Crea una AC subordinada a partir de una AC externa

En esta página, se describe cómo crear una autoridad certificadora (AC) subordinada que se encadena con una AC raíz externa.

Si tienes una jerarquía de infraestructura de clave pública (PKI) existente que contiene una AC raíz y AC subordinadas, puedes mantener la misma AC raíz y crear una AC subordinada en CA Service que se encadena a tu AC raíz externa. La clave y las operaciones de la AC raíz externa permanecen fuera de Google Cloud. Solo puedes usar la AC raíz externa para emitir el certificado de la AC subordinado a Google Cloud. Cualquier carga de trabajo que confíe en la AC raíz externa confía de inmediato en la AC subordinada. Luego, puedes usar la AC subordinada para emitir certificados sin necesidad de recurrir a la AC raíz externa en el tiempo de ejecución.

Antes de comenzar

• Asegúrate de tener los roles de IAM de Administrador de operaciones de CA Service (roles/privateca.caManager) o Administrador del servicio de CA (roles/privateca.admin). Para obtener más información, consulta Configura las políticas de IAM.
• Identifica la AC raíz externa.
• Define el nombre, el asunto, el período de validez y el tamaño de la clave para la AC subordinada. Para obtener más información, consulta Determina la configuración de CA.

Crea una AC subordinada a partir de una AC externa

Para crear una AC subordinada a partir de una AC externa, debes seguir estos pasos:

1. Genera la solicitud de firma de certificado (CSR) de CA subordinada: El primer paso es generar una CSR para la AC subordinada y, luego, descargarla.

2. Obtén el certificado de la AC subordinada firmado por la AC raíz externa: El segundo paso es enviar la CSR a la AC raíz externa para que la firme. Asegúrate de seguir las instrucciones específicas de la AC raíz externa para enviar CSR y obtener certificados firmados.

3. Importa el certificado de la AC subordinada firmado al Servicio de CA: El último paso es subir la cadena de certificados PEM firmado con Google Cloud CLI o la consola de Google Cloud.

Nota: Cuando se crea una AC subordinada que se encadena con una AC externa, las propiedades incluidas en la CSR que genera el servicio de CA deben conservarse en el certificado de la AC firmado por la AC externa. La AC externa puede agregar extensiones adicionales, siempre y cuando conserve las propiedades en la CSR. Por ejemplo, si la CSR contiene una restricción de ruta de interacciones, el certificado de la AC subordinado firmado también debe incluir la misma restricción.

En la siguiente sección, se muestra cómo crear una AC subordinada a partir de una AC raíz externa.

Crea una CSR

Console

1. Visita el menú Seguridad > Certificate Authority Service en la consola de Google Cloud.

   Ir a Certificate Authority Service

2. Haz clic en la pestaña Administrador de CA.

3. Haz clic en Crear CA.

Selecciona un tipo de AC:

1. Haz clic en CA subordinada.
2. En el campo Válido por, ingresa la duración durante la cual deseas que los certificados emitidos por el certificado de la AC sean válidos.
3. Haz clic en Root CA is external.
4. Elige una de las opciones disponibles para el Nivel de CA. Para obtener más información, consulta Selecciona los niveles de operación.
5. En Regionalización, selecciona una ubicación de AC de la lista.
6. Haz clic en Siguiente.

Configurar nombre del asunto de AC

1. En el campo Organización (O), ingresa el nombre de tu empresa.
2. Opcional: En el campo Unidad organizativa (UO), ingresa la subdivisión de la empresa o la unidad de negocios.
3. Opcional: En el campo Nombre del país, ingresa un código de país de dos letras.
4. Opcional: En el campo Nombre del estado o provincia, ingresa el nombre del estado.
5. Opcional: En el campo Nombre de la localidad, ingresa el nombre de tu ciudad.
6. En el campo Nombre común de la AC (CN), ingresa el nombre de la AC.
7. En el campo ID de grupo, ingresa el nombre del grupo de AC. No puedes cambiar el grupo de AC después de crearla.
8. Haz clic en Siguiente.

Configura el algoritmo y el tamaño de la clave de AC

1. Elige el algoritmo clave que mejor se adapte a tus necesidades. Para obtener información sobre cómo decidir el algoritmo de clave adecuado, consulta Elige un algoritmo de clave.
2. Haz clic en Siguiente.

Configurar artefactos de AC

Los siguientes pasos son opcionales. Si omites estos pasos, se aplicará la configuración predeterminada.

1. Elige si deseas usar un bucket de Cloud Storage administrado por Google o uno autoadministrado.

Si no seleccionas un bucket de Cloud Storage autoadministrado, CA Service crea un bucket administrado por Google en la misma ubicación que la AC.

2. Elige si deseas inhabilitar la publicación de listas de revocación de certificados (CRL) y certificados de la AC en el bucket de Cloud Storage.

La publicación de CRL y de certificado de CA en un bucket de Cloud Storage está habilitada de forma predeterminada. Para inhabilitar estos parámetros de configuración, haz clic en los botones de activación.

