Zertifizierungsstellen löschen

Mit Certificate Authority Service können Sie eine vorhandene Zertifizierungsstelle löschen. Die Zertifizierungsstelle wird nach einem Kulanzzeitraum von 30 Tagen nach Beginn des Löschvorgangs endgültig gelöscht. Nach dem Kulanzzeitraum löscht CA Service die Zertifizierungsstelle und alle verschachtelten Artefakte wie Zertifikate und Zertifikatssperrlisten endgültig.

Vom Kunden verwaltete Google Cloud-Ressourcen wie Cloud Storage-Buckets oder Cloud Key Management Service-Schlüssel, die von der gelöschten Zertifizierungsstelle verwendet wurden, werden nicht gelöscht. Weitere Informationen zu von Google und vom Kunden verwalteten Ressourcen finden Sie unter Ressourcen verwalten.

Eine gelöschte Zertifizierungsstelle wird während des Kulanzzeitraums nicht in Rechnung gestellt. Wenn Sie jedoch die Zertifizierungsstelle wiederherstellen, wird Ihnen die Abrechnungsstufe der Zertifizierungsstelle für den Zeitraum in Rechnung gestellt, in dem die Zertifizierungsstelle den Status DELETED hatte.

Hinweise

• Sie benötigen die Rolle „CA Service Operation Manager“ (roles/privateca.caManager) oder die Rolle „CA Service Admin“ (roles/privateca.admin) für Identity and Access Management (IAM). Weitere Informationen zu den vordefinierten IAM-Rollen für CA Service finden Sie unter Zugriffssteuerung mit IAM.

  Informationen zum Zuweisen einer IAM-Rolle finden Sie unter Einzelne Rolle zuweisen.

• Achten Sie darauf, dass die Zertifizierungsstelle die folgenden Bedingungen erfüllt:

  • Die Zertifizierungsstelle muss den Status AWAITING_USER_ACTIVATION, DISABLED oder STAGED haben. Weitere Informationen finden Sie unter Zustände der Zertifizierungsstelle.
  Achtung :Zertifizierungsstellen, die mit dem Status AWAITING_USER_ACTIVATION gelöscht wurden, können nicht wiederhergestellt werden. Um die Zertifizierungsstelle wieder verwenden zu können, müssen Sie sie mit einem anderen Namen neu erstellen.
  • Die Zertifizierungsstelle darf keine aktiven Zertifikate enthalten. Wir empfehlen, die von der Zertifizierungsstelle ausgestellten Zertifikate zu widerrufen, bevor Sie die Zertifizierungsstelle endgültig löschen. Die aktiven Zertifikate können nicht widerrufen werden, nachdem die Zertifizierungsstelle endgültig gelöscht wurde.

Zertifizierungsstelle löschen

So initiieren Sie das Löschen der Zertifizierungsstelle:

Console

1. Rufen Sie in der Google Cloud Console die Seite Certificate Authority Service auf.

   Zum Certificate Authority Service

2. Klicken Sie auf den Tab CA-Manager.
3. Wählen Sie aus der Liste der Zertifizierungsstellen die Zertifizierungsstelle aus, die Sie löschen möchten.
4. Klicken Sie auf Deaktivieren.

5. Klicken Sie im Dialogfeld, das geöffnet wird, auf Bestätigen.
6. Klicken Sie auf Löschen.
7. Klicken Sie im Dialogfeld, das geöffnet wird, auf Bestätigen.

gcloud

1. Prüfen Sie, ob der Zertifizierungsstellenstatus deaktiviert ist. Sie können nur Zertifizierungsstellen mit dem Status DISABLED löschen.

   gcloud privateca roots describe CA_ID --pool=POOL_ID \
     --format="value(state)"
   

   Ersetzen Sie Folgendes:

   • CA_ID: Die eindeutige Kennung der Zertifizierungsstelle.
   • POOL_ID: Der Name des Zertifizierungsstellenpools, der die Zertifizierungsstelle enthält.

   Weitere Informationen zum Befehl gcloud privateca roots describe finden Sie unter gcloud privateca roots describe.

2. Ist die Zertifizierungsstelle nicht deaktiviert, führen Sie den folgenden Befehl aus, um sie zu deaktivieren.

   gcloud privateca roots disable CA_ID --pool=POOL_ID
   

   Weitere Informationen zum Befehl gcloud privateca roots disable finden Sie unter gcloud privateca rootsdisable.

