Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Crea un'autorità di certificazione subordinata

Questo documento descrive i passaggi per creare un'autorità di certificazione subordinata (CA secondaria).

Le CA secondarie sono responsabili dell'emissione di certificati direttamente alle entità finali, come utenti, computer e dispositivi. Sono firmate crittograficamente da una CA principale, spesso la CA radice. I sistemi che considerano attendibile la CA radice considerano automaticamente attendibili le CA secondarie e i certificati che emettono.

Il firmatario del certificato CA può essere un'altra CA creata nel servizio CA, ad esempio la CA radice, o una CA esterna. Con le CA esterne, il servizio CA genera una richiesta di firma del certificato (CSR) che la CA esterna deve firmare.

Questo documento è destinato ai segmenti di pubblico all'interno del gruppo di operatori di applicazioni, come sviluppatori di applicazioni o data scientist, che gestiscono i cicli di vita dei certificati all'interno del loro progetto. Per saperne di più, consulta Segmenti di pubblico per la documentazione di GDC air-gapped.

Prima di iniziare

Prima di poter creare una CA secondaria, devi richiedere le autorizzazioni necessarie e preparare l'ambiente.

Richiedere ruoli IAM

Per creare, aggiornare ed eliminare le risorse dell'autorità di certificazione, contatta l'amministratore IAM dell'organizzazione per richiedere il ruolo Amministratore del servizio di autorità di certificazione (certificate-authority-service-admin) nello spazio dei nomi del progetto dell'autorità di certificazione.

prepara l'ambiente

Scarica e installa gcloud CLI, se non l'hai ancora fatto.
Installa l'interfaccia a riga di comando kubectl.
Genera un file kubeconfig per configurare l'accesso a kubectl.

Crea una CA secondaria gestita

Per una CA secondaria gestita, il firmatario del certificato CA è un'altra CA (CA radice) creata nel servizio CA.

Per creare una CA secondaria gestita, applica una risorsa personalizzata all'istanza Distributed Cloud Appliance.

Crea una risorsa CertificateAuthority e salvala come file YAML denominato subca.yaml:

apiVersion: pki.security.gdc.goog/v1
kind: CertificateAuthority
metadata:
  Name: SUB_CA_NAME
  namespace: USER_PROJECT_NAMESPACE
spec:
  caProfile:
    commonName: COMMON_NAME
    duration: DURATION
    renewBefore: RENEW_BEFORE
    organizations:
    - ORGANIZATIONS
    organizationalUnits:
    - ORGANIZATIONAL_UNITS
    countries:
    - COUNTRIES
    localities:
    - LOCALITIES
    provinces:
    - PROVINCES
    streetAddresses:
    - STREET_ADDRESSES
    postalCodes:
    - POSTAL_CODES
  caCertificate:
    managedSubCA:
      certificateAuthorityRef:
        name: ROOT_CA_NAME
        namespace: USER_PROJECT_NAMESPACE
  certificateProfile:
    keyUsage:
      - digitalSignature
      - keyCertSign
      - crlSign
    extendedKeyUsage:
      - EXTENDED_KEY_USAGE
  secretConfig:
    secretName: SECRET_NAME
    privateKeyConfig:
      algorithm: KEY_ALGORITHM
      size: KEY_SIZE
  acme:
    enabled: ACME_ENABLED

Sostituisci le seguenti variabili:

Variabile	Descrizione
`SUB_CA_NAME`	Il nome della CA secondaria.
`USER_PROJECT_NAMESPACE`	Il nome dello spazio dei nomi in cui si trova il progetto utente.
`COMMON_NAME`	Il nome comune del certificato CA.
`DURATION`	La durata richiesta del certificato CA.
`ROOT_CA_NAME`	Il nome della CA radice.
`SECRET_NAME`	Il nome del secret Kubernetes che contiene la chiave privata e il certificato CA firmato.

Le seguenti variabili sono valori facoltativi:

