Configura criteri IAM

In questa pagina viene descritto come configurare i criteri di Identity and Access Management (IAM) che consentono ai membri di creare e gestire le risorse di Certificate Authority Service. Per ulteriori informazioni su IAM, consulta la Panoramica di IAM.

Criteri IAM generali

In CA Service, concedi i ruoli IAM agli utenti o agli account di servizio per la creazione e la gestione delle risorse del servizio CA. Puoi aggiungere queste associazioni di ruoli ai seguenti livelli:

• Livello di pool di CA per gestire l'accesso a un pool di CA specifico e alle CA in quel pool.
• A livello di progetto o di organizzazione per concedere l'accesso a tutti i pool di CA in quell'ambito.

I ruoli vengono ereditati, se concessi a un livello di risorsa superiore. Ad esempio, un utente a cui viene concesso il ruolo Controllore (roles/privateca.auditor) a livello di progetto può visualizzare tutte le risorse del progetto. I criteri IAM impostati su un pool di autorità di certificazione (CA) vengono ereditati da tutte le CA in quel pool di CA.

Non è possibile concedere ruoli IAM sui certificati e sulle risorse CA.

Criteri IAM condizionali

Se hai un pool di CA condiviso che potrebbe essere utilizzato da più utenti autorizzati a richiedere tipi diversi di certificati, puoi definire condizioni IAM per applicare l'accesso basato su attributi per eseguire determinate operazioni su un pool di CA.

Le associazioni di ruoli condizionali IAM consentono di concedere l'accesso alle entità solo se sono soddisfatte le condizioni specificate. Ad esempio, se il ruolo Richiedente certificato è associato all'utente [e-mail] in un pool di CA a condizione che le SAN DNS richieste siano un sottoinsieme di ['[e-mail]', '[e-mail]'], l'utente potrà richiedere certificati dallo stesso pool di CA solo se la SAN richiesta è uno di questi due valori consentiti. Puoi impostare le condizioni nelle associazioni IAM utilizzando le espressioni CEL (Common Expression Language). Queste condizioni possono aiutarti a limitare ulteriormente il tipo di certificati che un utente può richiedere. Per informazioni sull'utilizzo delle espressioni CEL per le condizioni IAM, consulta il dialetto CEL (Common Expression Language) per i criteri IAM.

Prima di iniziare

• Abilitare l'API.
• Crea un pool di CA e CA seguendo le istruzioni in una qualsiasi delle guide rapide.
• Ulteriori informazioni sui ruoli IAM disponibili per Certificate Authority Service.

Configurazione delle associazioni di criteri IAM a livello di progetto

Gli scenari seguenti descrivono come concedere agli utenti l'accesso alle risorse di CA Service a livello di progetto.

Gestione delle risorse

Un amministratore del servizio CA (roles/privateca.admin) dispone delle autorizzazioni per gestire tutte le risorse del servizio CA e impostare criteri IAM su pool di CA e modelli di certificato.

Nota: ti consigliamo di assegnare il ruolo Amministratore servizio CA (roles/privateca.admin) in modo selettivo e di implementare un controllo dell'accesso speciale per questo ruolo per impedire l'accesso o l'utilizzo non autorizzato.

Per assegnare il ruolo Amministratore servizi CA (roles/privateca.admin) a un utente a livello di progetto, segui queste istruzioni:

Console

1. Nella console Google Cloud, vai alla pagina IAM.

   Vai a Identity and Access Management

2. Seleziona il progetto.

3. Fai clic su Concedi l'accesso.

4. Nel campo Nuove entità, inserisci l'indirizzo email o un altro identificatore dell'entità.

5. Nell'elenco Seleziona un ruolo, seleziona il ruolo Amministratore servizio CA.

6. Fai clic su Salva.

gcloud

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=MEMBER \
  --role=roles/privateca.admin

Sostituisci quanto segue:

• PROJECT_ID: l'identificatore univoco del progetto.
• MEMBER: l'account utente o di servizio a cui vuoi assegnare il ruolo Amministratore di servizio CA.

Il flag --role assume il ruolo IAM che vuoi assegnare al membro.

Crea le risorse

Un CA Service Operations Manager (roles/privateca.caManager) può creare, aggiornare ed eliminare pool di CA e CA. Questo ruolo consente inoltre al chiamante di revocare i certificati emessi dalle CA nel pool di CA.