3. Löschen Sie die Zertifizierungsstelle.

   gcloud privateca roots delete CA_ID --pool=POOL_ID
   

   Sie können die Zertifizierungsstelle auch dann löschen, wenn sie aktive Zertifikate hat. Fügen Sie dazu das Flag --ignore-active-certificates in den Befehl gcloud ein.

   Weitere Informationen zum Befehl gcloud privateca roots delete finden Sie unter gcloud privateca roots delete.

4. Wenn Sie dazu aufgefordert werden, bestätigen Sie, dass Sie die Zertifizierungsstelle löschen möchten.

   Nach der Bestätigung ist das Löschen der Zertifizierungsstelle geplant und der 30-tägige Kulanzzeitraum beginnt. Der Befehl gibt das erwartete Datum und die erwartete Uhrzeit für das Löschen der Zertifizierungsstelle aus.

   Deleted Root CA [projects/PROJECT_ID/locations/us-west1/caPools/POOL_ID/certificateAuthorities/CA_ID] can be undeleted until 2020-08-14T19:28:39Z.
   

Einfach loslegen (Go)

Richten Sie für die Authentifizierung beim CA Service Standardanmeldedaten für Anwendungen ein. Weitere Informationen finden Sie unter Authentifizierung für eine lokale Entwicklungsumgebung einrichten.

import (
	"context"
	"fmt"
	"io"

	privateca "cloud.google.com/go/security/privateca/apiv1"
	"cloud.google.com/go/security/privateca/apiv1/privatecapb"
)

// Delete a Certificate Authority from the specified CA pool.
// Before deletion, the CA must be disabled or staged and must not contain any active certificates.
func deleteCa(w io.Writer, projectId string, location string, caPoolId string, caId string) error {
	// projectId := "your_project_id"
	// location := "us-central1"	// For a list of locations, see: https://cloud.google.com/certificate-authority-service/docs/locations.
	// caPoolId := "ca-pool-id"		// The id of the CA pool under which the CA is present.
	// caId := "ca-id"				// The id of the CA to be deleted.

	ctx := context.Background()
	caClient, err := privateca.NewCertificateAuthorityClient(ctx)
	if err != nil {
		return fmt.Errorf("NewCertificateAuthorityClient creation failed: %w", err)
	}
	defer caClient.Close()

	fullCaName := fmt.Sprintf("projects/%s/locations/%s/caPools/%s/certificateAuthorities/%s",
		projectId, location, caPoolId, caId)

	// Check if the CA is disabled or staged.
	// See https://pkg.go.dev/cloud.google.com/go/security/privateca/apiv1/privatecapb#GetCertificateAuthorityRequest.
	caReq := &privatecapb.GetCertificateAuthorityRequest{Name: fullCaName}
	caResp, err := caClient.GetCertificateAuthority(ctx, caReq)
	if err != nil {
		return fmt.Errorf("GetCertificateAuthority failed: %w", err)
	}

	if caResp.State != privatecapb.CertificateAuthority_DISABLED &&
		caResp.State != privatecapb.CertificateAuthority_STAGED {
		return fmt.Errorf("you can only delete disabled or staged Certificate Authorities. %s is not disabled", caId)
	}

	// Create the DeleteCertificateAuthorityRequest.
	// Setting the IgnoreActiveCertificates to True will delete the CA
	// even if it contains active certificates. Care should be taken to re-anchor
	// the certificates to new CA before deleting.
	// See https://pkg.go.dev/cloud.google.com/go/security/privateca/apiv1/privatecapb#DeleteCertificateAuthorityRequest.
	req := &privatecapb.DeleteCertificateAuthorityRequest{
		Name:                     fullCaName,
		IgnoreActiveCertificates: false,
	}

	op, err := caClient.DeleteCertificateAuthority(ctx, req)
	if err != nil {
		return fmt.Errorf("DeleteCertificateAuthority failed: %w", err)
	}

	if caResp, err = op.Wait(ctx); err != nil {
		return fmt.Errorf("DeleteCertificateAuthority failed during wait: %w", err)
	}

	if caResp.State != privatecapb.CertificateAuthority_DELETED {
		return fmt.Errorf("unable to delete Certificate Authority. Current state: %s", caResp.State.String())
	}

	fmt.Fprintf(w, "Successfully deleted Certificate Authority: %s.", caId)
	return nil
}

