Cambiar la entidad emisora de certificados predeterminada

Google Distributed Cloud (GDC) con air gap proporciona una API de infraestructura de clave pública (PKI) para obtener certificados web. En este documento se explica cómo cambiar la entidad emisora de certificados predeterminada por otra. Para obtener más información sobre los modos de certificado de PKI, consulta Configuración de certificados TLS web.

Este documento está dirigido a las audiencias del grupo de administradores de la plataforma que quieran gestionar emisores de certificados. Para obtener más información, consulta Audiencias de la documentación aislada de GDC.

Antes de empezar

Antes de cambiar la entidad emisora de certificados predeterminada, debes tener los permisos necesarios y preparar tu entorno.

Solicitar roles de gestión de identidades y accesos

Para crear, actualizar y eliminar emisores de certificados, ponte en contacto con tu administrador de IAM de la organización para solicitar el rol Administrador de infraestructura de PKI (infra-pki-admin) en el espacio de nombres del sistema.

Prepara tu entorno

• Descarga e instala la CLI gdcloud si aún no lo has hecho.

• Instala la CLI de kubectl.

• Genera un archivo kubeconfig para configurar el acceso a kubectl.

Cambiar el emisor de certificados predeterminado

1. La etiqueta predeterminada de la entidad emisora es similar a la del siguiente ejemplo. En cada espacio de nombres, uno de los CertificateIssuer debe contener la etiqueta:

   pki.security.gdc.goog/is-default-issuer: 'true'
   

2. Consulta el emisor predeterminado actual en el espacio de nombres pki-system:

   kubectl get certificateissuers -n pki-system -l pki.security.gdc.goog/is-default-issuer=true
   

   El resultado es similar al siguiente:

   NAME                    READY   REASON       ISDEFAULT
   default-tls-ca-issuer   True    CAaaSReady   true
   

3. Edita el emisor predeterminado y actualiza la etiqueta del emisor predeterminado del emisor:

   kubectl label --overwrite certificateissuers CURRENT_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer='false'
   

   Sustituye CURRENT_DEFAULT_ISSUER por el nombre de la entidad emisora del certificado predeterminado actual.

4. Para definir el nuevo CertificateIssuer como entidad emisora predeterminada, actualice la etiqueta:

   kubectl label --overwrite certificateissuers NEW_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer=true
   

   Sustituye NEW_DEFAULT_ISSUER por el nombre del nuevo emisor de certificados predeterminado.

Activar manualmente la reedición de un certificado

Después de cambiar la entidad emisora de certificados predeterminada, Distributed Cloud no volverá a emitir automáticamente los certificados firmados por la entidad emisora de certificados predeterminada anterior, a menos que el certificado esté a punto de caducar. Para volver a emitir certificados inmediatamente con la nueva entidad emisora predeterminada, consulta Volver a emitir manualmente certificados web de PKI.