Modifier l'émetteur de certificat par défaut

Google Distributed Cloud (GDC) sous air gap fournit une API d'infrastructure à clé publique (PKI) pour obtenir des certificats Web. Ce document explique comment remplacer l'émetteur de certificats par défaut par un autre émetteur. Pour en savoir plus sur les modes de certificats PKI, consultez la section Configuration des certificats TLS Web.

Ce document s'adresse aux utilisateurs du groupe d'administrateurs de plate-forme qui souhaitent gérer les émetteurs de certificats. Pour en savoir plus, consultez la documentation sur les audiences pour GDC sous air gap.

Avant de commencer

Avant de modifier l'émetteur de certificats par défaut, vous devez disposer des autorisations nécessaires et préparer votre environnement.

Demander des rôles IAM

Pour créer, mettre à jour et supprimer des émetteurs de certificats, contactez l'administrateur IAM de votre organisation afin de demander le rôle Administrateur de l'infrastructure PKI (infra-pki-admin) dans l'espace de noms système.

Préparer votre environnement

Modifier l'émetteur de certificats par défaut

  1. Le libellé de l'émetteur par défaut ressemble à l'exemple suivant. Pour chaque espace de noms, un CertificateIssuer doit contenir le libellé suivant :

    pki.security.gdc.goog/is-default-issuer: 'true'

  2. Affichez l'émetteur par défaut actuel dans l'espace de noms pki-system :

    kubectl get certificateissuers -n pki-system -l pki.security.gdc.goog/is-default-issuer=true

    La sortie ressemble à ceci :

    NAME                    READY   REASON       ISDEFAULT
default-tls-ca-issuer   True    CAaaSReady   true

  3. Modifiez l'émetteur par défaut existant et mettez à jour le libellé de l'émetteur par défaut à partir de l'émetteur :

    kubectl label --overwrite certificateissuers CURRENT_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer='false'

    Remplacez CURRENT_DEFAULT_ISSUER par le nom de l' émetteur de certificats par défaut actuel.

  4. Pour définir le nouveau CertificateIssuer comme émetteur par défaut, mettez à jour le libellé :

    kubectl label --overwrite certificateissuers NEW_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer=true

    Remplacez NEW_DEFAULT_ISSUER par le nom du nouvel émetteur de certificats par défaut.

Déclencher manuellement la réémission des certificats

Une fois que vous avez changé l'émetteur de certificats par défaut, Distributed Cloud ne réémet pas automatiquement les certificats signés par l'émetteur de certificats par défaut précédent, sauf si le certificat est sur le point d'expirer. Pour réémettre immédiatement des certificats avec le nouvel émetteur par défaut, consultez Réémettre manuellement des certificats Web PKI.