证书配置文件
本主题提供了可用于各种证书颁发场景的证书配置文件。使用 Google Cloud CLI 或 Google Cloud 控制台创建证书或证书授权机构 (CA) 时,您可以引用这些证书配置文件。
结合使用本文档中指定的 gcloud
引用和 --use-preset-profile
标志,以利用符合您需求的证书配置文件。
不受约束
不受限制的证书配置文件不会添加任何限制条件。
根不限
以下列方式可访问:root_unconstrained
以下证书配置文件既没有扩展密钥使用,也没有路径长度限制。
此 CA 可以颁发任何类型的证书,包括从属 CA。这些值适用于自签名根 CA,但您也可以将其用于不受限制的从属 CA。
keyUsage:
baseKeyUsage:
certSign: true
crlSign: true
caOptions:
isCa: true
从属不约束路径长度为零
以下列方式可访问:subordinate_unconstrained_pathlen_0
您可以使用以下证书配置文件配置没有扩展密钥用途 (EKU) 限制但路径长度限制不允许颁发任何从属 CA 的 CA。这些值适用于颁发最终实体证书的 CA。
keyUsage:
baseKeyUsage:
certSign: true
crlSign: true
caOptions:
isCa: true
maxIssuerPathLength: 0
双向 TLS
双向传输层安全协议 (mTLS) 证书可用于服务器 TLS、客户端 TLS 或双向 TLS 身份验证。
从属 mTLS
以下列方式可访问:subordinate_mtls_pathlen_0
您可以使用以下证书配置文件来配置 CA,让其能够颁发可用于服务器 TLS、客户端 TLS 或双向 TLS 身份验证的最终实体证书。此证书配置文件的路径长度限制不允许其他从属 CA。这些值适用于从属 CA,但也可用于直接颁发最终实体证书的自签名 CA。
keyUsage:
baseKeyUsage:
certSign: true
crlSign: true
extendedKeyUsage:
serverAuth: true
clientAuth: true
caOptions:
isCa: true
maxIssuerPathLength: 0
最终实体 mTLS
以下列方式可访问:leaf_mtls
您可以使用以下证书配置文件配置与客户端 TLS、服务器 TLS 或 mTLS 兼容的最终实体证书。例如 SPIFFE 证书。
keyUsage:
baseKeyUsage:
digitalSignature: true
keyEncipherment: true
extendedKeyUsage:
serverAuth: true
clientAuth: true
caOptions:
isCa: false
客户端 TLS
客户端 TLS 证书用于对客户端进行身份验证。
从属客户端 TLS
以下列方式可访问:subordinate_client_tls_pathlen_0
您可以使用以下证书配置文件来配置能颁发客户端 TLS 的最终实体证书的 CA。此证书配置文件的路径长度限制不允许其他从属 CA。这些值适用于从属 CA,但也可用于直接颁发最终实体证书的自签名 CA。
keyUsage:
baseKeyUsage:
certSign: true
crlSign: true
extendedKeyUsage:
clientAuth: true
caOptions:
isCa: true
maxIssuerPathLength: 0
最终实体客户端 TLS
以下列方式可访问:leaf_client_tls
您可以使用以下证书配置文件配置与客户端 TLS 兼容的最终实体证书。例如,客户端向 TLS 防火墙验证自身的身份。
keyUsage:
baseKeyUsage:
digitalSignature: true
keyEncipherment: true
extendedKeyUsage:
clientAuth: true
caOptions:
isCa: false
服务器 TLS
服务器 TLS 证书用于对服务器进行身份验证。
从属服务器 TLS
以下列方式可访问:subordinate_server_tls_pathlen_0
您可以使用以下证书配置文件来配置能颁发服务器 TLS 的最终实体证书的 CA。此证书配置文件的路径长度限制不允许其他从属 CA。这些值适用于从属 CA,但也可用于直接颁发最终实体证书的自签名 CA。
keyUsage:
baseKeyUsage:
certSign: true
crlSign: true
extendedKeyUsage:
serverAuth: true
caOptions:
isCa: true
maxIssuerPathLength: 0
最终实体服务器 TLS
以下列方式可访问:leaf_server_tls
您可以使用以下证书配置文件配置与服务器 TLS 兼容的最终实体证书。
keyUsage:
baseKeyUsage:
digitalSignature: true
keyEncipherment: true
extendedKeyUsage:
serverAuth: true
caOptions:
isCa: false
代码签名
使用数字签名进行代码身份验证。
从属代码签名
以下列方式可访问:subordinate_code_signing_pathlen_0
您可以使用以下证书配置文件来配置 CA,该 CA 可颁发可用于代码签名的最终实体证书。此证书配置文件的路径长度限制不允许其他从属 CA。这些值适用于从属 CA,但也适用于直接颁发最终实体证书的自签名 CA。
keyUsage:
baseKeyUsage:
certSign: true
crlSign: true
extendedKeyUsage:
codeSigning: true
caOptions:
isCa: true
maxIssuerPathLength: 0
最终实体代码签名
以下列方式可访问:leaf_code_signing
您可以使用以下证书配置文件配置与代码签名兼容的最终实体证书。
keyUsage:
baseKeyUsage:
digitalSignature: true
contentCommitment: true
extendedKeyUsage:
codeSigning: true
caOptions:
isCa: false
S/MIME
S/MIME 是一种电子邮件签名协议,可帮助提高电子邮件的安全性。
从属 S/MIME
以下列方式可访问:subordinate_smime_pathlen_0
您可以使用以下证书配置文件来配置 CA,让其能够颁发可用于 S/MIME 的最终实体证书。此证书配置文件的路径长度限制不允许其他从属 CA。这些值适用于从属 CA,但也可用于直接颁发最终实体证书的自签名 CA。
keyUsage:
baseKeyUsage:
certSign: true
crlSign: true
extendedKeyUsage:
emailProtection: true
caOptions:
isCa: true
maxIssuerPathLength: 0
最终实体 S/MIME
以下列方式可访问:leaf_smime
您可以使用以下证书配置文件配置与 S/MIME 兼容的最终实体证书。S/MIME 通常用于端到端电子邮件完整性或加密。
keyUsage:
baseKeyUsage:
digitalSignature: true
contentCommitment: true
extendedKeyUsage:
emailProtection: true
caOptions:
isCa: false