Membuat root certificate authority

Dokumen ini menjelaskan langkah-langkah untuk membuat root certificate authority (CA) di Google Distributed Cloud (GDC) dengan air gap.

Root CA, yang berada di puncak hierarki infrastruktur kunci publik (PKI), menetapkan trust anchor untuk PKI. Untuk menggunakan sertifikat dalam PKI, perangkat, software, dan komponen harus memercayai root CA. Konfigurasi ini memastikan kepercayaan pada semua sertifikat yang dikeluarkan oleh root CA, sehingga memungkinkan kepercayaan pada PKI itu sendiri.

Dokumen ini ditujukan untuk audiens dalam grup operator aplikasi, seperti developer aplikasi atau data scientist, yang mengelola siklus proses sertifikat dalam project mereka. Untuk mengetahui informasi selengkapnya, lihat Audiens untuk dokumentasi GDC dengan air gap.

Sebelum memulai

Sebelum dapat membuat root certificate authority, Anda harus meminta izin yang diperlukan dan menyiapkan lingkungan Anda.

Meminta peran IAM

Untuk membuat, memperbarui, dan menghapus root certificate authority, hubungi IAM Org Admin Anda untuk meminta peran Certificate Authority Service Admin (certificate-authority-service-admin).

Menyiapkan lingkungan Anda

Membuat root certificate authority

Untuk membuat root CA, terapkan resource kustom ke instance air-gapped Distributed Cloud Anda.

  1. Buat resource CertificateAuthority dan simpan sebagai file YAML bernama root-ca.yaml:

    apiVersion: pki.security.gdc.goog/v1
kind: CertificateAuthority
metadata:
  name: ROOT_CA_NAME
  namespace: USER_PROJECT_NAMESPACE
spec:
  caProfile:
    commonName: COMMON_NAME
    duration: DURATION
    renewBefore: RENEW_BEFORE
    organizations:
    - ORGANIZATION
    organizationalUnits:
    - ORGANIZATIONAL_UNITS
    countries:
    - COUNTRIES
    localities:
    - LOCALTIES
    provinces:
    - PROVINCES
    streetAddresses:
    - STREET_ADDRESSES
    postalCodes:
    - POSTAL_CODES
  caCertificate:
    selfSignedCA: {}
  certificateProfile:
    keyUsage:
      - digitalSignature
      - keyCertSign
      - crlSign
    extendedKeyUsage:
      - EXTENDED_KEY_USAGE
  secretConfig:
    secretName: SECRET_NAME
    privateKeyConfig:
      algorithm: KEY_ALGORITHM
      size: KEY_SIZE
  acme:
    enabled: ACME_ENABLED

    Ganti variabel berikut:

    Variabel Deskripsi
    ROOT_CA_NAME Nama root CA.
    USER_PROJECT_NAMESPACE Nama namespace tempat project pengguna berada.
    COMMON_NAME Nama umum sertifikat CA.
    DURATION Masa berlaku sertifikat CA yang diminta. Tentukan sebagai durasi dalam jam (misalnya, 1000h). Unit seperti hari (d) atau tahun (y) tidak didukung.
    SECRET_NAME Nama Secret Kubernetes yang menyimpan kunci pribadi dan sertifikat CA yang ditandatangani.

    Variabel berikut adalah nilai opsional:

    Variabel Deskripsi
    RENEW_BEFORE Waktu rotasi sebelum masa berlaku sertifikat CA berakhir.
    ORGANIZATION Organisasi yang akan digunakan pada sertifikat.
    ORGANIZATIONAL_UNITS Unit organisasi yang akan digunakan pada sertifikat.
    COUNTRIES Negara yang akan digunakan pada sertifikat.
    LOCALITIES Kota yang akan digunakan pada sertifikat.
    PROVINCES Negara Bagian atau Provinsi yang akan digunakan pada sertifikat.
    STREET_ADDRESSES Alamat jalan yang akan digunakan pada sertifikat.
    POSTAL_CODES Kode pos yang akan digunakan pada sertifikat.
    EXTENDED_KEY_USAGE Penggunaan kunci yang diperluas untuk sertifikat. Jika diberikan, nilai yang diizinkan adalah serverAuth dan clientAuth.
    KEY_ALGORITHYM Algoritma kunci pribadi yang digunakan untuk sertifikat ini. Nilai yang diizinkan adalah RSA, Ed25519, atau ECDSA. Jika ukuran tidak diberikan, nilai defaultnya adalah 256 untuk ECDSA dan 2048 untuk RSA. Ukuran kunci diabaikan untuk Ed25519.
    KEY_SIZE Ukuran, dalam bit, kunci pribadi untuk sertifikat ini bergantung pada algoritmanya. RSA mengizinkan 2048, 3072, 4096, atau 8192 (default 2048). ECDSA mengizinkan 256, 384, atau 521 (default 256). Ed25519 mengabaikan ukuran.
    ACME_ENABLED Jika disetel ke true, CA akan berjalan dalam mode ACME dan menampilkan URL server ACME. Kemudian, Anda dapat menggunakan klien dan protokol ACME untuk mengelola sertifikat.

  2. Terapkan resource kustom ke instance Distributed Cloud Anda:

    kubectl apply -f root-ca.yaml –kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG

    Ganti MANAGEMENT_API_SERVER_KUBECONFIG dengan jalur ke file kubeconfig server Management API.

  3. Verifikasi kesiapan root CA. Biasanya diperlukan waktu sekitar 40 menit agar CA siap:

    kubectl --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG -n USER_PROJECT_NAMESPACE get certificateauthority.pki.security.gdc.goog/ROOT_CA_NAME -ojson | jq -r ' 
.status.conditions[] | select( .type as $id | "Ready" | index($id))

    Outputnya akan terlihat mirip seperti berikut:

    {
  "lastTransitionTime": "2025-01-24T17:09:19Z",
  "message": "CA reconciled",
  "observedGeneration": 2,
  "reason": "Ready",
  "status": "True",
  "type": "Ready"
}

Mencantumkan CA

Untuk mencantumkan semua resource Certificate Authority Service di instance air-gap Distributed Cloud Anda, lakukan hal berikut:

Gunakan parameter certificateauthorities untuk mencantumkan semua resource CertificateAuthority:

   kubectl --kubeconfig MANAGEMENT_API_SERVER_KUBECONFIG -n USER_PROJECT_NAMESPACE get certificateauthorities

Outputnya akan terlihat mirip seperti berikut:

   NAMESPACE    NAME              READY   REASON   AGE
   foo          root-ca           True    Ready    7h24m
   foo          sub-ca            True    Ready    7h24m