Variabile	Descrizione
`RENEW_BEFORE`	Il tempo di rotazione prima della scadenza del certificato CA.
`ORGANIZATIONS`	Organizzazioni da utilizzare nel certificato.
`ORGANIZATIONAL_UNITS`	Le unità organizzative da utilizzare nel certificato.
`COUNTRIES`	Paesi da utilizzare nel certificato.
`LOCALITIES`	Città da utilizzare nel certificato.
`PROVINCES`	Stati o province da utilizzare nel certificato.
`STREET_ADDRESSES`	Indirizzi da utilizzare sul certificato.
`POSTAL_CODES`	I codici postali da utilizzare sul certificato.
`EXTENDED_KEY_USAGE`	L'utilizzo esteso della chiave per il certificato. Se specificato, i valori consentiti sono `serverAuth` e `clientAuth`.
`KEY_ALGORITHYM`	L'algoritmo della chiave privata utilizzato per questo certificato. I valori consentiti sono RSA, Ed25519 o ECDSA. Se la dimensione non viene fornita, il valore predefinito è 256 per ECDSA e 2048 per RSA. La dimensione della chiave viene ignorata per Ed25519.
`KEY_SIZE`	La dimensione, in bit, della chiave privata per questo certificato dipende dall'algoritmo. RSA consente 2048, 3072, 4096 o 8192 (valore predefinito 2048). ECDSA consente 256, 384 o 521 (valore predefinito 256). Ed25519 ignora la dimensione.
`ACME_ENABLED`	Se impostato su `true`, la CA viene eseguita in modalità ACME e restituisce l'URL del server ACME. Puoi quindi utilizzare il client e il protocollo ACME per gestire i certificati.

Applica la risorsa personalizzata all'istanza di Distributed Cloud:
```
kubectl apply -f subca.yaml --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG
```
Sostituisci MANAGEMENT_API_SERVER_KUBECONFIG con il percorso del file kubeconfig del server API di gestione.

Verifica che la CA subordinata sia pronta. Sono necessari circa 40 minuti prima che la CA sia pronta:

kubectl --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG -n USER_PROJECT_NAMESPACE get certificateauthority.pki.security.gdc.goog/SUB_CA_NAME -ojson | jq -r ' 
.status.conditions[] | select( .type as $id | "Ready" | index($id))'

L'output è simile al seguente:

{
  "lastTransitionTime": "2025-01-24T17:09:29Z",
  "message": "CA reconciled",
  "observedGeneration": 2,
  "reason": "Ready",
  "status": "True",
  "type": "Ready"
}

Crea una CA secondaria da una CA esterna

Questa CA secondaria supporta la firma di certificati foglia con CA esterne o gestite dall'utente. Genera una CSR da firmare per gli utenti.

Crea una risorsa CertificateAuthority e salvala come file YAML denominato subca-external.yaml:

apiVersion: pki.security.gdc.goog/v1
kind: CertificateAuthority
metadata:
  Name: SUB_CA_NAME
  namespace: USER_PROJECT_NAMESPACE
spec:
  caProfile:
    commonName: COMMON_NAME
    duration: DURATION
    renewBefore: RENEW_BEFORE
    organizations:
    - ORGANIZATION
    organizationalUnits:
    - ORGANIZATIONAL_UNITS
    countries:
    - COUNTRIES
    localities:
    - LOCALITIES
    provinces:
    - PROVINCES
    streetAddresses:
    - STREET_ADDRESSES
    postalCodes:
    - POSTAL_CODES
  caCertificate:
    externalCA: {}
  certificateProfile:
    keyUsage:
      - digitalSignature
      - keyCertSign
      - crlSign
    extendedKeyUsage:
      - EXTENDED_KEY_USAGE
  secretConfig:
    secretName: SECRET_NAME
    privateKeyConfig:
      algorithm: KEY_ALGORITHM
      size: KEY_SIZE
  acme:
    enabled: ACME_ENABLED

Sostituisci le seguenti variabili:

Variabile	Descrizione
`SUB_CA_NAME`	Il nome della CA secondaria.
`USER_PROJECT_NAMESPACE`	L'ID progetto per il progetto in cui vuoi importare l'immagine.
`COMMON_NAME`	Il nome comune del certificato CA.
`DURATION`	La durata richiesta del certificato CA
`SECRET_NAME`	Il nome del secret Kubernetes che contiene la chiave privata e il certificato CA firmato.

Le seguenti variabili sono valori facoltativi:

Variabile	Descrizione
`RENEW_BEFORE`	Il tempo di rotazione prima della scadenza del certificato CA.
`ORGANIZATION`	L'organizzazione da utilizzare nel certificato.
`ORGANIZATIONAL_UNITS`	Le unità organizzative da utilizzare nel certificato.
`COUNTRIES`	Paesi da utilizzare nel certificato.
`LOCALITIES`	Città da utilizzare nel certificato.
`PROVINCES`	Stati o province da utilizzare nel certificato.
`STREET_ADDRESSES`	Indirizzi da utilizzare sul certificato.
`POSTAL_CODES`	I codici postali da utilizzare sul certificato.
`EXTENDED_KEY_USAGE`	L'utilizzo esteso della chiave per il certificato. Se specificato, i valori consentiti sono `serverAuth` e `clientAuth`.
`KEY_ALGORITHYM`	L'algoritmo della chiave privata utilizzato per questo certificato. I valori consentiti sono `RSA`, `Ed25519` o `ECDSA`. Se le dimensioni non vengono fornite, il valore predefinito è 256 per `ECDSA` e 2048 per `RSA`. La dimensione della chiave viene ignorata per `Ed25519`.
`KEY_SIZE`	Le dimensioni, in bit, della chiave privata per questo certificato dipendono dall'algoritmo. `RSA` consente 2048, 3072, 4096 o 8192 (valore predefinito 2048). `ECDSA` consente 256, 384 o 521 (valore predefinito 256). `Ed25519` ignora le dimensioni.
`ACME_ENABLED`	Se impostato su `true`, la CA viene eseguita in modalità ACME e restituisce l'URL del server ACME. Puoi quindi utilizzare il client e il protocollo ACME per gestire i certificati.

