Modificare l'emittente di certificati predefinita

Google Distributed Cloud (GDC) con air gap fornisce un'API dell'infrastruttura a chiave pubblica (PKI) per ottenere certificati web. Questo documento fornisce istruzioni per modificare l'emittente di certificati predefinito con un altro emittente. Per saperne di più sulle modalità dei certificati PKI, consulta Configurazione dei certificati TLS web.

Questo documento è destinato al gruppo di amministratori della piattaforma che vogliono gestire gli emittenti di certificati. Per saperne di più, consulta Pubblico per la documentazione di GDC con air gap.

Prima di iniziare

Prima di modificare l'emittente di certificati predefinito, devi disporre delle autorizzazioni necessarie e preparare l'ambiente.

Richiedere i ruoli IAM

Per creare, aggiornare ed eliminare gli emittenti di certificati, contatta l'amministratore IAM dell'organizzazione per richiedere il ruolo Amministratore dell'infrastruttura PKI (infra-pki-admin) nello spazio dei nomi di sistema.

Preparare l'ambiente

Modificare l'emittente di certificati predefinito

  1. L'etichetta dell'emittente predefinito è simile all'esempio seguente. Per ogni spazio dei nomi, un CertificateIssuer deve contenere l'etichetta:

    pki.security.gdc.goog/is-default-issuer: 'true'

  2. Visualizza l'emittente predefinito corrente nello spazio dei nomi pki-system:

    kubectl get certificateissuers -n pki-system -l pki.security.gdc.goog/is-default-issuer=true

    L'output è simile al seguente:

    NAME                    READY   REASON       ISDEFAULT
default-tls-ca-issuer   True    CAaaSReady   true

  3. Modifica l'emittente predefinito esistente e aggiorna l'etichetta dell'emittente predefinito dall'emittente:

    kubectl label --overwrite certificateissuers CURRENT_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer='false'

    Sostituisci CURRENT_DEFAULT_ISSUER con il nome dell' emittente di certificati predefinito corrente.

  4. Per impostare il nuovo CertificateIssuer come emittente predefinito, aggiorna l'etichetta:

    kubectl label --overwrite certificateissuers NEW_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer=true

    Sostituisci NEW_DEFAULT_ISSUER con il nome del nuovo emittente di certificati predefinito.

Attivare manualmente la riemissione dei certificati

Dopo aver cambiato l'emittente di certificati predefinito, Distributed Cloud non riemetterà automaticamente i certificati firmati dall'emittente di certificati predefinito precedente, a meno che il certificato non stia per scadere. Per riemettere immediatamente i certificati con il nuovo emittente predefinito, consulta Riemettere manualmente i certificati web PKI.