Criar um pool de CA

Nesta página, descrevemos como criar pools de autoridades certificadoras (CA).

Um pool de ACs é uma coleção de várias ACs com uma política comum de emissão de certificados e uma política do Identity and Access Management (IAM). Um pool de AC facilita o gerenciamento de rotação de CA e permite que você alcance um total de consultas efetivas por segundo (QPS) mais alto.

Você precisa criar um pool de CAs antes de usar o Certificate Authority Service para criar uma CA. Para mais informações, consulte Visão geral de pools de CA.

Antes de começar

Verifique se você tem o papel do IAM de Gerente de operações de serviço de CA (roles/privateca.caManager). Para mais informações sobre como conceder um IAM a um principal, consulte Conceder um único papel.

Decidir as configurações do pool de ACs

Nesta seção, descrevemos as configurações de um pool de ACs e oferecemos recomendações para decidir as configurações.

Configurações permanentes de pool de AC

As seguintes configurações do pool de ACs não podem ser alteradas após a criação do pool de ACs.

Local

Especifique o local do pool de ACs. Um pool de ACs é armazenado em um único local do Google Cloud. Recomendamos que você crie seu pool de ACs no mesmo local ou perto do local em que pretende usá-lo.

Para ver a lista completa de locais compatíveis, consulte Locais.

Nível

Escolha se você quer criar o pool de ACs com o nível DevOps ou Enterprise. Essa escolha afeta se o serviço de CA mantém os certificados criados, se eles podem ser revogados posteriormente e a taxa máxima em que é possível criar certificados das ACs no pool de AC. Para mais informações, consulte Selecionar os níveis de operação.

Configurações opcionais do pool de ACs

Política de emissão de certificados

Um pool de ACs pode ter uma política de emissão de certificados. Essa política de emissão restringe os certificados que as ACs no pool de AC têm permissão para emitir. É possível atualizar a política de emissão de um pool de ACs depois de criá-lo. Para mais informações, consulte Visão geral de modelos e políticas de emissão.

Para mais informações sobre como configurar uma política de emissão de certificados, consulte Adicionar uma política de emissão de certificados a um pool de ACs.

Opções de publicação

É possível configurar um pool de ACs para publicar os certificados de cada uma das ACs. Ao emitir um certificado, o URL para esse certificado de CA é incluído no certificado como uma extensão de acesso a informações de autoridade (AIA, na sigla em inglês).

As CAs em pools de CAs de nível Enterprise podem ter permissão para publicar listas de revogação de certificados (CRLs) no bucket associado do Cloud Storage. Ao emitir um certificado, um URL para essa CRL é incluído no certificado como a extensão CRL Distribution Point (CDP). Não é possível encontrar a CRL sem a extensão CDP no certificado. Para mais informações, consulte Revogar certificados.

Também é possível selecionar o formato de codificação dos certificados de CA e CRLs publicados. Os formatos de codificação com suporte são Privacy Enhanced Mail (PEM) e Distinguiked Encoding Rules (DER). Se um formato de codificação não for especificado, o PEM será usado.

Se você criar o pool de CAs usando a Google Cloud CLI ou o console do Google Cloud, o serviço de CA ativará essas opções de publicação por padrão. Para mais informações, consulte Como desativar o certificado de CA e a publicação da CRL para CAs em um pool de CA.

Criar um pool de CA

Para criar um pool de ACs, use as seguintes instruções:

Console

Escolha um nome para o pool de ACs

  1. Acesse a página Certificate Authority Service no console do Google Cloud.

    Acessar o Certificate Authority Service (em inglês)

  2. Clique em Gerenciador de pools de CA.

  3. Clique em Criar pool.

  4. Adicione um nome para o pool de ACs exclusivo para a região.

  5. Selecione uma região na lista suspensa do campo Região. Para mais informações, consulte Como escolher o melhor local.

  6. Selecione o nível Enterprise ou DevOps. Para mais informações, consulte Selecionar os níveis de operação.

  7. Clique em Próxima.

Configurar algoritmos e tamanhos de chave permitidos

O CA Service permite escolher os algoritmos de assinatura das chaves do Cloud KMS que apoiam as ACs no pool de ACs. Todos os principais algoritmos são permitidos por padrão.

