CA-Pool erstellen

Auf dieser Seite wird beschrieben, wie Sie CA-Pools erstellen.

Ein Zertifizierungsstellenpool ist eine Sammlung mehrerer Zertifizierungsstellen mit einer gemeinsamen Richtlinie für die Zertifikatsausstellung und einer IAM-Richtlinie (Identity and Access Management). Ein Zertifizierungsstellenpool erleichtert die Verwaltung der CA-Rotation und ermöglicht Ihnen, eine höhere Gesamtzahl von effektiven Abfragen pro Sekunde zu erzielen.

Sie müssen einen Zertifizierungsstellenpool erstellen, bevor Sie mit Certificate Authority Service eine Zertifizierungsstelle erstellen können. Weitere Informationen finden Sie unter Übersicht über Zertifizierungsstellenpools.

Hinweise

Sie benötigen die IAM-Rolle „CA Service Operation Manager“ (roles/privateca.caManager). Informationen zum Zuweisen einer IAM zu einem Hauptkonto finden Sie unter Einzelne Rolle zuweisen.

Einstellungen des Zertifizierungsstellenpools festlegen

In diesem Abschnitt werden die Einstellungen eines Zertifizierungsstellenpools beschrieben und es werden Empfehlungen zum Festlegen der Einstellungen gegeben.

Einstellungen für den permanenten Zertifizierungsstellenpool

Die folgenden Einstellungen für den Zertifizierungsstellenpool können nach dem Erstellen des Zertifizierungsstellenpools nicht mehr geändert werden.

Standort: Geben Sie den Standort des Zertifizierungsstellenpools an. Ein Zertifizierungsstellenpool wird an einem einzelnen Google Cloud-Standort gespeichert. Wir empfehlen, den Zertifizierungsstellenpool am selben Standort oder in der Nähe des Standorts zu erstellen, an dem Sie ihn verwenden möchten.; Eine vollständige Liste der unterstützten Standorte finden Sie unter Standorte.
Stufe: Wählen Sie aus, ob Sie den Zertifizierungsstellenpool mit der DevOps- oder der Enterprise-Stufe erstellen möchten. Diese Auswahl wirkt sich darauf aus, ob CA Service die erstellten Zertifikate beibehält, ob erstellte Zertifikate später widerrufen werden können und wie hoch die maximale Rate ist, mit der Zertifikate aus den Zertifizierungsstellen im CA-Pool erstellt werden können. Weitere Informationen finden Sie unter Vorgangsebenen auswählen.

Optionale Einstellungen für den Zertifizierungsstellenpool

Richtlinie für die Zertifikatsausstellung

Ein Zertifizierungsstellenpool kann eine Richtlinie zur Zertifikatsausstellung haben. Mit dieser Ausstellungsrichtlinie werden Einschränkungen für die Zertifikate festgelegt, die die CAs im CA-Pool ausstellen dürfen. Sie können die Ausstellungsrichtlinie eines Zertifizierungsstellenpools aktualisieren, nachdem Sie den Zertifizierungsstellenpool erstellt haben. Weitere Informationen finden Sie unter Übersicht über Vorlagen und Ausstellungsrichtlinien.

Weitere Informationen zum Konfigurieren einer Richtlinie zur Zertifikatsausstellung finden Sie unter Einem CA-Pool eine Richtlinie zur Zertifikatsausstellung hinzufügen.

Veröffentlichungsoptionen

Sie können einen CA-Pool so konfigurieren, dass die CA-Zertifikate für jede seiner CAs veröffentlicht werden. Beim Ausstellen eines Zertifikats wird die URL zu diesem CA-Zertifikat als AIA-Erweiterung (Authority Information Access) im Zertifikat angegeben.