Per assegnare il ruolo CA Service Operations Manager (roles/privateca.caManager) a un utente a livello di progetto, segui queste istruzioni:

Console

1. Nella console Google Cloud, vai alla pagina IAM.

   Vai a Identity and Access Management

2. Seleziona il progetto.

3. Fai clic su Concedi l'accesso.

4. Nel campo Nuove entità, inserisci l'indirizzo email o un altro identificatore dell'entità.

5. Nell'elenco Seleziona un ruolo, seleziona il ruolo CA Service Operations Manager.

6. Fai clic su Salva.

gcloud

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=MEMBER \
  --role=roles/privateca.caManager

Sostituisci quanto segue:

• PROJECT_ID: l'identificatore univoco del progetto.
• MEMBER: l'account utente o di servizio a cui vuoi aggiungere il ruolo IAM.

Il flag --role assume il ruolo IAM che vuoi assegnare al membro.

Per ulteriori informazioni sul comando gcloud projects add-iam-policy-binding, consulta gcloud projects add-iam-policy-binding.

Facoltativamente, per creare una CA utilizzando una chiave Cloud KMS esistente, il chiamante deve essere anche amministratore della chiave Cloud KMS.

L'amministratore di Cloud KMS (roles/cloudkms.admin) ha accesso completo a tutte le risorse Cloud KMS, tranne le operazioni di crittografia e decriptazione. Per ulteriori informazioni sui ruoli IAM per Cloud KMS, consulta Cloud KMS: autorizzazioni e ruoli.

Per concedere il ruolo Amministratore Cloud KMS (roles/cloudkms.admin) a un utente, segui queste istruzioni:

Console

1. Nella console Google Cloud, vai alla pagina Cloud Key Management Service.

   Vai a Cloud Key Management Service

2. In Keyring, fai clic sul keyring che contiene la chiave di firma CA.

3. Fai clic sulla chiave corrispondente alla chiave di firma CA.

4. Se il riquadro informazioni non è visibile, fai clic su Mostra riquadro informazioni. Quindi, fai clic su Autorizzazioni.

5. Fai clic su Aggiungi entità.

6. Nel campo Nuove entità, inserisci l'indirizzo email o un altro identificatore dell'entità.

7. Nell'elenco Seleziona un ruolo, seleziona il ruolo Amministratore Cloud KMS.

8. Fai clic su Salva.

gcloud

gcloud kms keys add-iam-policy-binding KEY \
  --keyring=KEYRING --location=LOCATION \
  --member=MEMBER \
  --role=roles/cloudkms.admin

Sostituisci quanto segue:

• KEY: l'identificatore univoco della chiave.
• KEYRING: il keyring che contiene la chiave. Per ulteriori informazioni sui keyring, consulta la sezione Keyring.
• MEMBER: l'account utente o di servizio per cui vuoi aggiungere l'associazione IAM.

Il flag --role assume il ruolo IAM che vuoi assegnare al membro.

Per ulteriori informazioni sul comando gcloud kms keys add-iam-policy-binding, consulta gcloud kms Keys add-iam-policy-binding.

Controllo delle risorse

Un controllore del servizio CA (roles/privateca.auditor) ha accesso in lettura a tutte le risorse nel servizio CA. Se concesso per un pool di CA specifico, concede l'accesso in lettura al pool di CA. Se il pool di CA è nel livello Enterprise, l'utente con questo ruolo può anche visualizzare i certificati e i CRL emessi dalle CA nel pool di CA. Assegna questo ruolo alle persone responsabili della convalida della sicurezza e delle operazioni del pool di CA.

Per assegnare il ruolo CA Service Auditor (roles/privateca.auditor) a un utente a livello di progetto, segui queste istruzioni:

Console

1. Nella console Google Cloud, vai alla pagina IAM.

   Vai a Identity and Access Management

2. Seleziona il progetto.

3. Fai clic su Concedi l'accesso.

4. Nel campo Nuove entità, inserisci l'indirizzo email o un altro identificatore dell'entità.

5. Nell'elenco Seleziona un ruolo, scegli il ruolo Revisore servizio CA.

6. Fai clic su Salva.

gcloud

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=MEMBER \
  --role=roles/privateca.auditor

Sostituisci quanto segue:

• PROJECT_ID: l'identificatore univoco del progetto.
• MEMBER: l'identificatore univoco dell'utente a cui vuoi assegnare il ruolo CA Service Auditor (roles/privateca.auditor).

Il flag --role assume il ruolo IAM che vuoi assegnare al membro.

Configurazione delle associazioni di criteri IAM a livello di risorsa

Questa sezione descrive come configurare le associazioni di criteri IAM per una determinata risorsa nel servizio CA.

Gestione dei pool di autorità di certificazione

Puoi concedere il ruolo Amministratore servizio CA (roles/privateca.admin) a livello di risorsa per gestire un pool di CA o un modello di certificato specifico.

