Prácticas recomendadas para Certificate Authority Service

En esta página, se describen algunas de las prácticas recomendadas que pueden ayudarte a usar Certificate Authority Service de forma más eficaz.

Roles y control de acceso

Mediante Identity and Access Management (IAM), puedes asignar roles a usuarios. Los roles son un paquete de uno o más permisos. Los roles en IAM pueden ser básicos, predefinidos o personalizados.

Tipo de rol de IAM Descripción
Básico Incluye los roles de propietario, editor y visualizador que existían antes de la introducción de IAM.
Predefinido Google crea y mantiene las funciones predefinidas.
Personalizado Los roles personalizados están definidos por el usuario y te permiten agrupar uno o más permisos compatibles para satisfacer tus necesidades específicas. Para obtener más información, consulta Comprende los roles personalizados.

No se debe asignar más de una función a las personas en un momento dado. Además, todas las personas que tengan una función asignada deben estar informadas y capacitados de manera adecuada sobre sus responsabilidades y prácticas de seguridad. Si quieres asignar un conjunto diverso de permisos a una persona, te recomendamos que crees un rol personalizado con IAM. Para obtener información sobre cómo crear un rol personalizado, consulta Crea y administra roles personalizados.

Para obtener información sobre los permisos y las funciones de IAM predefinidas, consulta Control de acceso con IAM.

Niveles de servicio de CA

Los niveles se establecen para el grupo de autoridades certificadoras (AC). A todas las AC de un grupo de AC se les asigna el mismo nivel. CA Service ofrece dos niveles de servicio operativo para los grupos de AC: DevOps y Enterprise. Estos dos niveles ofrecen a las organizaciones un equilibrio de capacidades de administración del ciclo de vida y rendimiento en función de los requisitos operativos.

  • Te recomendamos que consideres cuidadosamente el uso del nivel de DevOps, ya que no admite la revocación de certificados.
  • En el caso de las AC del nivel DevOps, los certificados emitidos no se almacenan. Solo puedes hacer un seguimiento de los certificados revisando los Registros de auditoría de Cloud, si están habilitados. Te recomendamos que uses el nivel de DevOps solo para certificados de corta duración que no necesites revocar, como los que se usan con microservicios, contenedores, certificados de sesión, máquinas virtuales no persistentes y otras necesidades aisladas.
  • Una infraestructura de clave pública (PKI) puede constar de una combinación de AC en los niveles de DevOps y Enterprise para satisfacer varias necesidades.
  • En la mayoría de los casos, recomendamos que uses el nivel empresarial para crear grupos de AC que emitan certificados a otras AC y entidades finales.

Para obtener más información sobre los niveles de Servicio de CA, consulta Selecciona los niveles de operación.

Para obtener información sobre cómo habilitar los Registros de auditoría de Cloud, consulta Configura registros de auditoría de acceso a los datos.

Claves de firma de CA

El control adecuado del par de claves criptográficas subyacente para los certificados de la AC determina la seguridad y la integridad que ofrece la PKI. En esta sección, se enumeran algunas prácticas recomendadas para proteger las claves de firma de CA.

Módulos de seguridad de hardware (HSM)

Puedes configurar el servicio de CA para que use claves de Google y de Google que utilicen Cloud HSM para generar, almacenar y usar claves. Sin embargo, si deseas usar una clave de Cloud KMS existente, puedes usarla durante la configuración de la AC.

Para obtener más información sobre Cloud HSM, consulta Cloud HSM.

Para obtener más información sobre cómo importar una clave criptográfica a Cloud HSM o Cloud KMS, consulta Importa una clave a Cloud KMS.

Claves administradas por Google frente a claves administradas por el cliente

Si no tienes un requisito operativo o de seguridad personalizado que requiera la administración directa de claves fuera del servicio de CA, te recomendamos que uses claves que sean propiedad de Google y que administre Google. Las claves que son propiedad de Google y las que administra Google proporcionan un sistema de generación, almacenamiento y utilización de claves simplificado y seguro de forma predeterminada.

Las claves que son propiedad de Google y las que administra Google usan Cloud HSM, por lo que ninguna otra organización puede acceder a ellas ni usarlas. El acceso a las claves de firma de Cloud HSM y su uso se pueden auditar mediante Registros de auditoría de Cloud.

Para obtener más información sobre los modelos de administración del ciclo de vida, consulta Cómo administrar recursos.

Importa AC externas

No es posible importar certificados emitidos anteriormente al Servicio de CA. Te recomendamos que no importes al CA Service una AC externa existente con certificados emitidos.

Custodia de claves

CA Service usa Cloud KMS y Cloud HSM para proteger las claves contra la exportación y extracción. Si tu organización quiere mantener una copia de sus claves de AC, puedes generarlas con herramientas locales. Para usar esas claves con CA Service, importa las claves a Cloud KMS y Cloud HSM. Luego, puede guardar las claves en custodia de forma segura y conservar su posesión hasta que sea necesaria en el futuro.

Para obtener información sobre cómo importar claves a Cloud KMS, consulta Importa una clave a Cloud KMS.

Algoritmos y tamaños de claves de CA

Los algoritmos y tamaños de las claves criptográficas definen el tipo y la seguridad del par de claves asimétricas que se usa para firmar certificados y listas de revocación de certificados (CRL). Las AC pueden permanecer por un período relativamente largo. Por lo tanto, es importante que las claves sean lo suficientemente fuertes como para ser seguras durante todo el ciclo de vida previsto de la AC.

Si tienes un entorno de PKI bien definido con dispositivos modernos, el algoritmo de firma digital de curva elíptica (ECDSA) ofrece el mejor rendimiento y seguridad. En organizaciones con una amplia gama de sistemas y la incertidumbre sobre la asistencia clave, el uso de claves basadas en RSA podría ser suficiente.

También hay otras consideraciones para las claves de firma de AC, como el cumplimiento de las certificaciones, la compatibilidad con otros sistemas y los modelos de amenaza específicos. Considera tu caso de uso cuando elijas un tamaño de clave y un algoritmo.

Sin importar la vida útil de la AC o el tamaño de la clave y el algoritmo, te recomendamos que configures un proceso para la rotación regular de las claves de AC.

Si quieres obtener más información para elegir un algoritmo para firmar claves, consulta Elige un algoritmo de clave.

¿Qué sigue?