Zertifizierungsstellen in CA-Pools der Enterprise-Stufe können erlaubt werden, Zertifikatssperrlisten im zugehörigen Cloud Storage-Bucket zu veröffentlichen. Beim Ausstellen eines Zertifikats wird eine URL zu dieser Zertifikatssperrliste als Erweiterung für den CRL-Verteilungspunkt (CRL Distribution Point, CDP) in das Zertifikat aufgenommen. Sie finden die Zertifikatssperrliste ohne die CDP-Erweiterung im Zertifikat nicht. Weitere Informationen finden Sie unter Zertifikate widerrufen.

Sie können auch das Codierungsformat von veröffentlichten CA-Zertifikaten und Zertifikatssperrlisten auswählen. Die unterstützten Codierungsformate sind Privacy Enhanced Mail (PEM) und Distinguished Encoding Rules (DER). Wenn kein Codierungsformat angegeben ist, wird PEM verwendet.

Wenn Sie den CA-Pool über die Google Cloud CLI oder Google Cloud Console erstellen, aktiviert CA Service diese Veröffentlichungsoptionen standardmäßig. Weitere Informationen finden Sie unter CA-Zertifikat und Zertifikatssperrlistenveröffentlichung für Zertifizierungsstellen in einem Zertifizierungsstellenpool deaktivieren.

CA-Pool erstellen

So erstellen Sie einen Zertifizierungsstellenpool:

Console

Namen für den Zertifizierungsstellenpool auswählen

Rufen Sie in der Google Cloud Console die Seite Certificate Authority Service auf.

Zum Certificate Authority Service
Klicken Sie auf CA-Poolmanager.
Klicken Sie auf Pool erstellen.
Fügen Sie einen für die Region eindeutigen Namen für den Zertifizierungsstellenpool hinzu.
Wählen Sie im Feld Region eine Region aus der Drop-down-Liste aus. Weitere Informationen finden Sie unter Optimalen Standort auswählen.
Wählen Sie entweder die Stufe „Enterprise“ oder die Stufe „DevOps“ aus. Weitere Informationen finden Sie unter Vorgangsebenen auswählen.
Klicken Sie auf Next (Weiter).

Zulässige Schlüsselalgorithmen und Größen konfigurieren

Mit CA Service können Sie die Signaturalgorithmen für die Cloud KMS-Schlüssel auswählen, die die Zertifizierungsstellen im Zertifizierungsstellenpool unterstützen. Alle Schlüsselalgorithmen sind standardmäßig zugelassen.

So schränken Sie die zulässigen Schlüssel in den vom CA-Pool ausgestellten Zertifikaten ein: Dies ist ein optionales Verfahren.

Klicken Sie auf die Ein/Aus-Schaltfläche.
Klicken Sie auf Element hinzufügen.
Wählen Sie in der Liste Typ den Schlüsseltyp aus.

Wenn Sie RSA-Schlüssel verwenden möchten, gehen Sie so vor:
1. Optional: Fügen Sie die Modulo-Mindestgröße in Bit hinzu.
2. Optional: Fügen Sie die maximale Modulusgröße in Bit hinzu.
3. Klicken Sie auf Fertig.
Wenn Sie Schlüssel mit elliptischen Kurven verwenden möchten, gehen Sie so vor:
1. Optional: Wählen Sie in der Liste Typ elliptischer Kurve den Typ „Elliptische Kurve“ aus.
2. Klicken Sie auf Fertig.
Wenn Sie einen weiteren zulässigen Schlüssel hinzufügen möchten, klicken Sie auf Element hinzufügen und wiederholen Sie Schritt 2.
Klicken Sie auf Next (Weiter).

Methoden für Zertifikatsanfragen konfigurieren

So beschränken Sie die Methoden, mit denen Zertifikatsanforderer Zertifikate aus dem CA-Pool anfordern können:

Optional: Klicken Sie auf die Ein/Aus-Schaltfläche, um Anfragen für CSR-basierte Zertifikate einzuschränken.
Optional: Klicken Sie auf die Ein/Aus-Schaltfläche, um konfigurationsbasierte Zertifikatsanfragen einzuschränken.