Console

1. Nella console Google Cloud, vai alla pagina Certificate Authority Service.

   Vai a Certificate Authority Service

2. Fai clic sulla scheda Gestore pool di CA, quindi seleziona il pool di CA per cui vuoi concedere le autorizzazioni.

3. Se il riquadro informazioni non è visibile, fai clic su Mostra riquadro informazioni. Quindi, fai clic su Autorizzazioni.

4. Fai clic su Aggiungi entità.

5. Nel campo Nuove entità, inserisci l'indirizzo email o un altro identificatore dell'entità.

6. Nell'elenco Seleziona un ruolo, seleziona il ruolo Amministratore servizio CA.

7. Fai clic su Salva. All'entità viene concesso il ruolo selezionato nella risorsa del pool di CA.

gcloud

Per impostare il criterio IAM, esegui questo comando:

gcloud privateca pools add-iam-policy-binding POOL_ID \
  --location LOCATION \
  --member MEMBER \
  --role roles/privateca.admin

Sostituisci quanto segue:

• POOL_ID: l'identificatore univoco del pool di CA per cui vuoi impostare il criterio IAM.
• LOCATION: la località del pool di CA. Per l'elenco completo delle località, consulta Località.
• MEMBER: l'account utente o di servizio a cui vuoi assegnare il ruolo IAM.

Il flag --role assume il ruolo IAM che vuoi assegnare al membro.

Per ulteriori informazioni sul comando gcloud privateca pools add-iam-policy-binding, consulta gcloud privateca pool add-iam-policy-binding.

Segui gli stessi passaggi per concedere il ruolo Amministratore servizio CA su un modello di certificato.

Puoi anche concedere il ruolo CA Service Operations Manager (roles/privateca.caManager) su un pool di CA specifico. Questo ruolo consente al chiamante di revocare i certificati emessi dalle CA in quel pool di CA.

Console

1. Nella console Google Cloud, vai alla pagina Certificate Authority Service.

   Vai a Certificate Authority Service

2. Fai clic sulla scheda Gestore pool di CA, quindi seleziona il pool di CA per cui vuoi concedere le autorizzazioni.

3. Se il riquadro informazioni non è visibile, fai clic su Mostra riquadro informazioni. Quindi, fai clic su Autorizzazioni.

4. Fai clic su Aggiungi entità.

5. Nel campo Nuove entità, inserisci l'indirizzo email o un altro identificatore dell'entità.

6. Nell'elenco Seleziona un ruolo, seleziona il ruolo CA Service Operations Manager.

7. Fai clic su Salva. All'entità viene concesso il ruolo selezionato nella risorsa del pool di CA a cui appartiene la CA.

gcloud

Per concedere il ruolo per un pool di CA specifico, esegui questo comando gcloud:

gcloud privateca pools add-iam-policy-binding POOL_ID \
  --location LOCATION \
  --member MEMBER \
  --role roles/privateca.caManager

Sostituisci quanto segue:

• POOL_ID: l'identificatore univoco del pool di CA.
• LOCATION: la località del pool di CA. Per l'elenco completo delle località, consulta Località.
• MEMBER: l'identificatore univoco dell'utente a cui vuoi assegnare il ruolo Gestore delle operazioni del servizio CA (roles/privateca.caManager).

Il flag --role assume il ruolo IAM che vuoi assegnare al membro.

Per ulteriori informazioni sul comando gcloud privateca pools add-iam-policy-binding, vedi gcloud privateca pool add-iam-policy-binding.

Creazione di certificati

Concedi il ruolo di gestore dei certificati dei servizi CA (roles/privateca.certificateManager) agli utenti per consentire loro di inviare richieste di emissione di certificati a un pool di CA. Questo ruolo concede anche l'accesso in lettura alle risorse del servizio CA. Per consentire solo la creazione di certificati senza accesso in lettura, concedi il ruolo CA Service Certificate Requester (roles/privateca.certificateRequester). Per ulteriori informazioni sui ruoli IAM per CA Service, consulta Controllo dell'accesso con IAM.

Per concedere all'utente l'accesso in modo da creare certificati per un'autorità di certificazione specifica, segui le istruzioni riportate di seguito.

Attenzione: ti consigliamo di concedere il ruolo di gestore dei certificati del servizio CA in modo selettivo su un pool di CA. Se nel pool di CA è presente una CA che consente di emettere certificati CA, il chiamante potrebbe creare certificati CA subordinati che concatenano a tale CA. Per ulteriori informazioni sui criteri di emissione dei certificati, consulta la pagina relativa a modelli e criteri di emissione.

Console

1. Nella console Google Cloud, vai alla pagina Certificate Authority Service.

   Vai a Certificate Authority Service

2. Fai clic su Gestore pool di CA, quindi seleziona il pool di CA per cui vuoi concedere le autorizzazioni.

3. Se il riquadro informazioni non è visibile, fai clic su Mostra riquadro informazioni. Quindi, fai clic su Autorizzazioni.

