Standardzertifikatsaussteller ändern

Google Distributed Cloud (GDC) mit Air Gap bietet eine Public-Key-Infrastruktur-API (PKI) zum Abrufen von Webzertifikaten. In diesem Dokument wird beschrieben, wie Sie den Standardzertifikataussteller in einen anderen Aussteller ändern. Weitere Informationen zu PKI Zertifikatsmodi finden Sie unter Web-TLS-Zertifikatkonfiguration.

Dieses Dokument richtet sich an Zielgruppen in der Gruppe der Plattformadministratoren, die Zertifikataussteller verwalten möchten. Weitere Informationen finden Sie unter Dokumentation zu Zielgruppen für GDC mit Air Gap.

Hinweis

Bevor Sie den Standardzertifikataussteller ändern, müssen Sie die erforderlichen Berechtigungen haben und Ihre Umgebung vorbereiten.

IAM-Rollen anfordern

Wenn Sie Zertifikataussteller erstellen, aktualisieren und löschen möchten, wenden Sie sich an Ihren IAM-Administrator der Organisation und fordern Sie die Rolle PKI Infra Admin (infra-pki-admin) im System-Namespace an.

Umgebung vorbereiten

Standardzertifikataussteller ändern

  1. Das Standardausstellerlabel sieht so aus: Für jeden Namespace muss ein CertificateIssuer das Label enthalten:

    pki.security.gdc.goog/is-default-issuer: 'true'

  2. So rufen Sie den aktuellen Standardaussteller im Namespace pki-system auf:

    kubectl get certificateissuers -n pki-system -l pki.security.gdc.goog/is-default-issuer=true

    Die Ausgabe sieht dann ungefähr so aus:

    NAME                    READY   REASON       ISDEFAULT
default-tls-ca-issuer   True    CAaaSReady   true

  3. Bearbeiten Sie den vorhandenen Standardaussteller und aktualisieren Sie das Standardausstellerlabel vom Aussteller:

    kubectl label --overwrite certificateissuers CURRENT_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer='false'

    Ersetzen Sie CURRENT_DEFAULT_ISSUER durch den Namen des aktuellen Standardzertifikatausstellers.

  4. Wenn Sie den neuen CertificateIssuer als Standardaussteller festlegen möchten, aktualisieren Sie das Label:

    kubectl label --overwrite certificateissuers NEW_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer=true

    Ersetzen Sie NEW_DEFAULT_ISSUER durch den Namen des neuen Standardzertifikatausstellers.

Zertifikatausstellung manuell auslösen

Nachdem Sie den Standardzertifikataussteller gewechselt haben, werden Zertifikate, die vom vorherigen Standardzertifikataussteller signiert wurden, in Distributed Cloud nicht automatisch neu ausgestellt, es sei denn, das Zertifikat läuft bald ab. Informationen zum sofortigen Neuausstellen von Zertifikaten mit dem neuen Standardaussteller finden Sie unter PKI-Webzertifikate manuell neu ausstellen.