Veröffentlichungsoptionen konfigurieren

So konfigurieren Sie die Veröffentlichungsoptionen:

Optional: Wenn Sie die Veröffentlichung von CA-Zertifikaten im Cloud Storage-Bucket für die CAs im CA-Pool nicht zulassen möchten, klicken Sie auf die Ein/Aus-Schaltfläche.
Optional: Wenn Sie die Veröffentlichung von Zertifikatssperrlisten im Cloud Storage-Bucket für die Zertifizierungsstellen im Zertifizierungsstellenpool nicht zulassen möchten, klicken Sie auf die Ein/Aus-Schaltfläche.
Klicken Sie auf das Menü, um das Codierungsformat für veröffentlichte CA-Zertifikate und Zertifikatssperrlisten auszuwählen.
Klicken Sie auf Next (Weiter).

Identitätseinschränkungen konfigurieren

So konfigurieren Sie Einschränkungen für das Betreff und die SANs in den vom CA-Pool ausgestellten Zertifikaten:

Optional: Klicken Sie auf die Ein/Aus-Schaltfläche, um zu verhindern, dass Inhaber in Zertifikatsanfragen weitergeleitet werden.
Optional: Wenn Sie nicht möchten, dass alternative Antragstellernamen in Zertifikatsanfragen weitergegeben werden, klicken Sie auf die Ein/Aus-Schaltfläche.
Optional: Fügen Sie einen CEL-Ausdruck (Common Expression Language) hinzu, um Zertifikatsinhaber einzuschränken. Weitere Informationen finden Sie unter CEL verwenden.
Klicken Sie auf Next (Weiter).

Einschränkungen für Erweiterungen konfigurieren

Klicken Sie auf die Ein/Aus-Schaltfläche, um zu verhindern, dass alle Erweiterungen aus Zertifikatsanfragen in die ausgestellten Zertifikate aufgenommen werden.

Daraufhin wird das Feld Bekannte Zertifikaterweiterungen angezeigt, in dem Sie die Zertifikatserweiterungen auswählen können. So wählen Sie die Zertifikatserweiterungen aus:

Optional: Klicken Sie auf das Feld Bekannte Zertifikatserweiterungen und entfernen Sie im Menü die nicht erforderlichen Erweiterungen.
Optional: Fügen Sie im Feld Benutzerdefinierte Erweiterungen die Objektkennungen für Erweiterungen hinzu, die in die vom Zertifizierungsstellenpool ausgestellten Zertifikate einbezogen werden sollen.

Referenzwerte konfigurieren

So konfigurieren Sie Referenzwerte in den Zertifikaten, die vom CA-Pool ausgestellt werden:

Klicken Sie auf die Ein/Aus-Schaltfläche.
Klicken Sie auf Referenzwerte konfigurieren.

Nutzung des Basisschlüssels definieren

Mit dieser Einstellung können Sie konfigurieren, wie der im Zertifikat enthaltene Schlüssel verwendet werden kann. Zu den Optionen für die Schlüsselverwendung gehören u. a. die Schlüsselverschlüsselung, die Datenverschlüsselung, die Zertifikatssignierung und die Zertifikatssignierung.

Weitere Informationen finden Sie unter Schlüsselverwendung.

So definieren Sie die Basisschlüsselverwendungen:

Optional: Klicken Sie im angezeigten Fenster auf die Ein/Aus-Schaltfläche, wenn Sie die Basisschlüsselverwendungen für die Zertifikate angeben möchten.
Wählen Sie mithilfe der Kästchen aus, wie der Schlüssel verwendet werden soll.

Wählen Sie aus, wie ein Schlüssel verwendet werden soll.

Klicken Sie auf Next (Weiter).

Erweiterte Schlüsselverwendung definieren

Mit dieser Einstellung können Sie detailliertere Szenarien auswählen, für die der im Zertifikat enthaltene Schlüssel verwendet werden kann. Zu den Optionen gehören unter anderem Serverauthentifizierung, Clientauthentifizierung, Codesignatur und E-Mail-Schutz.

