Créer une autorité de certification subordonnée à partir d'une autorité de certification externe

Cette page explique comment créer une autorité de certification subordonnée qui se lie à une AC racine externe.

Si vous disposez d'une hiérarchie d'infrastructure à clé publique (PKI) existante contenant un racine et subordonnées, vous pouvez maintenir la même AC racine et créer une une autorité de certification subordonnée dans le service d'autorités de certification qui s'enchaîne avec votre CA racine. La clé et les opérations de l'autorité de certification racine externe restent en dehors de Google Cloud. Vous ne pouvez utiliser que l'autorité de certification racine externe pour émettre le certificat CA subordonné à Google Cloud. L'autorité de certification subordonnée est immédiatement approuvée par toute charge de travail qui fait confiance à l'autorité de certification racine externe. Vous pouvez ensuite utiliser l'autorité de certification subordonnée pour émettre des certificats sans avoir à revenir à l’AC racine externe lors de l’exécution.

Avant de commencer

• Assurez-vous de disposer du rôle CA Service Operation Manager (roles/privateca.caManager) ou l'administrateur du service CA (roles/privateca.admin) rôle IAM. Pour en savoir plus, consultez Configurez des stratégies IAM.
• Identifiez l'autorité de certification racine externe.
• Définissez le nom, l'objet, la période de validité et la taille de la clé de l'autorité de certification subordonnée. Pour en savoir plus, consultez Déterminer les paramètres de l'autorité de certification.

Créer une autorité de certification subordonnée à partir d'une autorité de certification externe

Pour créer une autorité de certification subordonnée à partir d'une autorité de certification externe, procédez comme suit:

1. Générer la demande de signature de certificat CA subordonnée: la première consiste à générer une requête de signature de certificat pour l'autorité de certification subordonnée, puis à la télécharger.

2. Obtenir le certificat CA subordonné signé par l'autorité de certification racine externe: la seconde consiste à envoyer la requête de signature de certificat à l'autorité de certification racine externe pour signature. Vérifiez que vous avez suivre les instructions spécifiques de l'autorité de certification racine externe pour envoyer des demandes de signature de certificat ; l'obtention de certificats signés.

3. Importez le certificat CA subordonné signé dans Certificate Authority Service: La dernière étape consiste à importer la chaîne de certificats PEM signées à l'aide de la Google Cloud CLI ou la console Google Cloud.

Remarque :Lors de la création d'une autorité de certification subordonnée reliée à une autorité de certification externe, la les propriétés incluses dans la requête de signature de certificat générée par le service CA doivent être conservés dans le certificat CA signé par l’AC externe. L'autorité de certification externe peut ajouter des extensions supplémentaires tant que les propriétés de la requête de signature de certificat sont conservées. Par exemple, si la requête de signature de certificat contient une restriction de longueur de chemin, les valeurs certificat CA subordonnée doit également inclure la même restriction de longueur de chemin d'accès.

La section suivante explique comment créer une autorité de certification subordonnée à partir d'une une autorité de certification racine externe.

Créer une requête de signature de certificat

Console

1. Accédez à la page Sécurité > le menu Certificate Authority Service dans console Google Cloud.

   Accéder à Certificate Authority Service

2. Cliquez sur l'onglet Gestionnaire d'autorités de certification.

3. Cliquez sur Créer une autorité de certification.

Sélectionnez le type d'autorité de certification:

1. Cliquez sur Autorité de certification subordonnée.
2. Dans le champ Valide pour, saisissez la durée souhaitée. les certificats émis par le certificat de l’autorité de certification pour être valides.
3. Cliquez sur L'autorité de certification racine est externe.
4. Choisissez l'une des options disponibles pour le niveau d'autorité de certification. Pour plus plus d'informations, consultez la section Sélectionner les niveaux d'opération.
5. Sous Régionalisation, sélectionnez un emplacement d'autorité de certification dans le champ liste.
6. Cliquez sur Suivant.