Para restringir as chaves permitidas nos certificados emitidos pelo pool de ACs, faça o seguinte. Esse procedimento é opcional.

  1. Clique no botão de alternância.
  2. Clique em Adicionar um item.

  3. Na lista Tipo, selecione o tipo de chave.

    Se você quiser usar chaves RSA, faça o seguinte:

    1. Opcional: adicione o tamanho mínimo do módulo em bits.
    2. Opcional: adicione o tamanho máximo do módulo em bits.
    3. Clique em Concluído.

    Se você quiser usar teclas de curva elíptica, faça o seguinte:

    1. Opcional: na lista Tipo de curva elíptica, selecione o tipo de curva elíptica.
    2. Clique em Concluído.

  4. Para adicionar outra chave permitida, clique em Adicionar um item e repita a etapa 2.

  5. Clique em Próxima.

Configurar métodos de solicitação de certificado

Para limitar os métodos que os solicitantes de certificados podem usar para solicitar certificados do pool de ACs, faça o seguinte:

  1. Opcional: para restringir solicitações de certificado baseadas em CSR, clique no botão de alternância.
  2. Opcional: para restringir solicitações de certificado baseadas em configuração, clique no botão de alternância.

Configurar opções de publicação

Para configurar as opções de publicação, faça o seguinte:

  1. Opcional: para proibir a publicação de certificados de AC no bucket do Cloud Storage para as ACs no pool de AC, clique no botão de alternância.
  2. Opcional: para proibir a publicação de CRLs no bucket do Cloud Storage para as CAs no pool de ACs, clique no botão de alternância.

  3. Clique no menu para selecionar o formato de codificação dos certificados CA e CRLs publicados.

    Configure opções de publicação para certificados de CA e CRLs para as CAs no pool de CA.

  4. Clique em Próxima.

Configurar restrições de identidade

Para configurar restrições de assunto e SANs nos certificados emitidos pelo pool de ACs, faça o seguinte:

  1. Opcional: para não permitir que o assunto de solicitações de certificado seja transmitido, clique no botão de alternância.
  2. Opcional: para impedir a transmissão de nomes alternativos de assunto em solicitações de certificado, clique no botão de alternância.
  3. Opcional: adicione uma expressão Common Expression Language (CEL) para impor restrições aos assuntos do certificado. Para mais informações, consulte Como usar a CEL.
  4. Clique em Próxima.
Configurar restrições de extensão

Para impedir que todas as extensões de solicitações de certificado sejam incluídas nos certificados emitidos, clique no botão de alternância.

Depois de clicar no botão, você verá o campo Extensões de certificado conhecidas, que pode ser usada para selecionar as extensões de certificado. Para selecionar as extensões de certificado, faça o seguinte:

  1. Opcional: clique no campo Extensões de certificado conhecidas e limpe as extensões desnecessárias no menu.
  2. Opcional: no campo Extensões personalizadas, adicione os identificadores de objeto das extensões que você quer incluir nos certificados emitidos pelo pool de ACs.
Configurar valores de referência

Para configurar valores de referência nos certificados emitidos pelo pool de ACs, faça o seguinte:

  1. Clique no botão de alternância.
  2. Clique em Configurar valores de referência.
Definir o uso de chave base

Use esta configuração para definir como a chave contida no certificado pode ser usada. As opções para uso de chaves incluem criptografia de chaves, de dados, de certificados, de CRL e muito mais.

Para mais informações, consulte Uso de chaves

Para definir os usos básicos de chave, faça o seguinte:

  1. Opcional: na janela exibida, clique no botão de alternância se quiser especificar os usos de chave base nos certificados.
  2. Marque as caixas de seleção para as formas em que você deseja que uma chave seja usada.
    3. Selecione as formas gerais em que você quer que uma chave seja usada.
  3. Clique em Próxima.
Definir o uso estendido da chave

Use essa configuração para selecionar cenários mais granulares em que a chave contida no certificado pode ser usada. As opções incluem autenticação do servidor, autenticação do cliente, assinatura de código, proteção de e-mail e muito mais.

Os usos de chave estendidos são definidos com identificadores de objeto (OIDs). Se você não configurar os usos de chave estendidos, todos os cenários de uso de chave serão permitidos.

