Cómo cambiar la entidad emisora de certificados predeterminada

Google Distributed Cloud (GDC) aislado proporciona una API de infraestructura de clave pública (PKI) para obtener certificados web. En este documento, se proporcionan instrucciones para cambiar la entidad emisora de certificados predeterminada por otra. Para obtener más información sobre los modos de certificados de PKI, consulta Configuración de certificados TLS web.

Este documento está dirigido a públicos dentro del grupo de administradores de plataformas que desean administrar emisores de certificados. Para obtener más información, consulta Públicos de la documentación de Google Distributed Cloud aislado.

Antes de comenzar

Antes de cambiar la entidad emisora de certificados predeterminada, debes tener los permisos necesarios y preparar tu entorno.

Solicita roles de IAM

Para crear, actualizar y borrar emisores de certificados, comunícate con tu administrador de IAM de la organización para solicitar el rol Administrador de infraestructura de PKI (infra-pki-admin) en el espacio de nombres del sistema.

Prepara el entorno

Cambia el emisor de certificados predeterminado

  1. La etiqueta del emisor predeterminado es similar al siguiente ejemplo. Para cada espacio de nombres, un CertificateIssuer debe contener la etiqueta:

    pki.security.gdc.goog/is-default-issuer: 'true'

  2. Consulta el emisor predeterminado actual en el espacio de nombres pki-system:

    kubectl get certificateissuers -n pki-system -l pki.security.gdc.goog/is-default-issuer=true

    El resultado es similar al siguiente:

    NAME                    READY   REASON       ISDEFAULT
default-tls-ca-issuer   True    CAaaSReady   true

  3. Edita el emisor predeterminado existente y actualiza la etiqueta del emisor predeterminado del emisor:

    kubectl label --overwrite certificateissuers CURRENT_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer='false'

    Reemplaza CURRENT_DEFAULT_ISSUER por el nombre del emisor de certificados predeterminado actual.

  4. Para establecer el nuevo CertificateIssuer como la entidad emisora predeterminada, actualiza la etiqueta:

    kubectl label --overwrite certificateissuers NEW_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer=true

    Reemplaza NEW_DEFAULT_ISSUER por el nombre del nuevo emisor de certificados predeterminado.

Activa de forma manual la reemisión de certificados

Después de cambiar el emisor de certificados predeterminado, Distributed Cloud no volverá a emitir automáticamente los certificados firmados por el emisor de certificados predeterminado anterior, a menos que el certificado esté a punto de vencer. Para volver a emitir certificados de inmediato con la nueva entidad emisora predeterminada, consulta Cómo volver a emitir certificados web de PKI de forma manual.