Criar uma autoridade certificadora raiz

Este documento descreve as etapas para criar uma autoridade certificadora raiz (CA) no Google Distributed Cloud (GDC) com isolamento físico.

Uma CA raiz, que fica no topo da hierarquia da infraestrutura de chave pública (PKI), estabelece a âncora de confiança para a PKI. Para usar certificados em uma PKI, os dispositivos, softwares e componentes precisam confiar na CA raiz. Essa configuração garante a confiança em todos os certificados emitidos pela CA raiz, permitindo a confiança na própria PKI.

Este documento é destinado a públicos-alvo do grupo de operadores de aplicativos, como desenvolvedores de aplicativos ou cientistas de dados, que gerenciam os ciclos de vida dos certificados no projeto. Para mais informações, consulte Públicos-alvo da documentação do GDC com isolamento físico.

Antes de começar

Antes de criar uma autoridade certificadora raiz, solicite as permissões necessárias e prepare o ambiente.

Solicitar papéis do IAM

Para criar, atualizar e excluir uma autoridade certificadora raiz, entre em contato com o administrador do IAM da organização para solicitar o papel Certificate Authority Service Admin (certificate-authority-service-admin).

Preparar o ambiente

Criar uma autoridade certificadora raiz

Para criar uma CA raiz, aplique um recurso personalizado à instância do Distributed Cloud com isolamento físico.

  1. Crie um recurso CertificateAuthority e salve-o como um arquivo YAML chamado root-ca.yaml:

    apiVersion: pki.security.gdc.goog/v1
kind: CertificateAuthority
metadata:
  name: ROOT_CA_NAME
  namespace: USER_PROJECT_NAMESPACE
spec:
  caProfile:
    commonName: COMMON_NAME
    duration: DURATION
    renewBefore: RENEW_BEFORE
    organizations:
    - ORGANIZATION
    organizationalUnits:
    - ORGANIZATIONAL_UNITS
    countries:
    - COUNTRIES
    localities:
    - LOCALTIES
    provinces:
    - PROVINCES
    streetAddresses:
    - STREET_ADDRESSES
    postalCodes:
    - POSTAL_CODES
  caCertificate:
    selfSignedCA: {}
  certificateProfile:
    keyUsage:
      - digitalSignature
      - keyCertSign
      - crlSign
    extendedKeyUsage:
      - EXTENDED_KEY_USAGE
  secretConfig:
    secretName: SECRET_NAME
    privateKeyConfig:
      algorithm: KEY_ALGORITHM
      size: KEY_SIZE
  acme:
    enabled: ACME_ENABLED

    Substitua as seguintes variáveis:

    Variável Descrição
    ROOT_CA_NAME O nome da CA raiz.
    USER_PROJECT_NAMESPACE O nome do namespace em que o projeto do usuário reside.
    COMMON_NAME O nome comum do certificado de CA.
    DURATION O tempo de vida solicitado do certificado de CA. Especifique como uma duração em horas (por exemplo, 1000h). Unidades como dias (d) ou anos (y) não são aceitas.
    SECRET_NAME O nome do Secret do Kubernetes que contém a chave privada e o certificado de CA assinado.

    As variáveis a seguir são valores opcionais:

    Variável Descrição
    RENEW_BEFORE O tempo de rotação antes da expiração do certificado de CA.
    ORGANIZATION Organização a ser usada no certificado.
    ORGANIZATIONAL_UNITS Unidades organizacionais a serem usadas no certificado.
    COUNTRIES Países a serem usados no certificado.
    LOCALITIES Cidades a serem usadas no certificado.
    PROVINCES Estados ou províncias a serem usados no certificado.
    STREET_ADDRESSES Endereços a serem usados no certificado.
    POSTAL_CODES Códigos postais a serem usados no certificado.
    EXTENDED_KEY_USAGE O uso de chave estendida para o certificado. Se fornecido, os valores permitidos serão serverAuth e clientAuth.
    KEY_ALGORITHYM O algoritmo de chave privada usado para esse certificado. Os valores permitidos são RSA, Ed25519 ou ECDSA. Se o tamanho não for fornecido, ele será definido como 256 para ECDSA e 2048 para RSA. O tamanho da chave é ignorado para Ed25519.
    KEY_SIZE O tamanho, em bits, da chave privada para esse certificado depende do algoritmo. RSA permite 2048, 3072, 4096 ou 8192 (padrão 2048). ECDSA permite 256, 384 ou 521 (padrão 256). Ed25519 ignora o tamanho.
    ACME_ENABLED Se definido como true, a CA será executada no modo ACME e vai gerar o URL do servidor ACME. Em seguida, você poderá usar o cliente e o protocolo ACME para gerenciar certificados.

  2. Aplique o recurso personalizado à instância do Distributed Cloud:

    kubectl apply -f root-ca.yaml –kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG

    Substitua MANAGEMENT_API_SERVER_KUBECONFIG pelo caminho para o arquivo kubeconfig do servidor da API Management.

  3. Verifique a prontidão da CA raiz. Normalmente, leva cerca de 40 minutos para que a CA fique pronta:

    kubectl --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG -n USER_PROJECT_NAMESPACE get certificateauthority.pki.security.gdc.goog/ROOT_CA_NAME -ojson | jq -r ' 
.status.conditions[] | select( .type as $id | "Ready" | index($id))

    A saída será assim:

    {
  "lastTransitionTime": "2025-01-24T17:09:19Z",
  "message": "CA reconciled",
  "observedGeneration": 2,
  "reason": "Ready",
  "status": "True",
  "type": "Ready"
}

Listar CAs

Para listar todos os recursos do Certificate Authority Service na instância do Distributed Cloud com isolamento físico, faça o seguinte:

Use o parâmetro certificateauthorities para listar todos os recursos CertificateAuthority:

   kubectl --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG -n USER_PROJECT_NAMESPACE get certificateauthorities

A saída será assim:

   NAMESPACE    NAME              READY   REASON   AGE
   foo          root-ca           True    Ready    7h24m
   foo          sub-ca            True    Ready    7h24m