Untergeordnete Zertifizierungsstelle erstellen
Auf dieser Seite wird beschrieben, wie Sie untergeordnete Zertifizierungsstellen in einem Zertifizierungsstellenpool erstellen.
Untergeordnete Zertifizierungsstellen sind dafür verantwortlich, Zertifikate direkt an Endentitäten wie Nutzer, Computer und Geräte auszustellen. Untergeordnete Zertifizierungsstellen werden kryptografisch von einer übergeordneten Zertifizierungsstelle signiert, die oft die Stamm-CA ist. Infolgedessen vertrauen Systeme, die der Stamm-CA vertrauen, automatisch auch den untergeordneten Zertifizierungsstellen und den Zertifikaten der Endentität, die von den untergeordneten Zertifizierungsstellen ausgestellt werden.
Hinweise
- Sie benötigen die IAM-Rolle „CA Service Operation Manager“ (
roles/privateca.caManager
) oder die IAM-Rolle „CA Service Admin“ (roles/privateca.admin
). Weitere Informationen finden Sie unter IAM-Richtlinien konfigurieren. - Erstellen Sie einen CA-Pool.
- Wählen Sie Ihre Stammzertifizierungsstelle aus.
Untergeordnete Zertifizierungsstelle erstellen
Untergeordnete Zertifizierungsstellen lassen sich leichter widerrufen und rotieren als Stamm-CAs. Wenn Sie mehrere Szenarien der Zertifikatsausstellung haben, können Sie für jedes dieser Szenarien eine untergeordnete Zertifizierungsstelle erstellen. Wenn Sie einem CA-Pool mehrere untergeordnete CAs hinzufügen, erreichen Sie ein besseres Load-Balancing von Zertifikatsanfragen und eine höhere Gesamtzahl von effektiven Abfragen pro Sekunde.
So erstellen Sie eine untergeordnete Zertifizierungsstelle:
Console
Rufen Sie in der Google Cloud Console die Seite Certificate Authority Service auf.
Klicken Sie auf den Tab CA-Manager.
Klicken Sie auf Zertifizierungsstelle erstellen.
CA-Typ auswählen
- Klicken Sie auf Untergeordnete Zertifizierungsstelle.
- Klicken Sie auf Root-Zertifizierungsstelle befindet sich in Google Cloud.
- Geben Sie im Feld Gültig für die Dauer ein, für die das CA-Zertifikat gültig sein soll.
- Optional: Wählen Sie die Stufe für die Zertifizierungsstelle aus. Die Standardstufe ist Enterprise. Weitere Informationen finden Sie unter Vorgangsebenen auswählen.
- Klicken Sie auf Region, um einen Standort für die Zertifizierungsstelle auszuwählen. Weitere Informationen finden Sie unter Standorte.
- Optional: Wählen Sie unter Initialisierung des Status den Status aus, in dem sich die Zertifizierungsstelle beim Erstellen befinden muss.
- Optional: Klicken Sie unter Ausstellungsszenario einrichten auf Zertifikatsprofil und wählen Sie aus der Liste das Zertifikatsprofil aus, das Ihren Anforderungen am besten entspricht. Weitere Informationen finden Sie unter Zertifikatsprofile.
- Klicken Sie auf Next (Weiter).
- Geben Sie in das Feld Organisation (O) den Namen Ihres Unternehmens ein.
- Optional: Geben Sie im Feld Organisationseinheit (OE) die Untergruppe oder Geschäftseinheit des Unternehmens ein.
- Optional: Geben Sie in das Feld Landesname einen zweistelligen Ländercode ein.
- Optional: Geben Sie in das Feld Name des Bundesstaats/-landes den Namen Ihres Bundesstaates ein.
- Optional: Geben Sie in das Feld Ortsname den Namen der Stadt ein.
- Geben Sie in das Feld CA Common Name (CN) den Namen der Zertifizierungsstelle ein.
- Geben Sie im Feld Pool-ID den Namen des Zertifizierungsstellenpools ein. Sie können den Zertifizierungsstellenpool nach dem Erstellen der Zertifizierungsstelle nicht mehr ändern.
- Klicken Sie auf Next (Weiter).
- Wählen Sie den Schlüsselalgorithmus aus, der Ihre Anforderungen am besten erfüllt. Informationen zur Auswahl eines geeigneten Schlüsselalgorithmus finden Sie unter Schlüsselalgorithmus auswählen.
- Klicken Sie auf Next (Weiter).
Die folgenden Schritte sind optional. Wenn Sie diese Schritte überspringen, gelten die Standardeinstellungen.
- Wählen Sie aus, ob Sie einen von Google verwalteten oder einen selbstverwalteten Cloud Storage-Bucket verwenden möchten.
- Wählen Sie aus, ob Sie das Veröffentlichen von Zertifikatssperrlisten (CRLs) und CA-Zertifikaten im Cloud Storage-Bucket deaktivieren möchten.
- Klicken Sie auf Next (Weiter).
Wenn Sie keinen selbstverwalteten Cloud Storage-Bucket auswählen, erstellt CA Service einen von Google verwalteten Bucket am selben Standort wie die Zertifizierungsstelle.