Java

Richten Sie für die Authentifizierung beim CA Service Standardanmeldedaten für Anwendungen ein. Weitere Informationen finden Sie unter Authentifizierung für eine lokale Entwicklungsumgebung einrichten.

import com.google.api.core.ApiFuture;
import com.google.cloud.security.privateca.v1.CertificateAuthority.State;
import com.google.cloud.security.privateca.v1.CertificateAuthorityName;
import com.google.cloud.security.privateca.v1.CertificateAuthorityServiceClient;
import com.google.cloud.security.privateca.v1.DeleteCertificateAuthorityRequest;
import com.google.longrunning.Operation;
import java.io.IOException;
import java.util.concurrent.ExecutionException;

public class DeleteCertificateAuthority {

  public static void main(String[] args)
      throws InterruptedException, ExecutionException, IOException {
    // TODO(developer): Replace these variables before running the sample.
    // location: For a list of locations, see:
    // https://cloud.google.com/certificate-authority-service/docs/locations
    // poolId: The id of the CA pool under which the CA is present.
    // certificateAuthorityName: The name of the CA to be deleted.
    String project = "your-project-id";
    String location = "ca-location";
    String poolId = "ca-pool-id";
    String certificateAuthorityName = "certificate-authority-name";
    deleteCertificateAuthority(project, location, poolId, certificateAuthorityName);
  }

  // Delete the Certificate Authority from the specified CA pool.
  // Before deletion, the CA must be disabled and must not contain any active certificates.
  public static void deleteCertificateAuthority(
      String project, String location, String poolId, String certificateAuthorityName)
      throws IOException, ExecutionException, InterruptedException {
    // Initialize client that will be used to send requests. This client only needs to be created
    // once, and can be reused for multiple requests. After completing all of your requests, call
    // the `certificateAuthorityServiceClient.close()` method on the client to safely
    // clean up any remaining background resources.
    try (CertificateAuthorityServiceClient certificateAuthorityServiceClient =
        CertificateAuthorityServiceClient.create()) {
      // Create the Certificate Authority Name.
      CertificateAuthorityName certificateAuthorityNameParent =
          CertificateAuthorityName.newBuilder()
              .setProject(project)
              .setLocation(location)
              .setCaPool(poolId)
              .setCertificateAuthority(certificateAuthorityName)
              .build();

      // Check if the CA is enabled.
      State caState =
          certificateAuthorityServiceClient
              .getCertificateAuthority(certificateAuthorityNameParent)
              .getState();
      if (caState == State.ENABLED) {
        System.out.println(
            "Please disable the Certificate Authority before deletion ! Current state: " + caState);
        return;
      }

      // Create the DeleteCertificateAuthorityRequest.
      // Setting the setIgnoreActiveCertificates() to true, will delete the CA
      // even if it contains active certificates. Care should be taken to re-anchor
      // the certificates to new CA before deleting.
      DeleteCertificateAuthorityRequest deleteCertificateAuthorityRequest =
          DeleteCertificateAuthorityRequest.newBuilder()
              .setName(certificateAuthorityNameParent.toString())
              .setIgnoreActiveCertificates(false)
              .build();

      // Delete the Certificate Authority.
      ApiFuture<Operation> futureCall =
          certificateAuthorityServiceClient
              .deleteCertificateAuthorityCallable()
              .futureCall(deleteCertificateAuthorityRequest);
      Operation response = futureCall.get();

      if (response.hasError()) {
        System.out.println("Error while deleting Certificate Authority !" + response.getError());
        return;
      }

      // Check if the CA has been deleted.
      caState =
          certificateAuthorityServiceClient
              .getCertificateAuthority(certificateAuthorityNameParent)
              .getState();
      if (caState == State.DELETED) {
        System.out.println(
            "Successfully deleted Certificate Authority : " + certificateAuthorityName);
      } else {
        System.out.println(
            "Unable to delete Certificate Authority. Please try again ! Current state: " + caState);
      }
    }
  }
}

Python

Richten Sie für die Authentifizierung beim CA Service Standardanmeldedaten für Anwendungen ein. Weitere Informationen finden Sie unter Authentifizierung für eine lokale Entwicklungsumgebung einrichten.

import google.cloud.security.privateca_v1 as privateca_v1

def delete_certificate_authority(
    project_id: str, location: str, ca_pool_name: str, ca_name: str
) -> None:
    """
    Delete the Certificate Authority from the specified CA pool.
    Before deletion, the CA must be disabled and must not contain any active certificates.

