Crea una autoridad de certificación raíz

En este documento, se describen los pasos para crear una autoridad de certificación raíz (AC) en Google Distributed Cloud (GDC) aislado.

Una CA raíz, que se encuentra en la parte superior de la jerarquía de la infraestructura de clave pública (PKI), establece el ancla de confianza para la PKI. Para usar certificados dentro de una PKI, los dispositivos, el software y los componentes deben confiar en la AC raíz. Esta configuración garantiza la confianza en todos los certificados emitidos por la CA raíz, lo que habilita la confianza en la PKI en sí.

Este documento está dirigido a públicos dentro del grupo de operadores de aplicaciones, como desarrolladores de aplicaciones o científicos de datos, que administran los ciclos de vida de los certificados dentro de su proyecto. Para obtener más información, consulta Públicos de la documentación de GDC aislado.

Antes de comenzar

Antes de crear una autoridad de certificación raíz, debes solicitar los permisos necesarios y preparar tu entorno.

Solicita roles de IAM

Para crear, actualizar y borrar una autoridad de certificación raíz, comunícate con tu administrador de la organización de IAM para solicitar el rol de administrador del Servicio de autoridad de certificación (certificate-authority-service-admin).

Prepara el entorno

Crea una autoridad de certificación raíz

Para crear una CA raíz, aplica un recurso personalizado a tu instancia de Distributed Cloud con aislamiento físico.

  1. Crea un recurso CertificateAuthority y guárdalo como un archivo YAML llamado root-ca.yaml:

    apiVersion: pki.security.gdc.goog/v1
kind: CertificateAuthority
metadata:
  name: ROOT_CA_NAME
  namespace: USER_PROJECT_NAMESPACE
spec:
  caProfile:
    commonName: COMMON_NAME
    duration: DURATION
    renewBefore: RENEW_BEFORE
    organizations:
    - ORGANIZATION
    organizationalUnits:
    - ORGANIZATIONAL_UNITS
    countries:
    - COUNTRIES
    localities:
    - LOCALTIES
    provinces:
    - PROVINCES
    streetAddresses:
    - STREET_ADDRESSES
    postalCodes:
    - POSTAL_CODES
  caCertificate:
    selfSignedCA: {}
  certificateProfile:
    keyUsage:
      - digitalSignature
      - keyCertSign
      - crlSign
    extendedKeyUsage:
      - EXTENDED_KEY_USAGE
  secretConfig:
    secretName: SECRET_NAME
    privateKeyConfig:
      algorithm: KEY_ALGORITHM
      size: KEY_SIZE
  acme:
    enabled: ACME_ENABLED

    Reemplaza las siguientes variables:

    Variable Descripción
    ROOT_CA_NAME Es el nombre de la CA raíz.
    USER_PROJECT_NAMESPACE Es el nombre del espacio de nombres en el que reside el proyecto del usuario.
    COMMON_NAME Es el nombre común del certificado de la AC.
    DURATION Es la duración solicitada del certificado de la AC. Especifica como una duración en horas (por ejemplo, 1000h). No se admiten unidades como días (d) o años (y).
    SECRET_NAME Es el nombre del Secret de Kubernetes que contiene la clave privada y el certificado de la AC firmado.

    Las siguientes variables son valores opcionales:

    Variable Descripción
    RENEW_BEFORE Es el tiempo de rotación antes de que venza el certificado de la AC.
    ORGANIZATION Es la organización que se usará en el certificado.
    ORGANIZATIONAL_UNITS Son las unidades organizativas que se usarán en el certificado.
    COUNTRIES Son los países que se usarán en el certificado.
    LOCALITIES Son las ciudades que se usarán en el certificado.
    PROVINCES Estado o provincias que se usarán en el certificado.
    STREET_ADDRESSES Son las direcciones que se usarán en el certificado.
    POSTAL_CODES Son los códigos postales que se usarán en el certificado.
    EXTENDED_KEY_USAGE Es el uso extendido de la clave para el certificado. Si se proporcionan, los valores permitidos son serverAuth y clientAuth.
    KEY_ALGORITHYM Es el algoritmo de clave privada que se usa para este certificado. Los valores permitidos son RSA, Ed25519 o ECDSA. Si no se proporciona el tamaño, el valor predeterminado es 256 para ECDSA y 2048 para RSA. Se ignora el tamaño de la clave para Ed25519.
    KEY_SIZE El tamaño, en bits, de la clave privada de este certificado depende del algoritmo. RSA permite 2048, 3072, 4096 u 8192 (el valor predeterminado es 2048). ECDSA permite 256, 384 o 521 (el valor predeterminado es 256). Ed25519 ignora el tamaño.
    ACME_ENABLED Si se establece en true, la AC se ejecuta en modo ACME y genera la URL del servidor de ACME. Luego, puedes usar el cliente y el protocolo de ACME para administrar los certificados.

  2. Aplica el recurso personalizado a tu instancia de Distributed Cloud:

    kubectl apply -f root-ca.yaml –kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG

    Reemplaza MANAGEMENT_API_SERVER_KUBECONFIG por la ruta de acceso al archivo kubeconfig del servidor de la API de administración.

  3. Verifica que la CA raíz esté lista. Por lo general, la CA tarda alrededor de 40 minutos en estar lista:

    kubectl --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG -n USER_PROJECT_NAMESPACE get certificateauthority.pki.security.gdc.goog/ROOT_CA_NAME -ojson | jq -r ' 
.status.conditions[] | select( .type as $id | "Ready" | index($id))

    El resultado es similar al siguiente:

    {
  "lastTransitionTime": "2025-01-24T17:09:19Z",
  "message": "CA reconciled",
  "observedGeneration": 2,
  "reason": "Ready",
  "status": "True",
  "type": "Ready"
}

Enumera las AC

Para enumerar todos los recursos de Certificate Authority Service en tu instancia de Distributed Cloud con aislamiento físico, haz lo siguiente:

Usa el parámetro certificateauthorities para enumerar todos los recursos CertificateAuthority:

   kubectl --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG -n USER_PROJECT_NAMESPACE get certificateauthorities

El resultado es similar al siguiente:

   NAMESPACE    NAME              READY   REASON   AGE
   foo          root-ca           True    Ready    7h24m
   foo          sub-ca            True    Ready    7h24m