Criar um pool de CA

Nesta página, descrevemos como criar pools de autoridades de certificação (CA).

Um pool de ACs é uma coleção de várias ACs com uma política comum de emissão de certificados e uma política do Identity and Access Management (IAM). Um pool de CA facilita o gerenciamento de rotação de CA e permite alcançar um total de consultas efetivas por segundo (QPS) mais alto.

Você precisa criar um pool de CAs antes de usar o Certificate Authority Service para criar uma CA. Para mais informações, consulte Visão geral dos pools de CA.

Antes de começar

Verifique se você tem o papel do IAM de Gerente de operações de serviço de CA (roles/privateca.caManager). Para informações sobre como conceder um IAM a um principal, consulte Conceder um único papel.

Decidir as configurações do pool de ACs

Nesta seção, descrevemos as configurações de um pool de ACs e fornecemos recomendações para decidir as configurações.

Configurações do pool de CA permanente

As seguintes configurações do pool de ACs não podem ser alteradas após a criação do pool de ACs.

Local

Especifique o local do pool de ACs. Um pool de ACs é armazenado em um único local do Google Cloud. Recomendamos que você crie seu pool de ACs no mesmo local ou perto do local onde pretende usá-lo.

Para ver a lista completa de locais compatíveis, consulte Locais.

Nível

Escolha se você quer criar o pool de ACs com o nível DevOps ou Enterprise. Essa escolha afeta se o serviço de CA mantém os certificados criados, se eles podem ser revogados posteriormente e a taxa máxima com que é possível criar certificados usando as CAs no pool de ACs. Para mais informações, consulte Selecionar os níveis de operação.

Configurações opcionais do pool de ACs

Política de emissão de certificados

Um pool de ACs pode ter uma política de emissão de certificados. Esta política de emissão restringe os certificados que as CAs no pool de CAs têm permissão para emitir. É possível atualizar a política de emissão de um pool de ACs depois de criá-lo. Para mais informações, consulte Visão geral de modelos e políticas de emissão.

Para mais informações sobre como configurar uma política de emissão de certificados, consulte Adicionar uma política de emissão de certificados a um pool de ACs.

Opções de publicação

É possível configurar um pool de CAs para publicar os certificados de cada CA. Ao emitir um certificado, o URL para esse certificado de CA é incluído no certificado como uma extensão de acesso a informações de autoridade (AIA).

As CAs em pools de CAs de nível Enterprise podem ter permissão para publicar listas de revogação de certificados (CRLs) no bucket associado do Cloud Storage. Ao emitir um certificado, um URL para essa CRL é incluído no certificado como a extensão CRL Distribution Point (CDP). Não é possível encontrar a CRL sem a extensão CDP no certificado. Para mais informações, consulte Revogar certificados.

Também é possível selecionar o formato de codificação de certificados de CA e CRLs publicados. Os formatos de codificação compatíveis são Privacy Enhanced Mail (PEM) e Distinguined Encoding Rules (DER). Se um formato de codificação não for especificado, será usado o PEM.

Se você criar o pool de CAs usando a Google Cloud CLI ou o console do Google Cloud, o serviço de CA vai ativar essas opções de publicação por padrão. Para mais informações, consulte Como desativar o certificado de CA e a publicação da CRL para CAs em um pool de CA.

Criar um pool de CA

Para criar um pool de ACs, use as seguintes instruções:

Console

Escolher um nome para o pool de ACs

  1. Acesse a página Certificate Authority Service no console do Google Cloud.

    Acessar o Certificate Authority Service (em inglês)

  2. Clique em Gerenciador de pools de CAs.

  3. Clique em Criar pool.

  4. Adicione um nome ao pool de ACs exclusivo para a região.

  5. Na lista suspensa, selecione uma região no campo Região. Para mais informações, consulte Como escolher o melhor local.

  6. Selecione o nível Enterprise ou DevOps. Para mais informações, consulte Selecionar os níveis de operação.

  7. Clique em Próxima.

Configurar algoritmos e tamanhos de chave permitidos

Com o CA Service, você escolhe os algoritmos de assinatura das chaves do Cloud KMS que apoiam as CAs no pool de ACs. Todos os principais algoritmos são permitidos por padrão.

