‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

הוספה של רשויות אישורים מותאמות אישית לחבילת האישורים של המערכת

בדף הזה מוסבר איך להוסיף אישורים של רשות אישורים (CA) בהתאמה אישית לחבילת האמון של המערכת ב-Google Distributed Cloud (GDC) עם air gap. חבילת אמון היא אוסף של רשויות אישורים מהימנות, שבהן השירותים של הארגון משתמשים כדי לאמת את הזהות של שירותים אחרים. כשאתם מוסיפים רשויות אישורים בהתאמה אישית, אתם יכולים לקבוע באילו אישורים הארגון שלכם ייתן אמון, וכך לאפשר חיבורים מאובטחים למשאבים הפנימיים ולנקודות קצה מהימנות אחרות.

בדף הזה מוסבר איך להוסיף רשויות אישורים בהתאמה אישית לחבילת האמון של מערכת trust-store-root-ext. כשמשנים את חבילת האמון של trust-store-root-ext, השינויים מופצים באופן אוטומטי לחבילה של trust-store-global-root-ext, וכך רשויות האישורים המותאמות אישית זמינות בכל האזורים.

הדף הזה מיועד למשתמשים בקבוצת האדמינים של הפלטפורמה (כמו אדמינים ממחלקת IT) שצריכים לנהל ולאבטח את המשאבים של הארגון ב-GDC. מידע נוסף זמין במאמר קהלי היעד של מסמכי התיעוד של GDC עם air gap.

לפני שמתחילים

כדי להוסיף אישורי CA בהתאמה אישית לחבילת האמון של המערכת, צריך לבקש את ההרשאות הנדרשות ולהכין את הסביבה.

בקשת תפקידים ב-IAM

כדי ליצור, לקרוא, לעדכן ולמחוק סודות, צריך לפנות למנהל חשבון ארגוני ב-IAM ולבקש את התפקיד אדמין של מאגר אישורים (trust-store-admin).

הכנת הסביבה

אם עדיין לא עשיתם את זה, מורידים ומתקינים את ה-gdcloud CLI.
מתקינים את ה-CLI של kubectl.
נכנסים ל-gdcloud CLI.

יצירת קובץ kubeconfig

כדי ליצור את קובץ ה-kubeconfig של אשכול התשתית של הארגון, בצעו את השלבים הבאים והגדירו אותו כמשתנה KUBECONFIG לשימוש בהמשך.

הצגת כל האזורים הזמינים:
```
gdcloud zones list
```
שימו לב לשם של האזור שמארח את המשאב בהתאמה אישית.
מגדירים את משתנה הסביבה ZONE לאזור שמארח את אשכול התשתית של הארגון:
```
export ZONE="ZONE"
```
מחליפים את ZONE בשם האזור.
מגדירים את משתנה הסביבה ORG_INFRA_CLUSTER:
```
export ORG_INFRA_CLUSTER="ORG_NAME-infra"
```
מחליפים את ORG_NAME בשם הארגון, למשל org-1.
יוצרים את קובץ ה-kubeconfig של אשכול התשתית של הארגון באזור היעד, ומאמתים את פרטי הכניסה:
```
export KUBECONFIG=${HOME}/${ORG_INFRA_CLUSTER:?}-kubeconfig.yaml
rm ${KUBECONFIG:?}
gdcloud clusters get-credentials ${ORG_INFRA_CLUSTER:?} --zone ${ZONE:?}
[[ $(kubectl config current-context) == *${ORG_INFRA_CLUSTER:?}* ]] && echo "Success. Your kubeconfig is at $KUBECONFIG" || echo "Failure"
```
הפקודה rm ${KUBECONFIG:?} מסירה את קובץ kubeconfig הקיים בספריית הבית. כשיוצרים קובץ kubeconfig חדש, הוא מחליף את הקובץ הקיים. אם אתם לא רוצים להחליף או להסיר את הקובץ הקיים, אתם יכולים לגבות אותו במיקום בטוח אחר.