Applica la risorsa personalizzata all'istanza di Distributed Cloud:

kubectl apply -f subca-external.yaml --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG

Una CSR per la CA secondaria viene generata all'interno del server API di gestione GDC. Devi scaricare la CSR e firmarla. Una volta firmato, puoi caricare il certificato firmato nel server dell'API di gestione GDC.
Raccogli le richieste di firma del certificato (CSR) dal tuo ambiente Distributed Cloud:
```
kubectl get certificateauthorities SUB_CA_NAME -n USER_PROJECT_NAMESPACE -ojson | jq -j '"echo ", .status.externalCA.csr, " | base64 -d > ","sub_ca.csr\n"' | bash
```
Il comando genera un file CSR denominato sub_ca.csr nella directory corrente. Questo file contiene una CSR per un certificato CA X.509.
Utilizza la CA radice del cliente per richiedere certificati CA firmati per il file sub_ca.csr.
Per una richiesta di firma del certificato approvata, devi ottenere un certificato CA firmato dalla CA radice del cliente. Memorizza il certificato nel file sub_ca.crt nella directory attuale.
Se applicabile, ottieni il certificato CA radice del cliente e memorizzalo nel file ca.crt nella directory corrente.
Verifica le estensioni del nome alternativo del soggetto (SAN) nel certificato:
```
openssl x509 -text -noout -in sub_ca.crt | grep -A 1 "Subject Alternative Name"
```
Se il certificato CA ha un nome comune (CN) anziché un SAN, verifica il CN nel certificato:
```
openssl x509 -text -noout -in sub_ca.crt | grep -A 1 "Subject: CN"
```

Genera il spec per applicare la patch alla risorsa CertificateAuthority:

echo "spec:
  caCertificate:
    externalCA:
      signedCertificate:
        certificate: $(base64 -w0 SUB_CA_NAME.crt)
        ca: $(base64 -w0 ca.crt)" > patch.txt

I contenuti del file patch.txt sono simili ai seguenti:

spec:
  caCertificate:
    externalCA:
      signedCertificate:
        certificate: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSURSekNDQ…
        ca: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSURRVENDQ…

Modifica il campo spec della risorsa CertificateAuthority:

kubectl patch certificateauthority SUB_CA_NAME -n USER_PROJECT_NAMESPACE--patch-file patch.txt --type='merge'

Verifica che la CA subordinata BYO (Bring Your Own) sia pronta. In genere, la CA diventa pronta dopo circa 40 minuti:

kubectl -n USER_PROJECT_NAMESPACE get certificateauthority.pki.security.gdc.goog/SUB_CA_NAME -ojson | jq -r ' .status.conditions[] | select( .type as $id | "Ready" | index($id))'

L'output è simile al seguente:

{
  "lastTransitionTime": "2024-04-30T22:10:50Z",
  "message": "Certificate authority is ready for use",
  "observedGeneration": 3,
  "reason": "Ready",
  "status": "True",
  "type": "Ready"
}

Verifica la data di scadenza dei certificati CA firmati:

kubectl -n USER_PROJECT_NAMESPACE get secret SECRET_NAME -ojson | jq -j '"echo ", .metadata.name, " $(echo ", .data["tls.crt"], "| base64 -d | openssl x509 -enddate -noout)\n"' | bash

Elenco delle CA

Per elencare tutte le risorse di Certificate Authority Service nella tua istanza air-gapped di Distributed Cloud:

Utilizza il parametro certificateauthorities per elencare tutte le risorse CertificateAuthority:

   kubectl --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG -n USER_PROJECT_NAMESPACE get certificateauthorities

L'output è simile al seguente:

   NAMESPACE    NAME              READY   REASON   AGE
   foo          root-ca           True    Ready    7h24m
   foo          sub-ca            True    Ready    7h24m

Crea un'autorità di certificazione subordinata Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.

Prima di iniziare

Richiedere ruoli IAM

prepara l'ambiente

Crea una CA secondaria gestita

Crea una CA secondaria da una CA esterna

Elenco delle CA

Crea un'autorità di certificazione subordinata