Révoquer un certificat

Ce document explique comment révoquer un certificat à l'aide de Certificate Authority Service. La révocation d'un certificat l'invalide avant sa date d'expiration, ce qui empêche son utilisation pour l'authentification. Vous pouvez révoquer un certificat si la clé privée est compromise, si le certificat est remplacé par un nouveau certificat ou si le certificat n'est plus nécessaire (par exemple, lorsque le service pour lequel le certificat a été émis est mis hors service).

Ce document s'adresse aux membres du groupe d'opérateurs d'application, tels que les développeurs d'applications ou les data scientists, qui gèrent les cycles de vie des certificats dans leur projet. Pour en savoir plus, consultez la documentation sur les audiences pour GDC sous air gap.

À propos de la révocation des certificats

Le service d'autorité de certification est compatible avec la révocation de certificats en publiant des listes de révocation de certificats (LRC). Une CRL est une liste de numéros de série de certificats qui ont été révoqués et ne sont plus approuvés. Par défaut, une nouvelle LRC est publiée toutes les 15 minutes. De plus, toute révocation de certificat réussie déclenche automatiquement la génération d'une nouvelle CRL.

Les certificats émis par CA Service incluent une extension appelée "point de distribution de la liste de révocation de certificats" (CDP). Cette extension contient l'URL où vous pouvez trouver et télécharger la LRC pour ce certificat. Les applications clientes utilisent cette URL pour récupérer la LCR et vérifier si le numéro de série d'un certificat est présent. Si le numéro de série apparaît dans la liste, le certificat est considéré comme non valide et la connexion doit être refusée.

Avant de commencer

Avant de pouvoir révoquer un certificat, vous devez demander les autorisations nécessaires et préparer votre environnement.

Demander des rôles IAM

Pour révoquer des certificats et afficher les demandes de révocation, contactez l'administrateur de l'organisation IAM pour demander le rôle Gestionnaire des opérations du service CA (certificate-authority-service-operation-manager) dans l'espace de noms du projet de l'autorité de certification.

Préparer votre environnement

Révoquer un certificat

La méthode de révocation d'un certificat dépend de l'activation ou non du mode ACME par l'autorité de certification (CA) émettrice. Après la révocation d'un certificat, son numéro de série apparaît dans toutes les futures listes de révocation de certificats pour cette autorité de certification jusqu'à l'expiration du certificat.

Révoquer un certificat d'une autorité de certification compatible avec ACME

Chaque autorité de certification compatible avec ACME expose une URL de serveur ACME unique dans son état une fois qu'elle est prête. Pour révoquer un certificat d'une autorité de certification compatible avec ACME, vous devez utiliser un outil client ACME pour interagir avec cette URL à l'aide du protocole ACME.

Révoquez un certificat d'une autorité de certification compatible avec ACME :

  1. Récupérez l'URL du serveur ACME pour votre CA :

    kubectl --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG \
  get certificateauthorities CA_NAME \
  -n USER_PROJECT_NAMESPACE \
  -ojson | jq -r '.status.acme.uri'

    Remplacez les éléments suivants :

    • MANAGEMENT_API_SERVER_KUBECONFIG : chemin d'accès au fichier kubeconfig du serveur d'API Management.
    • CA_NAME : nom de l'autorité de certification compatible avec ACME (racine ou subordonnée).
    • USER_PROJECT_NAMESPACE : espace de noms du projet.

  2. Utilisez l'URL obtenue avec l'outil client ACME de votre choix pour envoyer une demande de révocation. Pour en savoir plus, consultez la documentation de votre client ACME.

Révoquer un certificat d'une autorité de certification pour laquelle ACME est désactivé

Si le mode ACME est désactivé sur l'autorité de certification, révoquez un certificat en créant et en appliquant une ressource personnalisée RevokeCertificateRequest :

  1. Créez un fichier YAML de ressource personnalisée RevokeCertificateRequest (par exemple, revoke-cert-request.yaml) :

    apiVersion: pki.security.gdc.goog/v1
kind: RevokeCertificateRequest
metadata:
  name: REVOKE_CERT_REQ_NAME
  namespace: USER_PROJECT_NAMESPACE
spec:
  certificateRequestRef:
    name: CERT_REQ_NAME
    namespace: USER_PROJECT_NAMESPACE
  reason: REASON

    Remplacez les éléments suivants :

    • REVOKE_CERT_REQ_NAME : nom défini par l'utilisateur pour la demande de révocation.
    • USER_PROJECT_NAMESPACE : espace de noms du projet.
    • CERT_REQ_NAME : nom de la ressource CertificateRequest associée au certificat que vous souhaitez révoquer.
    • REASON : motif de la révocation. Les raisons suivantes sont valides : Unspecified, KeyCompromise, CaCompromise, AffiliationChanged, Superseded, CessationOfOperation, CertificateHold, RemoveFromCrl, PrivilegeWithdrawn et AaCompromise.

  2. Appliquez la ressource personnalisée :

    kubectl apply -f revoke-cert-request.yaml --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG

    Remplacez MANAGEMENT_API_SERVER_KUBECONFIG par le chemin d'accès au fichier kubeconfig du serveur d'API Management.

  3. Vérifiez que la demande de révocation de certificat est prête :

    kubectl --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG \
  -n USER_PROJECT_NAMESPACE \
  get revokecertificaterequest.pki.security.gdc.goog/REVOKE_CERT_REQ_NAME \
  -ojson | jq -r ' .status.conditions[] | select( .type as $id | "Ready" | index($id))'

    Remplacez les éléments suivants :

    • MANAGEMENT_API_SERVER_KUBECONFIG : chemin d'accès au fichier kubeconfig du serveur d'API Management.
    • USER_PROJECT_NAMESPACE : espace de noms du projet.
    • REVOKE_CERT_REQ_NAME : nom de la demande de révocation.

    La sortie ressemble à ceci :

    {
  "lastTransitionTime": "2025-08-19T23:20:22Z",
  "message": "RevokeCertificateRequest reconciled",
  "observedGeneration": 1,
  "reason": "Ready",
  "status": "True",
  "type": "Ready"
}

    Le processus est terminé et le numéro de série du certificat est ajouté à la prochaine LRC générée.

Lister les demandes de certificat révoquées

Répertoriez toutes les ressources RevokeCertificateRequest d'un espace de noms de projet :

kubectl --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG \
  -n USER_PROJECT_NAMESPACE \
  get revokecertificaterequests

Remplacez les éléments suivants :

  • MANAGEMENT_API_SERVER_KUBECONFIG : chemin d'accès au fichier kubeconfig du serveur d'API Management.
  • USER_PROJECT_NAMESPACE : espace de noms du projet.

La sortie ressemble à ceci :

NAMESPACE    NAME                      READY   AGE
foo          revoke-cert-req           True    30s