Para restringir as chaves permitidas nos certificados emitidos pelo pool de ACs, faça o seguinte. Esse procedimento é opcional.

  1. Clique no botão de alternância.
  2. Clique em Adicionar um item.
  3. Na lista Tipo, selecione o tipo de chave.

    Se você quiser usar chaves RSA, faça o seguinte:

    1. Opcional: adicione o tamanho mínimo do módulo em bits.
    2. Opcional: adicione o tamanho máximo do módulo em bits.
    3. Clique em Concluído.

    Se você quiser usar teclas de curva elíptica, faça o seguinte:

    1. Opcional: na lista Tipo de curva elíptica, selecione o tipo de curva elíptica.
    2. Clique em Concluído.
  4. Para adicionar outra chave permitida, clique em Adicionar um item e repita a etapa 2.

  5. Clique em Próxima.

Configurar métodos de solicitação de certificado

Para limitar os métodos que os solicitantes de certificados podem usar para solicitar certificados do pool de ACs, faça o seguinte:

  1. Opcional: para restringir solicitações de certificado com base nos CSR, clique no botão de alternância.
  2. Opcional: para restringir solicitações de certificado com base na configuração, clique no botão de alternância.

Configurar opções de publicação

Para configurar as opções de publicação, faça o seguinte:

  1. Opcional: para proibir a publicação de certificados de CA no bucket do Cloud Storage para as CAs no pool de CAs, clique no botão de alternância.
  2. Opcional: para proibir a publicação de CRLs no bucket do Cloud Storage para as CAs no pool de CAs, clique no botão de alternância.
  3. Clique no menu para selecionar o formato de codificação dos certificados CA e CRLs publicados.

    Configure opções de publicação para certificados de CA e CRLs para as CAs no pool de CAs.

  4. Clique em Próxima.

Configurar restrições de identidade

Para configurar restrições de assunto e SANs nos certificados que o pool de CAs emite, faça o seguinte:

  1. Opcional: para impedir a transmissão do assunto de solicitações de certificado, clique no botão de alternância.
  2. Opcional: para impedir a transmissão de nomes alternativos do assunto em solicitações de certificado, clique no botão de alternância.
  3. Opcional: adicione uma expressão Common Expression Language (CEL) para impor restrições a assuntos de certificados. Para mais informações, consulte Como usar a CEL.
  4. Clique em Próxima.
Configurar restrições de extensão

Para impedir que todas as extensões de solicitações de certificado sejam incluídas nos certificados emitidos, clique no botão de ativação.

Depois de clicar no botão de alternância, você verá o campo Extensões de certificado conhecidas, que pode ser usado para selecionar as extensões de certificado. Para selecionar as extensões de certificado, faça o seguinte:

  1. Opcional: clique no campo Extensões de certificado conhecidas e limpe as extensões desnecessárias do menu.
  2. Opcional: no campo Extensões personalizadas, adicione os identificadores de objeto das extensões que você quer incluir nos certificados emitidos pelo pool de ACs.
Configurar valores de referência

Para configurar valores de referência nos certificados emitidos do pool de ACs, faça o seguinte:

  1. Clique no botão de alternância.
  2. Clique em Configurar valores de referência.
Definir o uso da chave base

Use esta configuração para definir as maneiras como a chave contida no certificado pode ser usada. As opções para uso de chaves incluem codificação de chaves, de dados, de certificados, de CRLs e muito mais.

Para mais informações, consulte Uso da chave.

Para definir os usos de chave base, faça o seguinte:

  1. Opcional: na janela exibida, clique no botão de alternância se quiser especificar os usos de chave base para os certificados.
  2. Marque as caixas de seleção correspondentes a como você quer que a chave seja usada.
  3. Selecione as formas gerais em que você quer que uma chave seja usada.
  4. Clique em Próxima.
Definir o uso estendido da chave

É possível usar essa configuração para selecionar cenários mais granulares em que a chave contida no certificado pode ser usada. As opções incluem autenticação do servidor, autenticação do cliente, assinatura de código, proteção de e-mail e muito mais.

Os usos de chave estendidos são definidos com identificadores de objeto (OIDs). Se você não configurar os usos de chave estendidos, todos os cenários de uso de chave serão permitidos.

