‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

שינוי ברירת המחדל של מנפיק האישורים

‫Google Distributed Cloud (GDC) air-gapped מספק ממשק API של תשתית מפתח ציבורי (PKI) לקבלת אישורי אינטרנט. במסמך הזה מוסבר איך לשנות את מנפיק האישור שמוגדר כברירת מחדל למנפיק אחר. מידע נוסף על מצבי אישור PKI זמין במאמר בנושא הגדרת אישור TLS לאינטרנט.

המסמך הזה מיועד לקהלים שנכללים בקבוצת האדמינים של הפלטפורמה ורוצים לנהל את הגורמים שמנפיקים אישורים. מידע נוסף מופיע במאמרי העזרה בנושא קהלים ב-GDC עם פער אבטחה.

לפני שמתחילים

לפני שמשנים את מנפיק אישור ברירת המחדל, צריך לוודא שיש לכם את ההרשאות הנדרשות ולהכין את הסביבה.

שליחת בקשה לתפקידי IAM

כדי ליצור, לעדכן ולמחוק גורמים מנפיקי אישורים, צריך לפנות לאדמין של IAM בארגון ולבקש את התפקיד אדמין של תשתית PKI (infra-pki-admin) במרחב השמות של המערכת.

הכנת הסביבה

מורידים ומתקינים את ה-CLI של gcloud, אם עוד לא עשיתם זאת.
מתקינים את kubectl CLI.
יוצרים קובץ kubeconfig כדי להגדיר גישה ל-kubectl.

שינוי מנפיק האישור שמוגדר כברירת מחדל

תווית ברירת המחדל של המוסד המנפיק נראית כמו בדוגמה הבאה. לכל מרחב שמות, אחד ממאפייני CertificateIssuer צריך להכיל את התווית:
```
pki.security.gdc.goog/is-default-issuer: 'true'
```

צפייה במנפיק ברירת המחדל הנוכחי במרחב השמות pki-system:

kubectl get certificateissuers -n pki-system -l pki.security.gdc.goog/is-default-issuer=true

הפלט אמור להיראות כך:

NAME                    READY   REASON       ISDEFAULT
default-tls-ca-issuer   True    CAaaSReady   true

עורכים את מנפיק ברירת המחדל הקיים ומעדכנים את תווית מנפיק ברירת המחדל מהמנפיק:
```
kubectl label --overwrite certificateissuers CURRENT_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer='false'
```
מחליפים את CURRENT_DEFAULT_ISSUER בשם של מנפיק אישור ברירת המחדל הנוכחי.
כדי להגדיר את CertificateIssuer החדש כמוסד המנפיק המוגדר כברירת מחדל, צריך לעדכן את התווית:
```
kubectl label --overwrite certificateissuers NEW_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer=true
```
מחליפים את NEW_DEFAULT_ISSUER בשם של מנפיק אישור ברירת המחדל החדש.

הפעלה ידנית של הנפקת אישור מחדש

אחרי שמחליפים את מנפיק אישורי ברירת המחדל, Distributed Cloud לא ינפיק מחדש באופן אוטומטי אישורים שנחתמו על ידי מנפיק אישורי ברירת המחדל הקודם, אלא אם האישור עומד לפוג. כדי להנפיק מחדש אישורים באופן מיידי עם מנפיק ברירת המחדל החדש, אפשר לעיין במאמר בנושא הנפקה מחדש ידנית של אישורי PKI לאתרים.

שינוי ברירת המחדל של מנפיק האישורים קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.