Erweiterte Schlüsselverwendungen werden über Objektkennungen (OIDs) definiert. Wenn Sie die erweiterte Schlüsselverwendung nicht konfigurieren, sind alle Schlüsselnutzungsszenarien zulässig.

Weitere Informationen finden Sie unter Erweiterte Schlüsselverwendung.

So definieren Sie die erweiterte Schlüsselverwendung:

Optional: Klicken Sie auf die Ein/Aus-Schaltfläche, um die erweiterten Schlüsselverwendungen für die Zertifikate anzugeben, die der Zertifizierungsstellenpool ausstellt.
Klicken Sie die Kästchen für die erweiterten Schlüsselnutzungsszenarien an.
Klicken Sie auf Next (Weiter).

Richtlinienkennungen definieren

Die Erweiterung der Zertifikatrichtlinien im Zertifikat drückt die Richtlinien aus, denen der ausstellende CA-Pool folgt. Diese Erweiterung kann Informationen dazu enthalten, wie Identitäten vor dem Ausstellen von Zertifikaten validiert werden, wie Zertifikate widerrufen werden und wie die Integrität des Zertifizierungsstellenpools sichergestellt wird. Mit dieser Erweiterung können Sie die vom CA-Pool ausgestellten Zertifikate prüfen und sehen, wie die Zertifikate verwendet werden.

Weitere Informationen finden Sie unter Zertifikatsrichtlinien.

So geben Sie die Richtlinie an, die die Zertifikatsnutzung definiert:

Optional: Fügen Sie die Richtlinien-ID in das Feld Richtlinien-IDs ein.
Klicken Sie auf Next (Weiter).

AIA-OCSP-Server (Authority Information Access – Authority Information Access) hinzufügen

Die AIA-Erweiterung in einem Zertifikat enthält die folgenden Informationen:

Adresse der OCSP-Server, von denen Sie den Sperrstatus des Zertifikats prüfen können.
Die Zugriffsmethode für den Aussteller des Zertifikats.

Weitere Informationen finden Sie unter Zugriff auf Autorisierungsinformationen.

So fügen Sie die OCSP-Server hinzu, die in den Zertifikaten im Feld der AIA-Erweiterung angezeigt werden: Das folgende Verfahren ist optional.

Optional: Klicken Sie auf Element hinzufügen.
Geben Sie im Feld Server-URL die URL des OCSP-Servers ein.
Klicken Sie auf Fertig.
Klicken Sie auf Next (Weiter).

Zusätzliche Erweiterungen konfigurieren

So konfigurieren Sie zusätzliche benutzerdefinierte Erweiterungen für die Zertifikate, die vom CA-Pool ausgestellt werden: Das folgende Verfahren ist optional.

Klicken Sie auf Zeile hinzufügen.
Geben Sie im Feld Objekt-ID eine gültige Objektkennung in Form von punktgetrennten Ziffern ein.
Fügen Sie im Feld Wert den base64-codierten Wert für die Kennung hinzu.
Wenn die Erweiterung kritisch ist, wählen Sie Erweiterung ist kritisch aus.

Klicken Sie auf Fertig, um alle Basiswertkonfigurationen zu speichern.

Klicken Sie zum Erstellen des Zertifizierungsstellenpools auf Fertig.

gcloud

Führen Sie dazu diesen Befehl aus:

gcloud privateca pools create POOL_NAME

Ersetzen Sie POOL_NAME durch den Namen des Zertifizierungsstellenpools.

Wenn Sie nicht angeben, welche Stufe für den Zertifizierungsstellenpool erforderlich ist, wird standardmäßig die Stufe Enterprise ausgewählt. Wenn Sie die Stufe für Ihren Zertifizierungsstellenpool angeben möchten, führen Sie den folgenden gcloud-Befehl aus:

gcloud privateca pools create POOL_NAME --tier=TIER_NAME

Ersetzen Sie Folgendes:

POOL_NAME: Der Name Ihres Zertifizierungsstellenpools.
TIER_NAME: entweder devops oder enterprise. Weitere Informationen finden Sie unter Vorgangsstufen auswählen.