Para saber mais, consulte Uso estendido de chave.

Para definir os usos de chave estendidos, faça o seguinte:

  1. Opcional: para especificar o uso de chave estendido nos certificados emitidos pelo pool de ACs, clique no botão de alternância.
  2. Marque as caixas de seleção dos cenários de uso de chave estendido.
  3. Clique em Próxima.
Definir identificadores de políticas

A extensão das políticas de certificado no certificado expressa as políticas que o pool de ACs emissoras segue. Essa extensão pode incluir informações sobre como as identidades são validadas antes da emissão do certificado, como os certificados são revogados e como a integridade do pool de AC é garantida. Essa extensão ajuda a verificar os certificados emitidos pelo pool de ACs e a ver como os certificados são usados.

Saiba mais em Políticas de certificado.

Para especificar a política que define o uso do certificado, faça o seguinte:

  1. Opcional: adicione o identificador da política no campo Identificadores da política.
  2. Clique em Próxima.
Adicionar servidores OCSP de acesso a informações de autoridade (AIA)

A extensão AIA em um certificado fornece as seguintes informações:

  • Endereço dos servidores OCSP em que é possível verificar o status de revogação do certificado.
  • O método de acesso do emissor do certificado.

Para saber mais, consulte Acesso a informações de autoridade.

Para adicionar os servidores OCSP que aparecem no campo de extensão AIA nos certificados, faça o seguinte. O procedimento a seguir é opcional.

  1. Opcional: clique em Adicionar item.
  2. No campo URL do servidor, adicione o URL do servidor OCSP.
  3. Clique em Concluído.
  4. Clique em Próxima.
Configurar extensões adicionais

Para configurar mais extensões personalizadas a serem incluídas nos certificados emitidos pelo pool de ACs, faça o seguinte. O procedimento a seguir é opcional.

  1. Clique em Adicionar item.
  2. No campo Identificador de objeto, adicione um identificador de objeto válido formatado como dígitos separados por pontos.
  3. No campo Valor, adicione o valor codificado em base64 para o identificador.
  4. Se a extensão for essencial, selecione A extensão é essencial.

Para salvar todas as configurações dos valores de referência, clique em Concluído.

Para criar o pool de ACs, clique em Concluído.

gcloud

Execute este comando:

gcloud privateca pools create POOL_NAME

Substitua POOL_NAME pelo nome do pool de ACs.

Se você não especificar qual nível precisa para seu pool de ACs, o nível Enterprise será selecionado por padrão. Se você quiser especificar o nível do pool de ACs, execute o seguinte comando gcloud:

gcloud privateca pools create POOL_NAME --tier=TIER_NAME

Substitua:

Se você não especificar o formato de codificação de publicação para seu pool de ACs, o formato de codificação de publicação PEM será selecionado por padrão. Se você quiser especificar o formato de codificação de publicação para seu pool de ACs, execute o seguinte comando gcloud:

gcloud privateca pools create POOL_NAME --publishing-encoding-format=PUBLISHING_ENCODING_FORMAT

Substitua:

  • POOL_NAME: o nome do pool de ACs.
  • PUBLISHING_ENCODING_FORMAT: PEM ou DER.

Para mais informações sobre o comando gcloud privateca pools create, consulte gcloud privateca pools create.

Para informações sobre como aplicar restrições aos tipos de certificados que um pool de ACs pode emitir, consulte Adicionar uma política de emissão de certificados a um pool de ACs.

Terraform

resource "google_privateca_ca_pool" "default" {
  name     = "ca-pool"
  location = "us-central1"
  tier     = "ENTERPRISE"
  publishing_options {
    publish_ca_cert = true
    publish_crl     = true
  }
  labels = {
    foo = "bar"
  }
}

Go

Para autenticar o serviço de CA, configure o Application Default Credentials. Para mais informações, consulte Configurar a autenticação para um ambiente de desenvolvimento local. 

import (
	"context"
	"fmt"
	"io"

	privateca "cloud.google.com/go/security/privateca/apiv1"
	"cloud.google.com/go/security/privateca/apiv1/privatecapb"
)

