Namespace zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren des Standardausstellers von PKI-Zertifikaten benötigen.

Standardzertifikatsaussteller ändern

  1. Das Standardlabel des Ausstellers sieht so aus: Für jeden Namespace muss ein CertificateIssuer das Label enthalten:

    pki.security.gdc.goog/is-default-issuer: 'true'

  2. Rufen Sie den aktuellen Standardaussteller im Namespace pki-system auf:

    kubectl get certificateissuers -n pki-system -l pki.security.gdc.goog/is-default-issuer=true

    Die Ausgabe sieht dann ungefähr so aus:

    NAME                    READY   REASON       ISDEFAULT
default-tls-ca-issuer   True    CAaaSReady   true

  3. Bearbeiten Sie den vorhandenen Standardaussteller und aktualisieren Sie das Standardausstellerlabel über den Aussteller:

    kubectl label --overwrite certificateissuers CURRENT_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer='false'

    Ersetzen Sie CURRENT_DEFAULT_ISSUER durch den Namen des aktuellen Standardzertifikatausstellers.

  4. Wenn Sie den neuen CertificateIssuer als Standardaussteller festlegen möchten, aktualisieren Sie das Label:

    kubectl label --overwrite certificateissuers NEW_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer=true

    Ersetzen Sie NEW_DEFAULT_ISSUER durch den Namen des neuen Standardzertifikatausstellers.

Zertifikatausstellung manuell auslösen

Nachdem Sie den Standardzertifikataussteller gewechselt haben, werden Zertifikate, die vom vorherigen Standardzertifikataussteller signiert wurden, nicht automatisch von der GDC-Air-Gap-Appliance neu ausgestellt, es sei denn, das Zertifikat läuft bald ab. Informationen zum sofortigen Neuausstellen von Zertifikaten mit dem neuen Standardaussteller finden Sie unter PKI-Webzertifikate manuell neu ausstellen.