Configurer le nom d'objet de l'autorité de certification <ph type="x-smartling-placeholder">

</ph>
1. Dans le champ Organisation (O), saisissez le nom de votre entreprise.
2. Facultatif: dans le champ Unité organisationnelle (UO), saisissez l'entreprise. ou une unité commerciale.
3. Facultatif: dans le champ Nom du pays, saisissez un code pays à deux lettres.
4. (Facultatif) Dans le champ Nom de l'État ou de la province, saisissez le nom votre état.
5. Facultatif: dans le champ Nom de la localité, saisissez le nom de votre ville.
6. Dans le champ Nom commun de l'autorité de certification (CN), saisissez le nom de l'autorité de certification.
7. Dans le champ ID du pool, saisissez le nom du pool d'autorités de certification. Vous ne pouvez pas modifier après la création de l'autorité de certification.
8. Cliquez sur Suivant.

Configurer l'algorithme et la taille de clé de l'autorité de certification <ph type="x-smartling-placeholder">

</ph>
1. Choisissez l'algorithme clé qui répond le mieux à vos besoins. Pour plus d'informations sur le choix de l'algorithme de clé approprié, consultez Choisissez un algorithme de clé.
2. Cliquez sur Suivant.

Configurer les artefacts d'autorité de certification

Les étapes suivantes sont facultatives. Si vous ignorez ces étapes, s'appliquent.

1. Choisissez si vous souhaitez utiliser un compte géré par Google ou autogéré bucket Cloud Storage.

Si vous ne sélectionnez pas de bucket Cloud Storage autogéré, CA Service crée un bucket géré par Google en tant qu'autorité de certification.

2. Indiquez si vous souhaitez désactiver la publication du certificat listes de révocation (LRC) et certificats CA sur Cloud Storage bucket.

Publication d'une liste de révocation de certificats et d'un certificat CA sur un bucket Cloud Storage est activé par défaut. Pour désactiver ces paramètres, cliquez sur les boutons d'activation.

3. Cliquez sur Suivant.

Ajouter des libellés

Les étapes suivantes sont facultatives.

Si vous souhaitez ajouter des étiquettes à l'autorité de certification, procédez comme suit:

1. Cliquez sur Ajouter un élément.
2. Dans le champ Clé 1, saisissez la clé d'étiquette.
3. Dans le champ Valeur 1, saisissez la valeur du libellé.
4. Pour ajouter un autre libellé, cliquez sur Ajouter un élément. Ajoutez ensuite le paramètre "étiquette clé" et "valeur", comme indiqué aux étapes 2 et 3.
5. Cliquez sur Suivant.

Vérifier les paramètres

Vérifiez attentivement tous les paramètres, puis cliquez sur Créer pour créer l'autorité de certification.

Remarque :L'autorité de certification est créée dans l'état AWAITING_USER_ACTIVATION. Si vous ne activer l’AC subordonnée dans les 30 jours suivant sa création, CA Service supprime l'autorité de certification.

Télécharger la requête de signature de certificat

1. Sur la page Autorité de certification, sélectionnez l'autorité de certification que vous souhaitez activer.
2. Cliquez sur Activer.

3. Dans la boîte de dialogue qui s'ouvre, cliquez sur Télécharger la requête de signature de certificat.

   

gcloud

1. Pour créer un pool d'autorités de certification pour l'autorité de certification subordonnée, exécutez la commande suivante. Pour en savoir plus, consultez la section Créer un pool d'autorités de certification.

   gcloud privateca pools create SUBORDINATE_POOL_ID
   

   Remplacez SUBORDINATE_POOL_ID par le nom du pool d'autorités de certification.

2. Pour créer une autorité de certification subordonnée dans le pool d'autorités de certification créé, exécutez la commande gcloud suivante. La commande gcloud crée également une requête de signature de certificat et l'enregistre dans le fichier FILE_NAME.

   gcloud privateca subordinates create SUBORDINATE_CA_ID \
     --pool=SUBORDINATE_POOL_ID \
     --create-csr --csr-output-file=FILE_NAME \
     --key-algorithm="ec-p256-sha256" \
     --subject="CN=Example Server TLS CA, O=Example LLC"
   

   Remplacez les éléments suivants :

   • SUBORDINATE_CA_ID: identifiant unique de l'autorité de certification subordonnée.
   • SUBORDINATE_POOL_ID: nom du pool d'autorités de certification.
   • FILE_NAME: nom du fichier dans lequel la requête de signature de certificat encodée au format PEM est écrite.