// Create a Certificate Authority pool. All certificates created under this CA pool will
// follow the same issuance policy, IAM policies, etc.
func createCaPool(w io.Writer, projectId string, location string, caPoolId string) error {
	// projectId := "your_project_id"
	// location := "us-central1"	// For a list of locations, see: https://cloud.google.com/certificate-authority-service/docs/locations.
	// caPoolId := "ca-pool-id"		// A unique id/name for the ca pool.

	ctx := context.Background()
	caClient, err := privateca.NewCertificateAuthorityClient(ctx)
	if err != nil {
		return fmt.Errorf("NewCertificateAuthorityClient creation failed: %w", err)
	}
	defer caClient.Close()

	caPool := &privatecapb.CaPool{
		// Set the tier (see: https://cloud.google.com/certificate-authority-service/docs/tiers).
		Tier: privatecapb.CaPool_ENTERPRISE,
	}

	locationPath := fmt.Sprintf("projects/%s/locations/%s", projectId, location)

	// See https://pkg.go.dev/cloud.google.com/go/security/privateca/apiv1/privatecapb#CreateCaPoolRequest.
	req := &privatecapb.CreateCaPoolRequest{
		Parent:   locationPath,
		CaPoolId: caPoolId,
		CaPool:   caPool,
	}

	op, err := caClient.CreateCaPool(ctx, req)
	if err != nil {
		return fmt.Errorf("CreateCaPool failed: %w", err)
	}

	if _, err = op.Wait(ctx); err != nil {
		return fmt.Errorf("CreateCaPool failed during wait: %w", err)
	}

	fmt.Fprintf(w, "CA Pool created")

	return nil
}

Java

Para autenticar o serviço de CA, configure o Application Default Credentials. Para mais informações, consulte Configurar a autenticação para um ambiente de desenvolvimento local. 


import com.google.api.core.ApiFuture;
import com.google.cloud.security.privateca.v1.CaPool;
import com.google.cloud.security.privateca.v1.CaPool.IssuancePolicy;
import com.google.cloud.security.privateca.v1.CaPool.Tier;
import com.google.cloud.security.privateca.v1.CertificateAuthorityServiceClient;
import com.google.cloud.security.privateca.v1.CertificateIdentityConstraints;
import com.google.cloud.security.privateca.v1.CreateCaPoolRequest;
import com.google.cloud.security.privateca.v1.LocationName;
import com.google.longrunning.Operation;
import java.io.IOException;
import java.util.concurrent.ExecutionException;

public class CreateCaPool {

  public static void main(String[] args)
      throws InterruptedException, ExecutionException, IOException {
    // TODO(developer): Replace these variables before running the sample.
    // location: For a list of locations, see:
    // https://cloud.google.com/certificate-authority-service/docs/locations
    // poolId: Set a unique poolId for the CA pool.
    String project = "your-project-id";
    String location = "ca-location";
    String poolId = "ca-pool-id";
    createCaPool(project, location, poolId);
  }

  // Create a Certificate Authority Pool. All certificates created under this CA pool will
  // follow the same issuance policy, IAM policies,etc.,
  public static void createCaPool(String project, String location, String poolId)
      throws InterruptedException, ExecutionException, IOException {
    // Initialize client that will be used to send requests. This client only needs to be created
    // once, and can be reused for multiple requests. After completing all of your requests, call
    // the `certificateAuthorityServiceClient.close()` method on the client to safely
    // clean up any remaining background resources.
    try (CertificateAuthorityServiceClient certificateAuthorityServiceClient =
        CertificateAuthorityServiceClient.create()) {

      IssuancePolicy issuancePolicy = IssuancePolicy.newBuilder()
          .setIdentityConstraints(CertificateIdentityConstraints.newBuilder()
              .setAllowSubjectPassthrough(true)
              .setAllowSubjectAltNamesPassthrough(true)
              .build())
          .build();

      /* Create the pool request
        Set Parent which denotes the project id and location.
        Set the Tier (see: https://cloud.google.com/certificate-authority-service/docs/tiers).
      */
      CreateCaPoolRequest caPoolRequest =
          CreateCaPoolRequest.newBuilder()
              .setParent(LocationName.of(project, location).toString())
              .setCaPoolId(poolId)
              .setCaPool(
                  CaPool.newBuilder()
                      .setIssuancePolicy(issuancePolicy)
                      .setTier(Tier.ENTERPRISE)
                      .build())
              .build();

