루트 인증 기관 만들기

이 문서에서는 Google Distributed Cloud (GDC) 에어 갭에서 루트 인증 기관 (CA)을 만드는 단계를 설명합니다.

공개 키 인프라 (PKI) 계층 구조의 맨 위에 있는 루트 CA는 PKI의 신뢰 앵커를 설정합니다. PKI 내에서 인증서를 사용하려면 기기, 소프트웨어, 구성요소가 루트 CA를 신뢰해야 합니다. 이 구성은 루트 CA에서 발급한 모든 인증서를 신뢰하도록 보장하므로 PKI 자체를 신뢰할 수 있습니다.

이 문서는 프로젝트 내에서 인증서 수명 주기를 관리하는 애플리케이션 개발자 또는 데이터 과학자와 같은 애플리케이션 운영자 그룹 내의 사용자를 대상으로 합니다. 자세한 내용은 GDC 에어 갭 문서의 대상 사용자를 참고하세요.

시작하기 전에

루트 인증 기관을 만들려면 먼저 필요한 권한을 요청하고 환경을 준비해야 합니다.

IAM 역할 요청

루트 인증 기관을 만들고, 업데이트하고, 삭제하려면 조직 IAM 관리자에게 문의하여 Certificate Authority Service 관리자(certificate-authority-service-admin) 역할을 요청하세요.

개발 환경 준비

루트 인증 기관 만들기

루트 CA를 만들려면 커스텀 리소스를 Distributed Cloud 에어 갭 인스턴스에 적용합니다.

  1. CertificateAuthority 리소스를 만들고 root-ca.yaml이라는 YAML 파일로 저장합니다.

    apiVersion: pki.security.gdc.goog/v1
kind: CertificateAuthority
metadata:
  name: ROOT_CA_NAME
  namespace: USER_PROJECT_NAMESPACE
spec:
  caProfile:
    commonName: COMMON_NAME
    duration: DURATION
    renewBefore: RENEW_BEFORE
    organizations:
    - ORGANIZATION
    organizationalUnits:
    - ORGANIZATIONAL_UNITS
    countries:
    - COUNTRIES
    localities:
    - LOCALTIES
    provinces:
    - PROVINCES
    streetAddresses:
    - STREET_ADDRESSES
    postalCodes:
    - POSTAL_CODES
  caCertificate:
    selfSignedCA: {}
  certificateProfile:
    keyUsage:
      - digitalSignature
      - keyCertSign
      - crlSign
    extendedKeyUsage:
      - EXTENDED_KEY_USAGE
  secretConfig:
    secretName: SECRET_NAME
    privateKeyConfig:
      algorithm: KEY_ALGORITHM
      size: KEY_SIZE
  acme:
    enabled: ACME_ENABLED

    다음 변수를 바꿉니다.

    변수 설명
    ROOT_CA_NAME 루트 CA의 이름입니다.
    USER_PROJECT_NAMESPACE 사용자 프로젝트가 있는 네임스페이스의 이름입니다.
    COMMON_NAME CA 인증서의 일반 이름입니다.
    DURATION 요청된 CA 인증서의 수명입니다. 시간 단위로 기간을 지정합니다 (예: 1000h). 일 (d) 또는 연도 (y)와 같은 단위는 지원되지 않습니다.
    SECRET_NAME 비공개 키와 서명된 CA 인증서를 보유하는 Kubernetes 보안 비밀의 이름입니다.

    다음 변수는 선택적 값입니다.

    변수 설명
    RENEW_BEFORE CA 인증서가 만료되기 전의 순환 시간입니다.
    ORGANIZATION 인증서에 사용할 조직입니다.
    ORGANIZATIONAL_UNITS 인증서에 사용할 조직 단위입니다.
    COUNTRIES 인증서에 사용할 국가입니다.
    LOCALITIES 인증서에 사용할 도시입니다.
    PROVINCES 인증서에 사용할 주 또는 도입니다.
    STREET_ADDRESSES 인증서에 사용할 도로명 주소입니다.
    POSTAL_CODES 인증서에 사용할 우편번호입니다.
    EXTENDED_KEY_USAGE 인증서의 확장 키 사용입니다. 제공된 경우 허용되는 값은 serverAuth 및 clientAuth입니다.
    KEY_ALGORITHYM 이 인증서에 사용되는 비공개 키 알고리즘입니다. 허용되는 값 은 RSA, Ed25519, ECDSA입니다. 크기가 제공되지 않으면 ECDSA의 경우 256, RSA의 경우 2048이 기본값입니다. Ed25519의 경우 키 크기가 무시됩니다.
    KEY_SIZE 이 인증서의 비공개 키 크기(비트)는 알고리즘에 따라 다릅니다. RSA는 2048, 3072, 4096 또는 8192 (기본값 2048)를 허용합니다. ECDSA는 256, 384 또는 521 (기본값 256)을 허용합니다. Ed25519는 크기를 무시합니다.
    ACME_ENABLED true로 설정하면 CA가 ACME 모드로 실행되고 ACME 서버 URL을 출력합니다. 그런 다음 ACME 클라이언트 및 프로토콜을 사용하여 인증서를 관리할 수 있습니다.

  2. 커스텀 리소스를 Distributed Cloud 인스턴스에 적용합니다.

    kubectl apply -f root-ca.yaml –kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG

    MANAGEMENT_API_SERVER_KUBECONFIG를 Management API 서버의 kubeconfig 파일 경로로 바꿉니다.

  3. 루트 CA의 준비 상태를 확인합니다. 일반적으로 CA가 준비되는 데 약 40분이 걸립니다.

    kubectl --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG -n USER_PROJECT_NAMESPACE get certificateauthority.pki.security.gdc.goog/ROOT_CA_NAME -ojson | jq -r ' 
.status.conditions[] | select( .type as $id | "Ready" | index($id))

    결과는 다음과 유사합니다.

    {
  "lastTransitionTime": "2025-01-24T17:09:19Z",
  "message": "CA reconciled",
  "observedGeneration": 2,
  "reason": "Ready",
  "status": "True",
  "type": "Ready"
}

CA 나열

Distributed Cloud 에어 갭 인스턴스에서 모든 Certificate Authority Service 리소스를 나열하려면 다음 단계를 따르세요.

certificateauthorities 매개변수를 사용하여 모든 CertificateAuthority 리소스를 나열합니다.

   kubectl --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG -n USER_PROJECT_NAMESPACE get certificateauthorities

결과는 다음과 유사합니다.

   NAMESPACE    NAME              READY   REASON   AGE
   foo          root-ca           True    Ready    7h24m
   foo          sub-ca            True    Ready    7h24m