    Args:
        project_id: project ID or project number of the Cloud project you want to use.
        location: location you want to use. For a list of locations, see: https://cloud.google.com/certificate-authority-service/docs/locations.
        ca_pool_name: the name of the CA pool under which the CA is present.
        ca_name: the name of the CA to be deleted.
    """

    caServiceClient = privateca_v1.CertificateAuthorityServiceClient()
    ca_path = caServiceClient.certificate_authority_path(
        project_id, location, ca_pool_name, ca_name
    )

    # Check if the CA is enabled.
    ca_state = caServiceClient.get_certificate_authority(name=ca_path).state
    if ca_state != privateca_v1.CertificateAuthority.State.DISABLED:
        print(
            "Please disable the Certificate Authority before deletion ! Current state:",
            ca_state,
        )
        raise RuntimeError(
            f"You can only delete disabled Certificate Authorities. "
            f"{ca_name} is not disabled!"
        )

    # Create the DeleteCertificateAuthorityRequest.
    # Setting the ignore_active_certificates to True will delete the CA
    # even if it contains active certificates. Care should be taken to re-anchor
    # the certificates to new CA before deleting.
    request = privateca_v1.DeleteCertificateAuthorityRequest(
        name=ca_path, ignore_active_certificates=False
    )

    # Delete the Certificate Authority.
    operation = caServiceClient.delete_certificate_authority(request=request)
    result = operation.result()

    print("Operation result", result)

    # Get the current CA state.
    ca_state = caServiceClient.get_certificate_authority(name=ca_path).state

    # Check if the CA has been deleted.
    if ca_state == privateca_v1.CertificateAuthority.State.DELETED:
        print("Successfully deleted Certificate Authority:", ca_name)
    else:
        print(
            "Unable to delete Certificate Authority. Please try again ! Current state:",
            ca_state,
        )

Hinweis: Der Name der gelöschten Zertifizierungsstelle kann nicht für eine andere Zertifizierungsstelle verwendet werden. Auch wenn Sie die Zertifizierungsstelle nicht aktiviert haben und der CA-Dienst sie nach Ablauf des 30-tägigen Kulanzzeitraums gelöscht hat, können Sie den Namen der gelöschten Zertifizierungsstelle nicht für eine neue Zertifizierungsstelle verwenden.

Ablaufdatum einer gelöschten Zertifizierungsstelle prüfen

So können Sie sehen, wann eine Zertifizierungsstelle endgültig gelöscht wird:

Console

1. Klicken Sie auf den Tab CA-Poolmanager.
2. Klicken Sie auf den Namen des Zertifizierungsstellenpools, der die gelöschte Zertifizierungsstelle enthielt.

Das Ablaufdatum der Zertifizierungsstelle finden Sie in der Tabelle auf der Seite CA-Pool.

gcloud

Führen Sie den folgenden Befehl aus, um die voraussichtliche Löschzeit für eine Zertifizierungsstelle zu prüfen:

gcloud privateca roots describe CA_ID \
  --pool=POOL_ID \
  --format="value(expireTime.date())"

Ersetzen Sie Folgendes:

• CA_ID: Der Name der Zertifizierungsstelle.
• POOL_ID: Der Name des Zertifizierungsstellenpools, der die Zertifizierungsstelle enthielt.

Der Befehl gibt das erwartete Datum und die erwartete Uhrzeit zurück, an dem CA Service die Zertifizierungsstelle löscht.

2020-08-14T19:28:39

Prüfen Sie mit dem folgenden Befehl, ob die Zertifizierungsstelle endgültig gelöscht wurde:

gcloud privateca roots describe CA_ID --pool=POOL_ID

Wenn die Zertifizierungsstelle erfolgreich gelöscht wurde, gibt der Befehl den folgenden Fehler zurück.

ERROR: (gcloud.privateca.roots.describe) NOT_FOUND: Resource 'projects/PROJECT_ID/locations/LOCATION/caPools/POOL_ID/certificateAuthorities/CA_ID' was not found

Nächste Schritte

• CAs wiederherstellen
• Informationen zu CA-Status