   L'option --key-algorithm utilise l'algorithme cryptographique que vous souhaitez utiliser pour créer une clé Cloud HSM gérée pour l'autorité de certification.

   L'option --subject utilise le nom X.501 de l'objet du certificat.

   Pour plus d'informations sur la commande gcloud privateca subordinates create, consultez la page gcloud privateca subordinates create.

L'instruction suivante est renvoyée lors de la création de la requête de signature de certificat:

Created Certificate Authority [projects/my-project-pki/locations/us-west1/caPools/SUBORDINATE_POOL_ID/certificateAuthorities/SUBORDINATE_CA_ID] and saved CSR to FILE_NAME.

Pour obtenir la liste exhaustive des paramètres disponibles, exécutez la commande suivante:

gcloud privateca subordinates create --help

Si vous perdez la requête de signature de certificat, vous pouvez la télécharger à nouveau à l'aide de la commande suivante:

gcloud privateca subordinates get-csr SUBORDINATE_CA_ID \
  --pool=SUBORDINATE_POOL_ID

Terraform

1. Pour créer un pool d'autorités de certification et une autorité de certification subordonnée dans ce pool, utilisez le fichier de configuration suivant:

   resource "google_privateca_ca_pool" "default" {
     name     = "test-ca-pool"
     location = "us-central1"
     tier     = "ENTERPRISE"
   }
   
   resource "google_privateca_certificate_authority" "sub-ca" {
     pool = google_privateca_ca_pool.default.name
     certificate_authority_id = "my-certificate-authority-sub"
     location = "us-central1"
     config {
       subject_config {
         subject {
           organization = "HashiCorp"
           common_name = "my-subordinate-authority"
         }
         subject_alt_name {
           dns_names = ["hashicorp.com"]
         }
       }
       x509_config {
         ca_options {
           is_ca = true
           # Force the sub CA to only issue leaf certs
           max_issuer_path_length = 0
         }
         key_usage {
           base_key_usage {
             cert_sign = true
             crl_sign = true
           }
           extended_key_usage {
           }
         }
       }
     }
     lifetime = "86400s"
     key_spec {
       algorithm = "RSA_PKCS1_4096_SHA256"
     }
     type = "SUBORDINATE"
   }
   

2. Pour récupérer la requête de signature de certificat, ajoutez la configuration suivante.

   data "google_privateca_certificate_authority" "sub-ca-csr" {
     location = "us-central1"
     pool = google_privateca_ca_pool.default.name
     certificate_authority_id = google_privateca_certificate_authority.sub-ca.certificate_authority_id
   }
   
   output "csr" {
     value = data.google_privateca_certificate_authority.sub-ca-csr.pem_csr
   }
   

3. Exécutez terraform apply.

Attention :De nouvelles autorités de certification subordonnées sont créées à l'état AWAITING_USER_ACTIVATION. tant qu'ils ne sont pas activés avec le certificat PEM signé émis par leur parent CA. Si vous n'activez pas les autorités de certification subordonnées dans les 30 jours suivant leur création, le les autorités de certification subordonnées sont supprimées. Pour activer une autorité de certification subordonnée, consultez Importez le certificat signé.
Pour plus d'informations sur les états de l'autorité de certification, consultez États de l'autorité de certification.

Signer la requête de signature de certificat

Transmettre le fichier CSR généré au membre de votre organisation responsable de l'émission du certificat et de lui demander de le signer. Le point spécifique selon la configuration de votre organisation.

Vous pouvez faire des tests avec une autorité de certification racine simple à l'aide du les commandes openssl suivantes:

Shell

Configurez les paramètres de la nouvelle autorité de certification racine.

cat > root.conf <<- EOM
[ req ]
distinguished_name = req_distinguished_name
x509_extensions    = v3_ca
prompt             = no
[ req_distinguished_name ]
commonName = Sample Root
[ v3_ca ]
subjectKeyIdentifier=hash
basicConstraints=critical, CA:true
EOM

Créez la nouvelle autorité de certification racine.

openssl req -x509 -new -nodes -config root.conf -keyout rootCA.key \
  -days 3000 -out rootCA.crt -batch

Configurez les extensions à ajouter au nouveau certificat CA subordonné.

