Crea una autoridad certificadora subordinada
En esta página, se describe cómo crear autoridades certificadoras (AC) subordinadas en un grupo de AC.
Las AC subordinadas son responsables de emitir certificados directamente a las entidades finales, como usuarios, computadoras y dispositivos. Las AC subordinadas están firmadas de manera criptográfica por una AC superior, que suele ser la AC raíz. Como resultado, los sistemas que confían en la AC raíz, confían de manera automática en las AC subordinadas y en los certificados de entidad final que emiten las AC subordinadas.
Antes de comenzar
- Asegúrate de tener los roles de IAM de Administrador de operaciones de CA Service (
roles/privateca.caManager
) o Administrador del servicio de CA (roles/privateca.admin
). Para obtener más información, consulta Configura las políticas de IAM. - Crea un grupo de CA.
- Selecciona tu AC raíz.
Crea una AC subordinada
Las AC subordinadas son más fáciles de revocar y rotar que las AC raíz. Si tienes varias situaciones de emisión de certificados, puedes crear una AC subordinada para cada una de ellas. Agregar varias AC subordinadas a un grupo de AC te ayuda a lograr un mejor balanceo de cargas de las solicitudes de certificados y una mayor cantidad de QPS efectivas.
Para crear una AC subordinada, haz lo siguiente:
Console
Ve a la página Certificate Authority Service en la consola de Google Cloud.
Haz clic en la pestaña Administrador de CA.
Haz clic en Crear CA.
Selecciona el tipo de AC
- Haz clic en CA subordinada.
- Haz clic en Root CA is in Google Cloud.
- En el campo Válido para, ingresa la duración durante la cual deseas que sea válido el certificado de la AC.
- Opcional: Elige el nivel para la AC. El nivel predeterminado es Enterprise. Para obtener más información, consulta Selecciona los niveles de operación.
- Haz clic en Región (Region) a fin de seleccionar una ubicación para la CA. Para obtener más información, consulta Ubicaciones.
- Opcional: En Estado de inicialización, selecciona el estado en el que debe estar la CA cuando se cree.
- Opcional: En Configurar una situación de emisión, haz clic en Perfil de certificado y selecciona el perfil de certificado que mejor se adapte a tus requisitos de la lista. Para obtener más información, consulta Perfiles de certificados.
- Haz clic en Siguiente.
- En el campo Organización (O), ingresa el nombre de tu empresa.
- Opcional: En el campo Unidad organizativa (UO), ingresa la subdivisión de la empresa o la unidad de negocios.
- Opcional: En el campo Nombre del país, ingresa un código de país de dos letras.
- Opcional: En el campo Nombre del estado o provincia, ingresa el nombre del estado.
- Opcional: En el campo Nombre de la localidad, ingresa el nombre de tu ciudad.
- En el campo Nombre común de la AC (CN), ingresa el nombre de la AC.
- En el campo ID de grupo, ingresa el nombre del grupo de AC. No puedes cambiar el grupo de AC después de crearla.
- Haz clic en Siguiente.
- Elige el algoritmo clave que mejor se adapte a tus necesidades. Para obtener información sobre cómo decidir el algoritmo de clave adecuado, consulta Elige un algoritmo de clave.
- Haz clic en Siguiente.
Los siguientes pasos son opcionales. Si omites estos pasos, se aplicará la configuración predeterminada.
- Elige si deseas usar un bucket de Cloud Storage administrado por Google o uno autoadministrado.
- Elige si deseas inhabilitar la publicación de listas de revocación de certificados (CRL) y certificados de la AC en el bucket de Cloud Storage.
- Haz clic en Siguiente.
Si no seleccionas un bucket de Cloud Storage autoadministrado, CA Service crea un bucket administrado por Google en la misma ubicación que la AC.
La publicación de CRL y de certificado de CA en un bucket de Cloud Storage está habilitada de forma predeterminada. Para inhabilitar estos parámetros de configuración, haz clic en los botones de activación.
Los siguientes pasos son opcionales.
Si quieres agregar etiquetas a la AC, haz lo siguiente:
- Haz clic en Agregar elemento.
- En el campo Clave 1, ingresa la clave de la etiqueta.
- En el campo Valor 1, ingresa el valor de la etiqueta.
- Si deseas agregar otra etiqueta, haz clic en Agregar elemento. Luego, agrega la clave y el valor de la etiqueta como se menciona en los pasos 2 y 3.
- Haz clic en Siguiente.
Revisa cuidadosamente toda la configuración y, luego, haz clic en Crear para crear la AC.
gcloud
Crea un grupo de AC para la AC subordinada:
gcloud privateca pools create SUBORDINATE_POOL_ID
Reemplaza SUBORDINATE_POOL_ID por el nombre del grupo de AC.
Para obtener más información sobre la creación de grupos de AC, consulta Crea un grupo de AC.
Para obtener más información sobre el comando
gcloud privateca pools create
, consulta gcloud privateca pool create.Crea una AC subordinada en el grupo de AC creado.
gcloud privateca subordinates create SUBORDINATE_CA_ID \ --pool=SUBORDINATE_POOL_ID \ --issuer-pool=POOL_ID \ --key-algorithm="ec-p256-sha256" \ --subject="CN=Example Server TLS CA, O=Example LLC"
La siguiente instrucción se muestra cuando se crea la AC subordinada.
Created Certificate Authority [projects/my-project-pki/locations/us-west1/caPools/SUBORDINATE_POOL_ID/certificateAuthorities/SUBORDINATE_CA_ID].
Para ver una lista completa de las opciones de configuración, ejecuta el siguiente comando
gcloud
:gcloud privateca subordinates create --help
El comando muestra ejemplos para crear una AC subordinada cuya entidad emisora se encuentre en CA Service o en otro lugar.
Terraform
Java
Para autenticarte en CA Service, configura las credenciales predeterminadas de la aplicación. Si deseas obtener más información, consulta Configura la autenticación para un entorno de desarrollo local.
Python
Para autenticarte en CA Service, configura las credenciales predeterminadas de la aplicación. Si deseas obtener más información, consulta Configura la autenticación para un entorno de desarrollo local.
Habilita una AC subordinada
Para habilitar una AC subordinada, haz lo siguiente:
Console
Ve a la página Certificate Authority Service en la consola de Google Cloud.
Haz clic en la pestaña Administrador de CA.
En Autoridades de certificación, selecciona la AC que deseas activar.
Haz clic en
Activar.En el cuadro de diálogo que se abre, haz clic en Descargar CSR para descargar el archivo de CSR con codificación PEM que la AC emisora puede firmar.
Haz clic en Siguiente.
En el campo Subir cadena de certificados, haz clic en Explorar.
Sube el archivo del certificado firmado con la extensión
.crt
.Haz clic en Activar.
gcloud
Para habilitar una AC subordinada recién creada, ejecuta el siguiente comando:
gcloud privateca subordinates enable SUBORDINATE_CA_ID --pool=SUBORDINATE_POOL_ID
Reemplaza lo siguiente:
- SUBORDINATE_CA_ID: Es el identificador único de la AC subordinada.
- SUBORDINATE_POOL_ID: Es el nombre del grupo de AC que contiene la AC subordinada.
Para obtener más información sobre el comando gcloud privateca subordinates enable
, consulta gcloud privateca subordinates enable.
Terraform
Establece el campo desired_state
en ENABLED
en la AC subordinada y ejecuta terraform apply
.
¿Qué sigue?
- Obtén más información sobre cómo solicitar certificados.
- Obtén más información sobre las plantillas y políticas de emisión.