Das Veröffentlichen von Zertifikatssperrlisten und Zertifizierungsstellen der Zertifizierungsstelle in einem Cloud Storage-Bucket ist standardmäßig aktiviert. Klicken Sie auf die Ein-/Aus-Schaltflächen, um diese Einstellungen zu deaktivieren.
Die folgenden Schritte sind optional.
So fügen Sie der Zertifizierungsstelle Labels hinzu:
- Klicken Sie auf Element hinzufügen.
- Geben Sie im Feld Schlüssel 1 den Labelschlüssel ein.
- Geben Sie im Feld Wert 1 den Wert für das Label ein.
- Wenn Sie ein weiteres Label hinzufügen möchten, klicken Sie auf Element hinzufügen. Fügen Sie dann den Labelschlüssel und den Labelwert wie in den Schritten 2 und 3 beschrieben hinzu.
- Klicken Sie auf Next (Weiter).
Prüfen Sie alle Einstellungen sorgfältig und klicken Sie dann auf Erstellen, um die Zertifizierungsstelle zu erstellen.
gcloud
Erstellen Sie einen Zertifizierungsstellenpool für die untergeordnete Zertifizierungsstelle:
gcloud privateca pools create SUBORDINATE_POOL_ID
Ersetzen Sie SUBORDINATE_POOL_ID durch den Namen des Zertifizierungsstellenpools.
Weitere Informationen zum Erstellen von CA-Pools finden Sie unter CA-Pool erstellen.
Weitere Informationen zum Befehl
gcloud privateca pools create
finden Sie unter gcloud privatecapools create.Erstellen Sie eine untergeordnete Zertifizierungsstelle im erstellten Zertifizierungsstellenpool.
gcloud privateca subordinates create SUBORDINATE_CA_ID \ --pool=SUBORDINATE_POOL_ID \ --issuer-pool=POOL_ID \ --key-algorithm="ec-p256-sha256" \ --subject="CN=Example Server TLS CA, O=Example LLC"
Die folgende Anweisung wird zurückgegeben, wenn die untergeordnete Zertifizierungsstelle erstellt wird.
Created Certificate Authority [projects/my-project-pki/locations/us-west1/caPools/SUBORDINATE_POOL_ID/certificateAuthorities/SUBORDINATE_CA_ID].
Führen Sie den folgenden
gcloud
-Befehl aus, um eine vollständige Liste der Einstellungen aufzurufen:gcloud privateca subordinates create --help
Der Befehl gibt Beispiele zum Erstellen einer untergeordneten Zertifizierungsstelle zurück, deren Aussteller sich entweder im CA-Dienst oder an einem anderen Ort befindet.
Terraform
Java
Richten Sie für die Authentifizierung beim CA Service Standardanmeldedaten für Anwendungen ein. Weitere Informationen finden Sie unter Authentifizierung für eine lokale Entwicklungsumgebung einrichten.
Python
Richten Sie für die Authentifizierung beim CA Service Standardanmeldedaten für Anwendungen ein. Weitere Informationen finden Sie unter Authentifizierung für eine lokale Entwicklungsumgebung einrichten.
Untergeordnete Zertifizierungsstelle aktivieren
So aktivieren Sie eine untergeordnete Zertifizierungsstelle:
Console
Rufen Sie in der Google Cloud Console die Seite Certificate Authority Service auf.
Klicken Sie auf den Tab CA-Manager.
Wählen Sie unter Zertifizierungsstellen die Zertifizierungsstelle aus, die Sie aktivieren möchten.
Klicken Sie auf
Aktivieren.Klicken Sie im angezeigten Dialogfeld auf CSR herunterladen, um die PEM-codierte CSR-Datei herunterzuladen, die die ausstellende Zertifizierungsstelle signieren kann.
Klicken Sie auf Next (Weiter).
Klicken Sie im Feld Zertifikatskette hochladen auf Durchsuchen.
Laden Sie die signierte Zertifikatsdatei mit der Erweiterung
.crt
hoch.Klicken Sie auf Activate (Aktivieren).
gcloud
Führen Sie den folgenden Befehl aus, um eine neu erstellte untergeordnete Zertifizierungsstelle zu aktivieren:
gcloud privateca subordinates enable SUBORDINATE_CA_ID --pool=SUBORDINATE_POOL_ID
Ersetzen Sie Folgendes:
- SUBORDINATE_CA_ID: die eindeutige Kennung der untergeordneten Zertifizierungsstelle.
- SUBORDINATE_POOL_ID: der Name des Zertifizierungsstellenpools, der die untergeordnete Zertifizierungsstelle enthält.
Weitere Informationen zum Befehl gcloud privateca subordinates enable
finden Sie unter gcloud privateca subordinates enable.
Terraform
Legen Sie das Feld desired_state
in der untergeordneten Zertifizierungsstelle auf ENABLED
fest und führen Sie terraform apply
aus.
Nächste Schritte
- Informationen zum Anfordern von Zertifikaten
- Weitere Informationen zu Vorlagen und Ausstellungsrichtlinien.