Para saber mais, consulte Uso estendido de chave.

Para definir os usos de chave estendidos, faça o seguinte:

  1. Opcional: para especificar o uso de chaves estendidos para os certificados que o pool de CAs emite, clique no botão de alternância.
  2. Marque as caixas de seleção dos cenários de uso de chave estendido.
  3. Clique em Próxima.
Definir identificadores de políticas

A extensão das políticas de certificado no certificado expressa as políticas que o pool de CAs emissoras segue. Essa extensão pode incluir informações sobre como as identidades são validadas antes da emissão do certificado, como os certificados são revogados e como a integridade do pool de ACs é garantida. Essa extensão ajuda a verificar os certificados que o pool de CAs emite e a ver como os certificados são usados.

Veja mais informações em Políticas de certificado.

Para especificar a política que define o uso do certificado, faça o seguinte:

  1. Opcional: adicione o identificador da política no campo Identificadores da política.
  2. Clique em Próxima.
Adicionar servidores OCSP de acesso a informações de autoridade (AIA)

A extensão AIA em um certificado fornece as seguintes informações:

  • Endereço dos servidores OCSP de onde é possível verificar o status de revogação do certificado.
  • O método de acesso para o emissor do certificado.

Para mais informações, consulte Acesso a informações de autoridade.

Para adicionar os servidores OCSP que aparecem no campo de extensão AIA nos certificados, faça o seguinte. O procedimento a seguir é opcional.

  1. Opcional: clique em Adicionar item.
  2. No campo URL do servidor, adicione o URL do servidor OCSP.
  3. Clique em Concluído.
  4. Clique em Próxima.
Configurar outras extensões

Para configurar outras extensões personalizadas que serão incluídas nos certificados emitidos pelo pool de ACs, faça o seguinte. O procedimento a seguir é opcional.

  1. Clique em Adicionar item.
  2. No campo Identificador de objeto, adicione um identificador de objeto válido que seja formatado como dígitos separados por pontos.
  3. No campo Valor, adicione o valor codificado em base64 para o identificador.
  4. Se a extensão for essencial, selecione A extensão é essencial.

Para salvar todas as configurações dos valores de referência, clique em Concluído.

Para criar o pool de CAs, clique em Concluído.

gcloud

Execute este comando:

gcloud privateca pools create POOL_NAME

Substitua POOL_NAME pelo nome do pool de ACs.

Se você não especificar qual nível precisa para seu pool de CAs, o nível Enterprise será selecionado por padrão. Se você quiser especificar o nível do pool de CAs, execute o seguinte comando gcloud:

gcloud privateca pools create POOL_NAME --tier=TIER_NAME

Substitua:

Se você não especificar o formato de codificação de publicação para seu pool de CAs, o formato de codificação de publicação PEM será selecionado por padrão. Se você quiser especificar o formato de codificação de publicação para seu pool de CAs, execute o seguinte comando gcloud:

gcloud privateca pools create POOL_NAME --publishing-encoding-format=PUBLISHING_ENCODING_FORMAT

Substitua:

  • POOL_NAME: o nome do pool de ACs.
  • PUBLISHING_ENCODING_FORMAT: PEM ou DER.

Para mais informações sobre o comando gcloud privateca pools create, consulte gcloud privateca pools create.

Para informações sobre como aplicar restrições aos tipos de certificados que um pool de ACs pode emitir, consulte Adicionar uma política de emissão de certificados a um pool de ACs.

Terraform

resource "google_privateca_ca_pool" "default" {
  name     = "ca-pool"
  location = "us-central1"
  tier     = "ENTERPRISE"
  publishing_options {
    publish_ca_cert = true
    publish_crl     = true
  }
  labels = {
    foo = "bar"
  }
}

Go

Para autenticar no serviço de CA, configure o Application Default Credentials. Para mais informações, consulte Configurar a autenticação para um ambiente de desenvolvimento local.

import (
	"context"
	"fmt"
	"io"

	privateca "cloud.google.com/go/security/privateca/apiv1"
	"cloud.google.com/go/security/privateca/apiv1/privatecapb"
)