3. Haz clic en Siguiente.

Agregar etiquetas

Los siguientes pasos son opcionales.

Si quieres agregar etiquetas a la AC, haz lo siguiente:

1. Haz clic en Agregar elemento.
2. En el campo Clave 1, ingresa la clave de la etiqueta.
3. En el campo Valor 1, ingresa el valor de la etiqueta.
4. Si deseas agregar otra etiqueta, haz clic en Agregar elemento. Luego, agrega la clave y el valor de la etiqueta como se menciona en los pasos 2 y 3.
5. Haz clic en Siguiente.

Revisar la configuración

Revisa cuidadosamente toda la configuración y, luego, haz clic en Crear para crear la AC.

Nota: La AC se crea en el estado AWAITING_USER_ACTIVATION. Si no activas la AC subordinada dentro de los 30 días posteriores a su creación, el servicio de CA borra la AC.

Descarga la CSR

1. En la página Autoridad certificado, selecciona la AC que deseas activar.
2. Haz clic en Activar.

3. En el cuadro de diálogo que se abre, haz clic en Descargar CSR.

   

gcloud

1. A fin de crear un grupo de AC para la AC subordinada, ejecuta el siguiente comando. Para obtener más información, consulta Crea un grupo de AC.

   gcloud privateca pools create SUBORDINATE_POOL_ID
   

   Reemplaza SUBORDINATE_POOL_ID por el nombre del grupo de AC.

2. Para crear una AC subordinada en el grupo de AC creado, ejecuta el siguiente comando gcloud. El comando gcloud también crea una CSR y la guarda en el archivo FILE_NAME.

   gcloud privateca subordinates create SUBORDINATE_CA_ID \
     --pool=SUBORDINATE_POOL_ID \
     --create-csr --csr-output-file=FILE_NAME \
     --key-algorithm="ec-p256-sha256" \
     --subject="CN=Example Server TLS CA, O=Example LLC"
   

   Reemplaza lo siguiente:

   • SUBORDINATE_CA_ID: Es el identificador único de la AC subordinada.
   • SUBORDINATE_POOL_ID: Es el nombre del grupo de AC.
   • FILE_NAME: Es el nombre del archivo en el que se escribe la CSR con codificación PEM.

   La marca --key-algorithm toma el algoritmo criptográfico que quieres usar para crear una clave de Cloud HSM administrada para la AC.

   La marca --subject toma el nombre X.501 del asunto del certificado.

   Para obtener más información sobre el comando gcloud privateca subordinates create, consulta gcloud privateca subordinates create.

La siguiente instrucción se muestra cuando se crea la CSR:

Created Certificate Authority [projects/my-project-pki/locations/us-west1/caPools/SUBORDINATE_POOL_ID/certificateAuthorities/SUBORDINATE_CA_ID] and saved CSR to FILE_NAME.

Para ver una lista completa de las opciones de configuración disponibles, ejecuta el siguiente comando:

gcloud privateca subordinates create --help

Si pierdes la CSR, puedes volver a descargarla con el siguiente comando:

gcloud privateca subordinates get-csr SUBORDINATE_CA_ID \
  --pool=SUBORDINATE_POOL_ID

Terraform

1. Para crear un grupo de AC y una AC subordinada en ese grupo, usa el siguiente archivo de configuración:

   resource "google_privateca_ca_pool" "default" {
     name     = "test-ca-pool"
     location = "us-central1"
     tier     = "ENTERPRISE"
   }
   
   resource "google_privateca_certificate_authority" "sub-ca" {
     pool = google_privateca_ca_pool.default.name
     certificate_authority_id = "my-certificate-authority-sub"
     location = "us-central1"
     config {
       subject_config {
         subject {
           organization = "HashiCorp"
           common_name = "my-subordinate-authority"
         }
         subject_alt_name {
           dns_names = ["hashicorp.com"]
         }
       }
       x509_config {
         ca_options {
           is_ca = true
           # Force the sub CA to only issue leaf certs
           max_issuer_path_length = 0
         }
         key_usage {
           base_key_usage {
             cert_sign = true
             crl_sign = true
           }
           extended_key_usage {
           }
         }
       }
     }
     lifetime = "86400s"
     key_spec {
       algorithm = "RSA_PKCS1_4096_SHA256"
     }
     type = "SUBORDINATE"
   }
   

2. Para recuperar la CSR, agrega la siguiente configuración.

   data "google_privateca_certificate_authority" "sub-ca-csr" {
     location = "us-central1"
     pool = google_privateca_ca_pool.default.name
     certificate_authority_id = google_privateca_certificate_authority.sub-ca.certificate_authority_id
   }
   
   output "csr" {
     value = data.google_privateca_certificate_authority.sub-ca-csr.pem_csr
   }
   

3. Ejecuta terraform apply.

Precaución: Las AC subordinadas nuevas se crean en el estado AWAITING_USER_ACTIVATION hasta que se activan con el certificado PEM firmado emitido por su AC superior. Si no activas las AC subordinadas dentro de los 30 días posteriores a su creación, se borrarán. Para activar una AC subordinada, consulta Sube el certificado firmado.
Para obtener información sobre los estados de AC, consulta Estados de AC.

