Control de acceso con IAM

En esta página, se describen las funciones de IAM para Certificate Authority Service.

CA Service usa funciones de administración de identidades y accesos (IAM) para el control de acceso. Para controlar el acceso con IAM, debes definir quién (identidad) tiene qué acceso (función) y a qué recurso. Las funciones de IAM contienen un conjunto de permisos que permiten a los usuarios realizar acciones específicas en los recursos de Google Cloud. Si sigues el principio de privilegio mínimo mientras otorgas funciones de IAM, puedes proteger la integridad de los recursos de Certificate Authority Service y administrar la seguridad del grupo de AC y de la infraestructura de clave pública (PKI) general.

Para obtener información sobre cómo asignar funciones de IAM a un usuario o una cuenta de servicio, consulta Cómo otorgar, cambiar y revocar el acceso a los recursos en la documentación de IAM.

Roles predefinidos

En la siguiente tabla, se enumeran los roles predefinidos de IAM y los permisos asociados con cada uno de ellos:

Rol Permisos Descripción
Auditor del Servicio de CA
roles/privateca.auditor		 privateca.caPools.get
privateca.caPools.getIamPolicy
privateca.caPools.list
privateca.certificateAuthorities.list
privateca.certificateAuthorities.get
privateca.certificateTemplates.get
privateca.certificateTemplates.getIamPolicy
privateca.certificateTemplates.list
privateca.certificates.list
privateca.certificates.get
privateca.locations.get
privateca.locations.list
privateca.operations.get
privateca.operations.list
privateca.certificateRevocationLists.list
privateca.certificateRevocationLists.get
privateca.certificateRevocationLists.getIamPolicy
resourcemanager.projects.get
resourcemanager.projects.list 		El rol de auditor del Servicio de CA tiene acceso de solo lectura a todos los recursos del Servicio de CA y puede recuperar y enumerar las propiedades del grupo de la AC, la AC, los certificados, las listas de revocación, las políticas de IAM y los proyectos. Te recomendamos que asignes esta función a las personas que se encargan de validar la seguridad y las operaciones del grupo de AC, y que no tengan responsabilidades diarias asignadas para administrar el servicio.
Solicitante de certificado del Servicio de CA
roles/privateca.certificateRequester		 privateca.certificates.create Un rol de solicitante de certificado del servicio de la AC puede enviar solicitudes de certificados a un grupo de AC. Te recomendamos que otorgues este rol a personas de confianza que tengan permiso para solicitar certificados.

Un usuario con este rol puede solicitar certificados arbitrarios sujetos a la política de emisión.

A diferencia del rol Administrador de certificados del servicio de CA, este rol no permite que el usuario obtenga o enumere el certificado recién emitido ni obtenga información sobre el grupo de AC.
Solicitante de certificados de cargas de trabajo del Servicio de CA
roles/privateca.workloadCertificateRequester		 privateca.certificates.createForSelf Un solicitante de certificados de cargas de trabajo del Servicio de CA puede solicitar certificados del Servicio de CA con la identidad del emisor.
Administrador de certificados del Servicio de CA
roles/privateca.certificateManager		 Todos los permisos de roles/privateca.auditor, más:
privateca.certificates.create 		Un administrador de certificados del Servicio de CA puede enviar solicitudes de emisión de certificados a un grupo de AC como el solicitante de certificado del servicio de CA. Además, esta función también hereda los permisos del rol de Auditor de CA Service. Te recomendamos que asignes este rol a personas encargadas de crear, hacer un seguimiento y revisar las solicitudes de certificados en un grupo de AC, como un administrador o un ingeniero principal.
Usuario de la plantilla de certificado del Servicio de CA
roles/privateca.templateUser		 privateca.certificateTemplates.get
privateca.certificateTemplates.list
privateca.certificateTemplates.use 		Un usuario de plantilla de certificado del Servicio de CA puede leer, enumerar y usar plantillas de certificados.
Administrador de operaciones del Servicio de CA
roles/privateca.caManager		 Todos los permisos de roles/privateca.auditor, más:
privateca.certificates.update
privateca.caPools.create
privateca.caPools.delete
privateca.caPools.update
privateca.certificateAuthorities.create
privateca.certificateAuthorities.delete
privateca.certificateAuthorities.update
privateca.certificateRevocationLists.update
privateca.certificateTemplates.create
privateca.certificateTemplates.delete
privateca.certificateTemplates.update
privateca.certificates.update
privateca.operations.cancel
privateca.operations.delete
resourcemanager.projects.get
resourcemanager.projects.list
storage.buckets.create 		Un administrador de operaciones de CA Service puede crear, actualizar y borrar grupos de AC y AC. Este rol también puede revocar certificados y crear buckets de Cloud Storage. También incluye las mismas capacidades que el Auditor del Servicio de CA. En este rol, las personas son responsables de configurar e implementar grupos de AC en la organización, además de configurar la política de emisión del grupo de AC.