// Create a Certificate Authority pool. All certificates created under this CA pool will
// follow the same issuance policy, IAM policies, etc.
func createCaPool(w io.Writer, projectId string, location string, caPoolId string) error {
	// projectId := "your_project_id"
	// location := "us-central1"	// For a list of locations, see: https://cloud.google.com/certificate-authority-service/docs/locations.
	// caPoolId := "ca-pool-id"		// A unique id/name for the ca pool.

	ctx := context.Background()
	caClient, err := privateca.NewCertificateAuthorityClient(ctx)
	if err != nil {
		return fmt.Errorf("NewCertificateAuthorityClient creation failed: %w", err)
	}
	defer caClient.Close()

	caPool := &privatecapb.CaPool{
		// Set the tier (see: https://cloud.google.com/certificate-authority-service/docs/tiers).
		Tier: privatecapb.CaPool_ENTERPRISE,
	}

	locationPath := fmt.Sprintf("projects/%s/locations/%s", projectId, location)

	// See https://pkg.go.dev/cloud.google.com/go/security/privateca/apiv1/privatecapb#CreateCaPoolRequest.
	req := &privatecapb.CreateCaPoolRequest{
		Parent:   locationPath,
		CaPoolId: caPoolId,
		CaPool:   caPool,
	}

	op, err := caClient.CreateCaPool(ctx, req)
	if err != nil {
		return fmt.Errorf("CreateCaPool failed: %w", err)
	}

	if _, err = op.Wait(ctx); err != nil {
		return fmt.Errorf("CreateCaPool failed during wait: %w", err)
	}

	fmt.Fprintf(w, "CA Pool created")

	return nil
}

Java

Para autenticar no serviço de CA, configure o Application Default Credentials. Para mais informações, consulte Configurar a autenticação para um ambiente de desenvolvimento local.


import com.google.api.core.ApiFuture;
import com.google.cloud.security.privateca.v1.CaPool;
import com.google.cloud.security.privateca.v1.CaPool.IssuancePolicy;
import com.google.cloud.security.privateca.v1.CaPool.Tier;
import com.google.cloud.security.privateca.v1.CertificateAuthorityServiceClient;
import com.google.cloud.security.privateca.v1.CertificateIdentityConstraints;
import com.google.cloud.security.privateca.v1.CreateCaPoolRequest;
import com.google.cloud.security.privateca.v1.LocationName;
import com.google.longrunning.Operation;
import java.io.IOException;
import java.util.concurrent.ExecutionException;

public class CreateCaPool {

  public static void main(String[] args)
      throws InterruptedException, ExecutionException, IOException {
    // TODO(developer): Replace these variables before running the sample.
    // location: For a list of locations, see:
    // https://cloud.google.com/certificate-authority-service/docs/locations
    // poolId: Set a unique poolId for the CA pool.
    String project = "your-project-id";
    String location = "ca-location";
    String poolId = "ca-pool-id";
    createCaPool(project, location, poolId);
  }

  // Create a Certificate Authority Pool. All certificates created under this CA pool will
  // follow the same issuance policy, IAM policies,etc.,
  public static void createCaPool(String project, String location, String poolId)
      throws InterruptedException, ExecutionException, IOException {
    // Initialize client that will be used to send requests. This client only needs to be created
    // once, and can be reused for multiple requests. After completing all of your requests, call
    // the `certificateAuthorityServiceClient.close()` method on the client to safely
    // clean up any remaining background resources.
    try (CertificateAuthorityServiceClient certificateAuthorityServiceClient =
        CertificateAuthorityServiceClient.create()) {

      IssuancePolicy issuancePolicy = IssuancePolicy.newBuilder()
          .setIdentityConstraints(CertificateIdentityConstraints.newBuilder()
              .setAllowSubjectPassthrough(true)
              .setAllowSubjectAltNamesPassthrough(true)
              .build())
          .build();

      /* Create the pool request
        Set Parent which denotes the project id and location.
        Set the Tier (see: https://cloud.google.com/certificate-authority-service/docs/tiers).
      */
      CreateCaPoolRequest caPoolRequest =
          CreateCaPoolRequest.newBuilder()
              .setParent(LocationName.of(project, location).toString())
              .setCaPoolId(poolId)
              .setCaPool(
                  CaPool.newBuilder()
                      .setIssuancePolicy(issuancePolicy)
                      .setTier(Tier.ENTERPRISE)
                      .build())
              .build();