Firma la CSR

Pasa el archivo CSR generado al miembro de tu organización responsable de la emisión de certificados y solicita que lo firme. Los pasos específicos dependen de la configuración de tu organización.

Puedes experimentar con una AC raíz simple mediante los siguientes comandos openssl:

Shell

Establece la configuración de la nueva AC raíz.

cat > root.conf <<- EOM
[ req ]
distinguished_name = req_distinguished_name
x509_extensions    = v3_ca
prompt             = no
[ req_distinguished_name ]
commonName = Sample Root
[ v3_ca ]
subjectKeyIdentifier=hash
basicConstraints=critical, CA:true
EOM

Crea la AC raíz nueva.

openssl req -x509 -new -nodes -config root.conf -keyout rootCA.key \
  -days 3000 -out rootCA.crt -batch

Configura las extensiones que se deben agregar al nuevo certificado de AC subordinado.

cat > extensions.conf <<- EOM
basicConstraints=critical,CA:TRUE,pathlen:0
keyUsage=critical,keyCertSign,cRLSign
extendedKeyUsage=critical,serverAuth
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid
EOM

Firma la CSR de la AC subordinada con esta raíz.

openssl x509 -req -in FILE_NAME -CA rootCA.crt -CAkey rootCA.key \
  -CAcreateserial -out subordinate.crt -days 1095 -sha256 -extfile extensions.conf

Concatena toda la cadena de certificados en un solo archivo.

cat subordinate.crt > chain.crt
cat rootCA.crt >> chain.crt

Nota: De forma predeterminada, openssl no incluye extensiones de la CSR en el certificado firmado. Se requiere extensions.conf para agregar extensiones a un certificado firmado, aunque los CSR emitidos por el Servicio de CA incluyen extensiones.

Subir el certificado firmado

Para activar una AC subordinada con un certificado firmado, haz lo siguiente:

Console

1. Ve a la página Certificate Authority Service en la consola de Google Cloud.

   Ir a Certificate Authority Service

2. Haz clic en la pestaña Administrador de CA.

3. En Autoridades de certificación, elige la AC subordinada que creaste.

4. Haz clic en Activar.

5. En el cuadro de diálogo que se abre, haz clic en Descargar CSR para descargar el archivo de CSR con codificación PEM que la AC emisora puede firmar.

6. Haz clic en Siguiente.

7. En el campo Subir cadena de certificados, haz clic en Explorar.

8. Sube el archivo del certificado firmado con la extensión .crt.

9. Haz clic en Activar.

gcloud

gcloud privateca subordinates activate SUBORDINATE_CA_ID \
  --pool=SUBORDINATE_POOL_ID \
  --pem-chain ./chain.crt

Reemplaza lo siguiente:

• SUBORDINATE_CA_ID: Es el identificador único de la AC subordinada que deseas activar.
• SUBORDINATE_POOL_ID: Es el nombre del grupo de AC que contiene la AC subordinada.

La marca --pem-chain es obligatoria. Esta marca toma el archivo que contiene la lista de certificados con codificación PEM. La lista de certificados comienza con el certificado de la AC actual y finaliza con el certificado de la AC raíz.

Para obtener más información sobre el comando gcloud privateca subordinates activate, consulta gcloud privateca subordinated activate.

Se muestra la siguiente instrucción cuando se sube el certificado firmado:

Activated certificate authority [SUBORDINATE_CA_ID].

Terraform

1. Guarda el certificado de la AC firmado de forma local como subordinate.crt.
2. Guarda los certificados de la AC del firmante de forma local como rootCA.crt.
3. Quita la configuración para recuperar la CSR que se mencionó en el primer paso, mientras se intenta recuperar la CSR, lo que no está permitido después de la activación de la CA.

4. Actualiza la configuración de la AC subordinada con los siguientes campos y ejecuta terraform apply.

     pem_ca_certificate     = file("subordinate.crt")
     subordinate_config {
       pem_issuer_chain {
           pem_certificates = [file("rootCA.crt")] 
       }
     }
   

   Si la cadena de la entidad emisora incluye más de una AC, especifica el valor como [file("intermediateCA.cert"), file("rootCA.crt")].

Nota: Las AC subordinadas se establecen en el estado STAGED después de la activación del usuario. Una vez que se haya verificado que la AC funciona como se espera, se puede habilitar a fin de comenzar a emitir certificados con balanceo de cargas para el grupo de AC. Para habilitar una AC, consulta Habilita una AC subordinada. Para obtener información sobre los estados de AC, consulta Estados de AC.

¿Qué sigue?

• Obtén más información sobre cómo solicitar certificados.
• Obtén más información sobre las plantillas y políticas de emisión.