cat > extensions.conf <<- EOM
basicConstraints=critical,CA:TRUE,pathlen:0
keyUsage=critical,keyCertSign,cRLSign
extendedKeyUsage=critical,serverAuth
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid
EOM

Signez la requête de signature de certificat de l'autorité de certification subordonnée avec cette racine.

openssl x509 -req -in FILE_NAME -CA rootCA.crt -CAkey rootCA.key \
  -CAcreateserial -out subordinate.crt -days 1095 -sha256 -extfile extensions.conf

Concaténez toute la chaîne de certificats en un seul fichier.

cat subordinate.crt > chain.crt
cat rootCA.crt >> chain.crt

Remarque :Par défaut, openssl n'inclut pas les extensions de la requête de signature de certificat dans le certificat signé. extensions.conf est requis pour ajouter des extensions à un certificat signé, même si les requêtes de signature de certificat émises par le service CA incluent des extensions.

Importer le certificat signé

Pour activer une autorité de certification subordonnée à l'aide d'un certificat signé, procédez comme suit:

Console

1. Accédez à la page Certificate Authority Service dans la console Google Cloud.

   Accéder à Certificate Authority Service

2. Cliquez sur l'onglet Gestionnaire d'autorités de certification.

3. Sous Autorités de certification, sélectionnez l'autorité de certification subordonnée que vous avez créée.

4. Cliquez sur Activer.

5. Dans la boîte de dialogue qui s'ouvre, cliquez sur Download CSR (Télécharger la requête de signature de certificat) pour télécharger Fichier CSR codé au format PEM que l'autorité de certification émettrice peut signer.

6. Cliquez sur Suivant.

7. Dans le champ Importer une chaîne de certificats, cliquez sur Parcourir.

8. Importez le fichier de certificat signé comportant l'extension .crt.

9. Cliquez sur Activer.

gcloud

gcloud privateca subordinates activate SUBORDINATE_CA_ID \
  --pool=SUBORDINATE_POOL_ID \
  --pem-chain ./chain.crt

Remplacez les éléments suivants :

• SUBORDINATE_CA_ID: identifiant unique de l'autorité de certification subordonnée que vous souhaitez activer.
• SUBORDINATE_POOL_ID: nom du pool d'autorités de certification contenant l'autorité de certification subordonnée.

L'option --pem-chain est obligatoire. Cette option utilise le fichier contenant la liste des certificats encodés au format PEM. La liste des certificats commence par le certificat CA actuel et se termine par le certificat CA racine.

Pour plus d'informations sur la commande gcloud privateca subordinates activate, consultez la page sur la commande gcloud privateca subordinates activate.

L'instruction suivante est renvoyée lors de l'importation du certificat signé:

Activated certificate authority [SUBORDINATE_CA_ID].

Terraform

1. Enregistrez localement le certificat CA signé sous le nom subordinate.crt.
2. Enregistrez localement les certificats CA de signataire sous le nom rootCA.crt.
3. Supprimez la configuration d'extraction de requête de signature de certificat mentionnée à la première étape en tant que il tente de récupérer une requête de signature de certificat, ce qui n'est pas autorisé après l'activation de l'autorité de certification.

4. Mettez à jour la configuration de l'autorité de certification subordonnée avec les champs suivants, puis exécutez la commande terraform apply

     pem_ca_certificate     = file("subordinate.crt")
     subordinate_config {
       pem_issuer_chain {
           pem_certificates = [file("rootCA.crt")] 
       }
     }
   

   Si la chaîne d'émetteurs inclut plusieurs autorités de certification, spécifiez la valeur comme suit : [file("intermediateCA.cert"), file("rootCA.crt")]

Remarque :Les autorités de certification subordonnées sont définies sur l'état STAGED après l'activation de l'utilisateur. Une fois s'il a été vérifié que l'autorité de certification fonctionne comme prévu, elle peut être activée pour démarrer émettant des certificats à équilibrage de charge pour le pool d'autorités de certification. Pour activer une autorité de certification, consultez Activez une autorité de certification subordonnée. Pour en savoir plus sur les états de l'autorité de certification, consultez États de l'autorité de certification.

Étape suivante

• Découvrez comment demander des certificats.
• En savoir plus sur les modèles et les règles d'émission