Mengubah penerbit sertifikat default

Google Distributed Cloud (GDC) dengan air gap menyediakan API infrastruktur kunci publik (PKI) untuk mendapatkan sertifikat web. Dokumen ini memberikan petunjuk untuk mengubah penerbit sertifikat default ke penerbit lain. Untuk mengetahui informasi selengkapnya tentang mode sertifikat PKI, lihat Konfigurasi sertifikat TLS web.

Dokumen ini ditujukan untuk audiens dalam grup administrator platform yang ingin mengelola penerbit sertifikat. Untuk mengetahui informasi selengkapnya, lihat Audiens untuk dokumentasi GDC dengan air gap.

Sebelum memulai

Sebelum mengubah penerbit sertifikat default, Anda harus memiliki izin yang diperlukan dan menyiapkan lingkungan Anda.

Meminta peran IAM

Untuk membuat, memperbarui, dan menghapus penerbit sertifikat, hubungi Admin IAM Organisasi Anda untuk meminta peran PKI Infra Admin (infra-pki-admin) di namespace sistem.

Menyiapkan lingkungan Anda

Mengubah penerbit sertifikat default

  1. Label penerbit default terlihat seperti contoh berikut. Untuk setiap namespace, satu CertificateIssuer harus berisi label:

    pki.security.gdc.goog/is-default-issuer: 'true'

  2. Melihat penerbit default saat ini di namespace pki-system:

    kubectl get certificateissuers -n pki-system -l pki.security.gdc.goog/is-default-issuer=true

    Outputnya akan terlihat mirip seperti berikut:

    NAME                    READY   REASON       ISDEFAULT
default-tls-ca-issuer   True    CAaaSReady   true

  3. Edit penerbit default yang ada, dan perbarui label penerbit default dari penerbit:

    kubectl label --overwrite certificateissuers CURRENT_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer='false'

    Ganti CURRENT_DEFAULT_ISSUER dengan nama penerbit sertifikat default saat ini.

  4. Untuk menetapkan CertificateIssuer baru sebagai penerbit default, perbarui label:

    kubectl label --overwrite certificateissuers NEW_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer=true

    Ganti NEW_DEFAULT_ISSUER dengan nama penerbit sertifikat default baru.

Memicu penerbitan ulang sertifikat secara manual

Setelah Anda mengganti penerbit sertifikat default, Distributed Cloud tidak akan otomatis menerbitkan ulang sertifikat yang ditandatangani oleh penerbit sertifikat default sebelumnya, kecuali jika masa berlaku sertifikat akan segera berakhir. Untuk segera menerbitkan ulang sertifikat dengan penerbit default baru, lihat Menerbitkan ulang sertifikat web PKI secara manual.