הוספת רשויות אישורים (CA) בהתאמה אישית לחבילת האמינות של המערכת

כדי להוסיף רשויות אישורים בהתאמה אישית לחבילת האמון של מערכת trust-store-root-ext, צריך להכין את המשאב של רשות האישורים בהתאמה אישית ואז להחיל אותו על אשכול התשתית של הארגון.

מגדירים את משתנה הסביבה לקובץ ה-PEM של ה-CA בהתאמה אישית:
```
export CUSTOM_CA_PEM_FILE=CUSTOM_CA_PEM_FILE
```
מחליפים את CUSTOM_CA_PEM_FILE בנתיב לקובץ שמכיל את אישורי ה-CA בהתאמה אישית, בקידוד בפורמט PEM.

הערה: אם רוצים לעדכן את רשימת רשויות האישורים בהתאמה אישית, צריך לשנות ישירות את התוכן של היעד CUSTOM_CA_PEM_FILE ולחזור על השלבים בקטע הזה.

מקודדים את אישורי ה-CA באמצעות Base64:

export ENCODED_CA=$(cat "${CUSTOM_CA_PEM_FILE:?}" | base64 -w 0)

יוצרים את קובץ ה-YAML של הסוד (custom-ca.yaml) שמטרגט את חבילת האמון של המערכת trust-store-root-ext:

cat > custom-ca.yaml <<EOF
apiVersion: v1
kind: Secret
metadata:
  annotations:
    security.private.gdc.goog/bundles: trust-store-root-ext
  name: custom-ca
  namespace: cert-manager
data:
  ca.crt: ${ENCODED_CA:?}
EOF

דוגמה לקובץ custom-ca.yaml:

apiVersion: v1
kind: Secret
metadata:
  annotations:
    security.private.gdc.goog/bundles: trust-store-root-ext
  name: custom-ca
  namespace: cert-manager
data:
   ca.crt: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSU...LQWZRSUE9PQotLS0tLUVORCBDRVJUSUZJQ0FURS0tLS0tCg==

מפעילים את הסוד באשכול התשתית של הארגון באמצעות הפקודה kubectl:
```
 kubectl apply -f custom-ca.yaml --kubeconfig ${KUBECONFIG:?}
```
בשלב הזה, רשויות האישורים המותאמות אישית יהיו זמינות לשירותי GDC, באמצעות עדכון אוטומטי של חבילות האמון trust-store-root-ext ו-trust-store-global-root-ext.

מוודאים שרשויות האישורים זמינות

מוודאים שרשויות האישורים בהתאמה אישית נוספו לחבילת האמון:

מורידים את הגרסה העדכנית של חבילת האמון של trust-store-root-ext לפי השלבים שמפורטים במאמר אחזור חבילות אמון של GDC.

אם רוצים לאחזר את רשויות האישורים המותאמות אישית מאזור אחר, צריך להשתמש בחבילת האמון של trust-store-global-root-ext.
פותחים את קובץ חבילת האישורים שהורדתם ומוודאים שכל אישור CA מותאם אישית שצוין על ידי CUSTOM_CA_PEM_FILE נמצא.

מחפשים כל אישור CA מותאם אישית בנפרד. הסדר שבו הם מופיעים יכול להשתנות, והם לא בהכרח יופיעו בסוף הרשימה.

כך נראה trust-store-root-ext לדוגמה:
```
-----BEGIN CERTIFICATE-----
MIIC8DCCAdigAwIBAgIQPLOPa...
-----END CERTIFICATE-----
... other CAs ...
-----BEGIN CERTIFICATE-----
   < Imported CA data>
-----END CERTIFICATE-----
... other CAs ...
-----BEGIN CERTIFICATE-----
MIIDAzCCAeugAwIBAgIRAIV2...
-----END CERTIFICATE-----
```