4. Fai clic su Aggiungi entità.

5. Nel campo Nuove entità, inserisci l'indirizzo email o un altro identificatore dell'entità.

6. Nell'elenco Seleziona un ruolo, seleziona il ruolo Gestore certificati servizio CA.

7. Fai clic su Salva. All'entità viene concesso il ruolo selezionato nella risorsa del pool di CA a cui appartiene la CA.

gcloud

gcloud privateca pools add-iam-policy-binding 'POOL_ID' \
  --location LOCATION \
  --member MEMBER \
  --role roles/privateca.certificateManager

Sostituisci quanto segue:

• POOL_ID: l'identificatore univoco del pool di CA.
• LOCATION: la località del pool di CA. Per l'elenco completo delle località, consulta Località.
• MEMBER: l'identificatore univoco dell'utente a cui vuoi assegnare il ruolo Gestore dei certificati del servizio CA (roles/privateca.certificateManager).

Il flag --role assume il ruolo IAM che vuoi assegnare al membro.

Aggiunta di associazioni di criteri IAM a un modello di certificato

Per aggiungere un criterio IAM su un determinato modello di certificato, segui queste istruzioni:

Console

1. Nella console Google Cloud, vai alla pagina Certificate Authority Service.

   Vai a Certificate Authority Service

2. Fai clic sulla scheda Gestore modelli e seleziona il modello di certificato per il quale vuoi concedere le autorizzazioni.

3. Se il riquadro informazioni non è visibile, fai clic su Mostra riquadro informazioni. Quindi, fai clic su Autorizzazioni.

4. Fai clic su Aggiungi entità.

5. Nel campo Nuove entità, inserisci l'indirizzo email o un altro identificatore dell'entità.

6. Seleziona un ruolo da concedere dall'elenco a discesa Seleziona un ruolo.

7. Fai clic su Salva.

gcloud

gcloud privateca templates add-iam-policy-binding TEMPLATE_ID \
  --location=LOCATION \
  --member=MEMBER \
  --role=ROLE

Sostituisci quanto segue:

• LOCATION: la posizione del modello di certificato. Per l'elenco completo delle sedi, consulta Località.
• MEMBER: l'account utente o di servizio per il quale vuoi aggiungere l'associazione dei criteri IAM.
• ROLE: il ruolo che vuoi concedere al membro.

Per ulteriori informazioni sul comando gcloud privateca templates add-iam-policy-binding, consulta gcloud privateca models add-iam-policy-binding.

Per saperne di più sulla modifica del ruolo IAM di un utente, consulta Concessione dell'accesso.

Rimozione delle associazioni di criteri IAM

Puoi rimuovere l'associazione di un criterio IAM esistente utilizzando il comando remove-iam-policy-binding di Google Cloud CLI.

Per rimuovere un criterio IAM su un determinato pool di CA, utilizza il seguente comando gcloud:

gcloud

gcloud privateca pools remove-iam-policy-binding POOL_ID \
  --location=LOCATION \
  --member=MEMBER \
  --role=ROLE

Sostituisci quanto segue:

• LOCATION: la località del pool di CA. Per l'elenco completo delle località, consulta Località.
• MEMBER: l'account utente o di servizio per cui vuoi rimuovere l'associazione dei criteri IAM.
• ROLE: il ruolo che vuoi rimuovere per il membro.

Per ulteriori informazioni sul comando gcloud privateca pools remove-iam-policy-binding, consulta gcloud privateca pool remove-iam-policy-binding.

Per rimuovere un criterio IAM su un determinato modello di certificato, utilizza il seguente comando gcloud:

gcloud

gcloud privateca templates remove-iam-policy-binding TEMPLATE_ID \
  --location=LOCATION \
  --member=MEMBER \
  --role=ROLE

Sostituisci quanto segue:

• LOCATION: la posizione del modello di certificato. Per l'elenco completo delle sedi, consulta Località.
• MEMBER: l'account utente o di servizio per cui vuoi rimuovere l'associazione dei criteri IAM.
• ROLE: il ruolo che vuoi rimuovere per il membro.

Per ulteriori informazioni sul comando gcloud privateca templates remove-iam-policy-binding, consulta gcloud privateca models remove-iam-policy-binding.

Per saperne di più sulla rimozione del ruolo IAM di un utente, consulta Revoca dell'accesso.

Passaggi successivi

• Esamina i ruoli IAM per CA Service e le autorizzazioni associate.
• Scopri di più sui modelli e sulle norme di emissione.
• Scopri come gestire i controlli dei criteri.