Esta función no permite la creación de certificados. Para hacerlo, usa los roles de solicitante de certificado del servicio de CA, administrador de certificados del servicio de CA o administrador del servicio de CA.
Administrador de CA Service
roles/privateca.admin		 Todos los permisos de roles/privateca.certificateManager y roles/privateca.caManager, más:
privateca.*.setIamPolicy
privateca.caPools.use
privateca.operations.cancel
privateca.operations.delete
privateca.resourcemanager.projects.get
privateca.resourcemanager.projects.list
storage.buckets.create 		El rol Administrador del servicio de CA hereda los permisos de los roles de Administrador de operaciones del servicio de CA y Administrador de certificados del servicio de CA. Con este rol, se pueden realizar todas las acciones dentro de CA Service. Un administrador del servicio de CA puede establecer políticas de IAM para el grupo de AC y crear buckets de Cloud Storage. Te recomendamos que asignes este rol rara vez una vez que se establece el servicio. En este rol, las personas pueden desempeñar todos los aspectos de administración, incluida la asignación de derechos a terceros y la gestión de solicitudes de certificados en CA Service. Te recomendamos implementar un control y acceso especiales a esta cuenta de rol para evitar el acceso o el uso no autorizados.

Rol Agente de servicio de CA Service

Cuando proporciones claves de firma de Cloud KMS o buckets de Cloud Storage existentes durante la creación de la AC, la cuenta de servicio del agente de servicio de CA Service (service-PROJECT_NUMBER@gcp-sa-privateca.iam.gserviceaccount.com) debe tener acceso al recurso correspondiente.

Para Cloud KMS, se requiere roles/cloudkms.signerVerifier a fin de usar la clave de firma y leer la clave pública. roles/viewer es necesario para supervisar la clave de la integración en Cloud Monitoring.

En Cloud Storage, se requiere roles/storage.objectAdmin para escribir el certificado de AC y las CRL en un bucket. roles/storage.legacyBucketReader es necesario para supervisar el bucket para la integración de Cloud Monitoring. Si quieres obtener más información, consulta Funciones de IAM para Cloud Storage.

Cuando accedas al servicio a través de la API, ejecuta los siguientes comandos.

  1. Crear una cuenta de servicio con el rol Agente de servicio

    gcloud

    gcloud beta services identity create --service=privateca.googleapis.com --project=PROJECT_ID

    Aquí:

    • PROJECT_ID es el identificador único del proyecto en el que se crea el grupo de AC.

  2. Otorga a tu cuenta de servicio los roles roles/cloudkms.signerVerifier y roles/viewer con el siguiente comando gcloud.

    Si se proporcionan claves de firma de Cloud KMS existentes, haz lo siguiente:

    gcloud

    gcloud kms keys add-iam-policy-binding 'CRYPTOKEY_NAME' \
  --keyring='KEYRING_NAME' \
  --location='LOCATION' \
  --member='serviceAccount:service-PROJECT_NUMBER@gcp-sa-privateca.iam.gserviceaccount.com' \
  --role='roles/cloudkms.signerVerifier'

    Aquí:

    • "CRYPTOKEY_NAME" es el nombre de tu clave.
    • “KEYRING_NAME” es el nombre del llavero de claves.
    • “LOCATION” es la ubicación de Cloud KMS en la que creaste tu llavero de claves.
    • "PROJECT_NUMBER" es el nombre de tu cuenta de servicio.
    gcloud kms keys add-iam-policy-binding 'CRYPTOKEY_NAME' \
  --keyring='KEYRING_NAME' \
  --location='LOCATION' \
  --member='serviceAccount:service-PROJECT_NUMBER@gcp-sa-privateca.iam.gserviceaccount.com' \
  --role='roles/viewer'

    Si se proporcionan buckets de Cloud Storage existentes, usa la herramienta de línea de comandos de gsutil para vincular las funciones requeridas para el bucket de Cloud Storage.

    gsutil

    gsutil iam ch serviceAccount:service-PROJECT_NUMBER@gcp-sa-privateca.iam.gserviceaccount.com:roles/storage.objectAdmin gs://BUCKET_NAME

    Aquí:

    • PROJECT_NUMBER es el identificador único de tu cuenta de servicio.
    • BUCKET_NAME es el nombre de tu depósito de Cloud Storage.
    gsutil iam ch serviceAccount:service-PROJECT_NUMBER@gcp-sa-privateca.iam.gserviceaccount.com:roles/storage.legacyBucketReader gs://BUCKET_NAME

Permisos de la API

En la siguiente tabla, se enumeran los permisos que debe tener el emisor para llamar a cada método en la API de CA Service:

Permiso Descripción
privateca.caPools.create Crea un grupo de autoridades certificadoras (AC).
privateca.caPools.update Actualiza un grupo de AC.
privateca.caPools.list Enumera grupos de CA en un proyecto.
privateca.caPools.get Recupera un grupo de AC.
privateca.caPools.delete Borra un grupo de AC.
privateca.caPools.use Usa un grupo de AC.
privateca.caPools.getIamPolicy Recupera la política de IAM del grupo de AC.
privateca.caPools.setIamPolicy Establece una política de IAM para el grupo de AC.
privateca.certificateAuthorities.create Crea una AC.
privateca.certificateAuthorities.delete Programa la eliminación de una AC.
privateca.certificateAuthorities.get Obtén una solicitud de firma de certificado de AC o AC.
privateca.certificateAuthorities.list Muestra las AC de un proyecto.
privateca.certificateAuthorities.update Actualiza una AC, lo que incluye su activación, habilitación, inhabilitación y restablecimiento.
privateca.certificates.create Solicita certificados del servicio de CA.
privateca.certificates.createForSelf Puede solicitar certificados del Servicio de CA con la identidad del emisor.
privateca.certificates.get Obtén un certificado y sus metadatos.
privateca.certificates.list Muestra todos los certificados de una AC.
privateca.certificates.update Actualizar los metadatos de un certificado, incluida su revocación.
privateca.certificateRevocationLists.get Obtener una lista de revocación de certificados (CRL) en una AC
privateca.certificateRevocationLists.getIamPolicy Obtén la política de IAM para una CRL.
privateca.certificateRevocationLists.list Enumera todas las CRL en una AC.
privateca.certificateRevocationLists.setIamPolicy Establece la política de IAM para una CRL.
privateca.certificateRevocationLists.update Actualice una CRL.
privateca.certificateTemplates.create Crea una plantilla de certificado.
privateca.certificateTemplates.get Recupera una plantilla de certificado.
privateca.certificateTemplates.list Enumera todas las plantillas de certificados.
privateca.certificateTemplates.update Actualiza una plantilla de certificado.
privateca.certificateTemplates.delete Borra una plantilla de certificado.
privateca.certificateTemplates.getIamPolicy Obtener la política de IAM para una plantilla de certificado
privateca.certificateTemplates.setIamPolicy Establecer política de IAM para una plantilla de certificado
privateca.certificateTemplates.use Usa una plantilla de certificado.
privateca.operations.cancel Cancela una operación de larga duración.
privateca.operations.delete Borra una operación de larga duración.
privateca.operations.get Obtener una operación de larga duración
privateca.operations.list Enumera las operaciones de larga duración en un proyecto.

¿Qué sigue?