      // Create the CA pool.
      ApiFuture<Operation> futureCall =
          certificateAuthorityServiceClient.createCaPoolCallable().futureCall(caPoolRequest);
      Operation response = futureCall.get();

      if (response.hasError()) {
        System.out.println("Error while creating CA pool !" + response.getError());
        return;
      }

      System.out.println("CA pool created successfully: " + poolId);
    }
  }
}

Python

Para autenticar o serviço de CA, configure o Application Default Credentials. Para mais informações, consulte Configurar a autenticação para um ambiente de desenvolvimento local. 

import google.cloud.security.privateca_v1 as privateca_v1

def create_ca_pool(project_id: str, location: str, ca_pool_name: str) -> None:
    """
    Create a Certificate Authority pool. All certificates created under this CA pool will
    follow the same issuance policy, IAM policies,etc.,

    Args:
        project_id: project ID or project number of the Cloud project you want to use.
        location: location you want to use. For a list of locations, see: https://cloud.google.com/certificate-authority-service/docs/locations.
        ca_pool_name: a unique name for the ca pool.
    """

    caServiceClient = privateca_v1.CertificateAuthorityServiceClient()

    ca_pool = privateca_v1.CaPool(
        # Set the tier (see: https://cloud.google.com/certificate-authority-service/docs/tiers).
        tier=privateca_v1.CaPool.Tier.ENTERPRISE,
    )
    location_path = caServiceClient.common_location_path(project_id, location)

    # Create the pool request.
    request = privateca_v1.CreateCaPoolRequest(
        parent=location_path,
        ca_pool_id=ca_pool_name,
        ca_pool=ca_pool,
    )

    # Create the CA pool.
    operation = caServiceClient.create_ca_pool(request=request)

    print("Operation result:", operation.result())

API REST

  1. Crie um pool de ACs.

    Método HTTP e URL: 

    POST https://privateca.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/caPools\?ca_pool_id=POOL_ID

    Corpo JSON da solicitação: 

    {
"tier": "ENTERPRISE"
}

    Para enviar a solicitação, expanda uma destas opções:

    Você receberá uma resposta JSON semelhante a esta:

    {
 "name": "projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID",
 "metadata": {...},
 "done": false
}

  2. Pesquise a operação até que ela seja concluída.

    A operação será concluída quando a propriedade done da operação de longa duração for definida como true.

    Método HTTP e URL: 

    GET https://privateca.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID

    Para enviar a solicitação, expanda uma destas opções:

    Você receberá uma resposta JSON semelhante a esta:

    {
 "name": "projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID",
 "metadata": {...},
 "done": true,
 "response": {
   "@type": "type.googleapis.com/google.cloud.security.privateca.v1.CaPool",
   "name": "...",
   "tier": "ENTERPRISE"
 }
}

Adicionar ou atualizar rótulos em um pool de ACs

Um rótulo é um par de chave-valor que ajuda você a organizar seus recursos de serviço de CA. Filtre os recursos com base nos rótulos.

Para adicionar ou atualizar rótulos em um pool de ACs, faça o seguinte:

Console

Para adicionar um marcador, faça o seguinte:

  1. Acesse a página Certificate Authority Service.

    Acessar o Certificate Authority Service (em inglês)

  2. Na guia Gerenciador de pools de CAs, selecione o pool de CA.

  3. Clique em Marcadores.

  4. Clique em Adicionar rótulo.

  5. Adiciona um par de chave-valor.

  6. Clique em Salvar.

    Adicione um rótulo a um pool de ACs.

Para editar um marcador existente, faça o seguinte:

  1. Acesse a página Certificate Authority Service.

    Acessar o Certificate Authority Service (em inglês)

  2. Na guia Gerenciador de pools de CAs, selecione o pool de CA.

  3. Clique em Marcadores.

  4. Edite o valor do rótulo.

  5. Clique em Salvar.

gcloud

Execute este comando:

gcloud privateca pools update POOL_ID --update-labels foo=bar

Substitua POOL_ID pelo nome do pool de ACs.

A seguir