Wenn Sie für den Zertifizierungsstellenpool kein Codierungsformat für die Veröffentlichung angeben, wird standardmäßig das Codierungsformat für die Veröffentlichung PEM ausgewählt. Wenn Sie das Codierungsformat der Veröffentlichung für Ihren Zertifizierungsstellenpool angeben möchten, führen Sie den folgenden gcloud-Befehl aus:

gcloud privateca pools create POOL_NAME --publishing-encoding-format=PUBLISHING_ENCODING_FORMAT

Ersetzen Sie Folgendes:

POOL_NAME: Der Name Ihres Zertifizierungsstellenpools.
PUBLISHING_ENCODING_FORMAT: entweder PEM oder DER.

Weitere Informationen zum Befehl gcloud privateca pools create finden Sie unter gcloud privatecapools create.

Informationen zum Festlegen von Einschränkungen für die Art der Zertifikate, die ein Zertifizierungsstellenpool ausstellen kann, finden Sie unter Richtlinie zur Zertifikatsausstellung zu einem Zertifizierungsstellenpool hinzufügen.

Terraform

resource "google_privateca_ca_pool" "default" {
  name     = "ca-pool"
  location = "us-central1"
  tier     = "ENTERPRISE"
  publishing_options {
    publish_ca_cert = true
    publish_crl     = true
  }
  labels = {
    foo = "bar"
  }
}

Einfach loslegen (Go)

Richten Sie für die Authentifizierung beim CA Service Standardanmeldedaten für Anwendungen ein. Weitere Informationen finden Sie unter Authentifizierung für eine lokale Entwicklungsumgebung einrichten.

import (
	"context"
	"fmt"
	"io"

	privateca "cloud.google.com/go/security/privateca/apiv1"
	"cloud.google.com/go/security/privateca/apiv1/privatecapb"
)

// Create a Certificate Authority pool. All certificates created under this CA pool will
// follow the same issuance policy, IAM policies, etc.
func createCaPool(w io.Writer, projectId string, location string, caPoolId string) error {
	// projectId := "your_project_id"
	// location := "us-central1"	// For a list of locations, see: https://cloud.google.com/certificate-authority-service/docs/locations.
	// caPoolId := "ca-pool-id"		// A unique id/name for the ca pool.

	ctx := context.Background()
	caClient, err := privateca.NewCertificateAuthorityClient(ctx)
	if err != nil {
		return fmt.Errorf("NewCertificateAuthorityClient creation failed: %w", err)
	}
	defer caClient.Close()

	caPool := &privatecapb.CaPool{
		// Set the tier (see: https://cloud.google.com/certificate-authority-service/docs/tiers).
		Tier: privatecapb.CaPool_ENTERPRISE,
	}

	locationPath := fmt.Sprintf("projects/%s/locations/%s", projectId, location)

	// See https://pkg.go.dev/cloud.google.com/go/security/privateca/apiv1/privatecapb#CreateCaPoolRequest.
	req := &privatecapb.CreateCaPoolRequest{
		Parent:   locationPath,
		CaPoolId: caPoolId,
		CaPool:   caPool,
	}

	op, err := caClient.CreateCaPool(ctx, req)
	if err != nil {
		return fmt.Errorf("CreateCaPool failed: %w", err)
	}

	if _, err = op.Wait(ctx); err != nil {
		return fmt.Errorf("CreateCaPool failed during wait: %w", err)
	}

	fmt.Fprintf(w, "CA Pool created")

	return nil
}

Java


import com.google.api.core.ApiFuture;
import com.google.cloud.security.privateca.v1.CaPool;
import com.google.cloud.security.privateca.v1.CaPool.IssuancePolicy;
import com.google.cloud.security.privateca.v1.CaPool.Tier;
import com.google.cloud.security.privateca.v1.CertificateAuthorityServiceClient;
import com.google.cloud.security.privateca.v1.CertificateIdentityConstraints;
import com.google.cloud.security.privateca.v1.CreateCaPoolRequest;
import com.google.cloud.security.privateca.v1.LocationName;
import com.google.longrunning.Operation;
import java.io.IOException;
import java.util.concurrent.ExecutionException;

