デフォルトの証明書発行者を変更する

Google Distributed Cloud（GDC）エアギャップは、ウェブ証明書を取得するための公開鍵基盤（PKI）API を提供します。このドキュメントでは、デフォルトの証明書発行者を別の発行者に変更する手順について説明します。PKI 証明書モードの詳細については、ウェブ TLS 証明書の構成をご覧ください。

このドキュメントは、証明書発行者の管理を希望するプラットフォーム管理者グループ内のユーザーを対象としています。詳細については、 GDC エアギャップ ドキュメントの対象読者をご覧ください。

始める前に

デフォルトの証明書発行者を変更する前に、必要な権限を取得し、環境を準備する必要があります。

IAM ロールをリクエストする

証明書発行者を作成、更新、削除するには、組織 IAM 管理者に連絡して、システム名前空間の PKI インフラ管理者 （infra-pki-admin）ロールをリクエストしてください。

環境を準備する

デフォルトの証明書発行者を変更する

  1. デフォルトの発行者ラベルは次の例のようになります。各名前空間で、1 つの CertificateIssuer に次のラベルが含まれている必要があります。

    pki.security.gdc.goog/is-default-issuer: 'true'

  2. pki-system 名前空間で現在のデフォルトの発行者を表示します。

    kubectl get certificateissuers -n pki-system -l pki.security.gdc.goog/is-default-issuer=true

    出力は次のようになります。

    NAME                    READY   REASON       ISDEFAULT
default-tls-ca-issuer   True    CAaaSReady   true

  3. 既存のデフォルトの発行者を編集し、デフォルトの発行者ラベルを発行者から更新します。

    kubectl label --overwrite certificateissuers CURRENT_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer='false'

    CURRENT_DEFAULT_ISSUER は、 現在のデフォルトの証明書発行者の名前に置き換えます。

  4. 新しい CertificateIssuer をデフォルトの発行者として設定するには、ラベルを更新します。

    kubectl label --overwrite certificateissuers NEW_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer=true

    NEW_DEFAULT_ISSUER は、新しい デフォルトの証明書発行者の名前に置き換えます。

証明書の再発行を手動でトリガーする

デフォルトの証明書発行者を切り替えても、証明書の有効期限が近づいていない限り、Distributed Cloud は以前のデフォルトの証明書発行者によって署名された証明書を自動的に再発行しません。新しいデフォルトの発行者で証明書をすぐに 再発行するには、 PKI ウェブ証明書を手動で再発行するをご覧ください。