      // Create the CA pool.
      ApiFuture<Operation> futureCall =
          certificateAuthorityServiceClient.createCaPoolCallable().futureCall(caPoolRequest);
      Operation response = futureCall.get();

      if (response.hasError()) {
        System.out.println("Error while creating CA pool !" + response.getError());
        return;
      }

      System.out.println("CA pool created successfully: " + poolId);
    }
  }
}

Python

Para autenticar no serviço de CA, configure o Application Default Credentials. Para mais informações, consulte Configurar a autenticação para um ambiente de desenvolvimento local.

import google.cloud.security.privateca_v1 as privateca_v1

def create_ca_pool(project_id: str, location: str, ca_pool_name: str) -> None:
    """
    Create a Certificate Authority pool. All certificates created under this CA pool will
    follow the same issuance policy, IAM policies,etc.,

    Args:
        project_id: project ID or project number of the Cloud project you want to use.
        location: location you want to use. For a list of locations, see: https://cloud.google.com/certificate-authority-service/docs/locations.
        ca_pool_name: a unique name for the ca pool.
    """

    caServiceClient = privateca_v1.CertificateAuthorityServiceClient()

    ca_pool = privateca_v1.CaPool(
        # Set the tier (see: https://cloud.google.com/certificate-authority-service/docs/tiers).
        tier=privateca_v1.CaPool.Tier.ENTERPRISE,
    )
    location_path = caServiceClient.common_location_path(project_id, location)

    # Create the pool request.
    request = privateca_v1.CreateCaPoolRequest(
        parent=location_path,
        ca_pool_id=ca_pool_name,
        ca_pool=ca_pool,
    )

    # Create the CA pool.
    operation = caServiceClient.create_ca_pool(request=request)

    print("Operation result:", operation.result())

API REST

  1. Crie um pool de ACs.

    Método HTTP e URL:

    POST https://privateca.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/caPools\?ca_pool_id=POOL_ID

    Corpo JSON da solicitação:

    {
    "tier": "ENTERPRISE"
    }
    

    Para enviar a solicitação, expanda uma destas opções:

    Você receberá uma resposta JSON semelhante a esta:

    {
     "name": "projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID",
     "metadata": {...},
     "done": false
    }
    

  2. Pesquise a operação até que ela seja concluída.

    A operação será concluída quando a propriedade done da operação de longa duração for definida como true.

    Método HTTP e URL:

    GET https://privateca.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID

    Para enviar a solicitação, expanda uma destas opções:

    Você receberá uma resposta JSON semelhante a esta:

    {
     "name": "projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID",
     "metadata": {...},
     "done": true,
     "response": {
       "@type": "type.googleapis.com/google.cloud.security.privateca.v1.CaPool",
       "name": "...",
       "tier": "ENTERPRISE"
     }
    }
    

Adicionar ou atualizar rótulos em um pool de ACs

Um rótulo é um par de chave-valor que ajuda a organizar os recursos de serviço de AC. É possível filtrar os recursos com base nos rótulos.

Para adicionar ou atualizar rótulos em um pool de ACs, faça o seguinte:

Console

Para adicionar um rótulo, faça o seguinte:

  1. Acesse a página Certificate Authority Service.

    Acessar o Certificate Authority Service (em inglês)

  2. Na guia Gerenciador de pools de CAs, selecione o pool de ACs.

  3. Clique em Marcadores.

  4. Clique em Adicionar marcador.

  5. Adiciona um par de chave-valor.

  6. Clique em Save.

    Adicione um rótulo a um pool de ACs.

Para editar um rótulo existente, faça o seguinte:

  1. Acesse a página Certificate Authority Service.

    Acessar o Certificate Authority Service (em inglês)

  2. Na guia Gerenciador de pools de CAs, selecione o pool de ACs.

  3. Clique em Marcadores.

  4. Edite o valor do rótulo.

  5. Clique em Save.

gcloud

Execute este comando:

gcloud privateca pools update POOL_ID --update-labels foo=bar

Substitua POOL_ID pelo nome do pool de ACs.

A seguir