public class CreateCaPool {

  public static void main(String[] args)
      throws InterruptedException, ExecutionException, IOException {
    // TODO(developer): Replace these variables before running the sample.
    // location: For a list of locations, see:
    // https://cloud.google.com/certificate-authority-service/docs/locations
    // poolId: Set a unique poolId for the CA pool.
    String project = "your-project-id";
    String location = "ca-location";
    String poolId = "ca-pool-id";
    createCaPool(project, location, poolId);
  }

  // Create a Certificate Authority Pool. All certificates created under this CA pool will
  // follow the same issuance policy, IAM policies,etc.,
  public static void createCaPool(String project, String location, String poolId)
      throws InterruptedException, ExecutionException, IOException {
    // Initialize client that will be used to send requests. This client only needs to be created
    // once, and can be reused for multiple requests. After completing all of your requests, call
    // the `certificateAuthorityServiceClient.close()` method on the client to safely
    // clean up any remaining background resources.
    try (CertificateAuthorityServiceClient certificateAuthorityServiceClient =
        CertificateAuthorityServiceClient.create()) {

      IssuancePolicy issuancePolicy = IssuancePolicy.newBuilder()
          .setIdentityConstraints(CertificateIdentityConstraints.newBuilder()
              .setAllowSubjectPassthrough(true)
              .setAllowSubjectAltNamesPassthrough(true)
              .build())
          .build();

      /* Create the pool request
        Set Parent which denotes the project id and location.
        Set the Tier (see: https://cloud.google.com/certificate-authority-service/docs/tiers).
      */
      CreateCaPoolRequest caPoolRequest =
          CreateCaPoolRequest.newBuilder()
              .setParent(LocationName.of(project, location).toString())
              .setCaPoolId(poolId)
              .setCaPool(
                  CaPool.newBuilder()
                      .setIssuancePolicy(issuancePolicy)
                      .setTier(Tier.ENTERPRISE)
                      .build())
              .build();

      // Create the CA pool.
      ApiFuture<Operation> futureCall =
          certificateAuthorityServiceClient.createCaPoolCallable().futureCall(caPoolRequest);
      Operation response = futureCall.get();

      if (response.hasError()) {
        System.out.println("Error while creating CA pool !" + response.getError());
        return;
      }

      System.out.println("CA pool created successfully: " + poolId);
    }
  }
}

Python

import google.cloud.security.privateca_v1 as privateca_v1

def create_ca_pool(project_id: str, location: str, ca_pool_name: str) -> None:
    """
    Create a Certificate Authority pool. All certificates created under this CA pool will
    follow the same issuance policy, IAM policies,etc.,

    Args:
        project_id: project ID or project number of the Cloud project you want to use.
        location: location you want to use. For a list of locations, see: https://cloud.google.com/certificate-authority-service/docs/locations.
        ca_pool_name: a unique name for the ca pool.
    """

    caServiceClient = privateca_v1.CertificateAuthorityServiceClient()

    ca_pool = privateca_v1.CaPool(
        # Set the tier (see: https://cloud.google.com/certificate-authority-service/docs/tiers).
        tier=privateca_v1.CaPool.Tier.ENTERPRISE,
    )
    location_path = caServiceClient.common_location_path(project_id, location)

    # Create the pool request.
    request = privateca_v1.CreateCaPoolRequest(
        parent=location_path,
        ca_pool_id=ca_pool_name,
        ca_pool=ca_pool,
    )

    # Create the CA pool.
    operation = caServiceClient.create_ca_pool(request=request)

    print("Operation result:", operation.result())

REST API

Erstellen Sie einen Zertifizierungsstellenpool.

HTTP-Methode und URL:
```
POST https://privateca.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/caPools\?ca_pool_id=POOL_ID
```
JSON-Text der Anfrage:
```
{
"tier": "ENTERPRISE"
}
```
Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:
curl (Linux, macOS oder Cloud Shell)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud CLI angemeldet haben. Dazu haben Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt, die Sie automatisch in der gcloud CLI anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:
```
curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "https://privateca.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/caPools\?ca_pool_id=POOL_ID"
```
PowerShell (Windows)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud CLI angemeldet haben. Dazu haben Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt, die Sie automatisch in der gcloud CLI anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://privateca.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/caPools\?ca_pool_id=POOL_ID" | Select-Object -Expand Content
```
Sie sollten in etwa folgende JSON-Antwort erhalten:
```
{
 "name": "projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID",
 "metadata": {...},
 "done": false
}
```
Fragen Sie den Vorgang ab, bis er abgeschlossen ist.

Der Vorgang ist abgeschlossen, wenn das Attribut done des Vorgangs mit langer Ausführungszeit auf true gesetzt ist.

HTTP-Methode und URL:
```
GET https://privateca.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID
```
Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:
curl (Linux, macOS oder Cloud Shell)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud CLI angemeldet haben. Dazu haben Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt, die Sie automatisch in der gcloud CLI anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Führen Sie folgenden Befehl aus:
```
curl -X GET \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    "https://privateca.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID"
```
PowerShell (Windows)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud CLI angemeldet haben. Dazu haben Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt, die Sie automatisch in der gcloud CLI anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Führen Sie folgenden Befehl aus:
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://privateca.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID" | Select-Object -Expand Content
```
Sie sollten in etwa folgende JSON-Antwort erhalten:
```
{
 "name": "projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID",
 "metadata": {...},
 "done": true,
 "response": {
   "@type": "type.googleapis.com/google.cloud.security.privateca.v1.CaPool",
   "name": "...",
   "tier": "ENTERPRISE"
 }
}
```

Labels zu einem Zertifizierungsstellenpool hinzufügen oder aktualisieren

Ein Label ist ein Schlüssel/Wert-Paar, mit dem Sie Ihre CA Service-Ressourcen organisieren können. Sie können Ihre Ressourcen anhand ihrer Labels filtern.

So fügen Sie Labels in einem Zertifizierungsstellenpool hinzu oder aktualisieren sie:

Console

So fügen Sie ein Label hinzu:

Rufen Sie die Seite Certificate Authority Service auf.

Zum Certificate Authority Service
Wählen Sie auf dem Tab CA-Poolmanager den Zertifizierungsstellenpool aus.
Klicken Sie auf Labels.
Klicken Sie auf Label hinzufügen.
Fügen Sie ein Schlüssel/Wert-Paar hinzu.
Klicken Sie auf Speichern.

So bearbeiten Sie ein vorhandenes Label:

Rufen Sie die Seite Certificate Authority Service auf.

Zum Certificate Authority Service
Wählen Sie auf dem Tab CA-Poolmanager den Zertifizierungsstellenpool aus.
Klicken Sie auf Labels.
Bearbeiten Sie den Wert des Labels.
Klicken Sie auf Speichern.

gcloud

Führen Sie dazu diesen Befehl aus:

gcloud privateca pools update POOL_ID --update-labels foo=bar

Ersetzen Sie POOL_ID durch den Namen des Zertifizierungsstellenpools.

CA-Pool erstellen

Hinweise

Einstellungen des Zertifizierungsstellenpools festlegen

Einstellungen für den permanenten Zertifizierungsstellenpool

Optionale Einstellungen für den Zertifizierungsstellenpool

CA-Pool erstellen

Console

gcloud

Terraform

Einfach loslegen (Go)

Java

Python

REST API

curl (Linux, macOS oder Cloud Shell)

PowerShell (Windows)

curl (Linux, macOS oder Cloud Shell)

PowerShell (Windows)

Labels zu einem Zertifizierungsstellenpool hinzufügen oder aktualisieren

Console

gcloud

Nächste Schritte