Zugriffssteuerung mit IAM

Auf dieser Seite werden die IAM-Rollen für Certificate Authority Service beschrieben.

CA Service verwendet für die Zugriffssteuerung IAM-Rollen (Identity and Access Management). Mit IAM steuern Sie den Zugriff, indem Sie festlegen, wer (Identität) welchen Zugriff (Rolle) auf welche Ressource hat. IAM-Rollen enthalten eine Reihe von Berechtigungen, mit denen Nutzer bestimmte Aktionen für Google Cloud-Ressourcen ausführen können. Wenn Sie beim Gewähren von IAM-Rollen dem Prinzip der geringsten Berechtigung folgen, können Sie die Integrität von Certificate Authority Service-Ressourcen schützen und die Sicherheit des CA-Pools sowie der gesamten Public-Key-Infrastruktur (PKI) selbst verwalten.

Informationen zum Zuweisen von IAM-Rollen zu einem Nutzer oder Dienstkonto finden Sie unter Zugriff auf Ressourcen erteilen, ändern und entziehen in der IAM-Dokumentation.

Vordefinierte Rollen

In der folgenden Tabelle sind die vordefinierten IAM-Rollen und die damit verbundenen Berechtigungen aufgeführt:

Rolle Berechtigungen Beschreibung
CA Service Auditor
roles/privateca.auditor		 privateca.caPools.get
privateca.caPools.getIamPolicy
privateca.caPools.list
privateca.certificateAuthorities.list
privateca.certificateAuthorities.get
privateca.certificateTemplates.get
privateca.certificateTemplates.getIamPolicy
privateca.certificateTemplates.list
privateca.certificates.list
privateca.certificates.get
privateca.locations.get
privateca.locations.list
privateca.operations.get
privateca.operations.list
privateca.certificateRevocationLists.list
privateca.certificateRevocationLists.get
privateca.certificateRevocationLists.getIamPolicy
resourcemanager.projects.get
resourcemanager.projects.list 		Die Rolle „CA Service Auditor“ hat Lesezugriff auf alle CA Service-Ressourcen und kann Attribute des CA-Pools, der Zertifizierungsstelle, der Zertifikate, der Sperrlisten, der IAM-Richtlinien und der Projekte abrufen und auflisten. Wir empfehlen, diese Rolle Personen zuzuweisen, die für die Validierung der Sicherheit und den Betrieb des CA-Pools verantwortlich sind und keine täglichen Aufgaben für die Verwaltung des Dienstes haben.
CA Service-Zertifikatsanfragesteller
roles/privateca.certificateRequester		 privateca.certificates.create Mit der Rolle „CA Service Certificate Requester“ können Zertifikatsanfragen an einen CA-Pool gesendet werden. Wir empfehlen, diese Rolle vertrauenswürdigen Personen zu gewähren, die Zertifikate anfordern dürfen.

Ein Nutzer mit dieser Rolle kann gemäß der Ausstellungsrichtlinie beliebige Zertifikate anfordern.

Im Gegensatz zur Rolle „CA Service Certificate Manager“ erlaubt diese Rolle dem Nutzer nicht, das neu ausgestellte Zertifikat abzurufen oder aufzulisten oder Informationen zum CA-Pool abzurufen.
Anforderer von CA Service-Arbeitslastzertifikaten
roles/privateca.workloadCertificateRequester		 privateca.certificates.createForSelf Ein Antragsteller für CA Service-Arbeitslastzertifikate kann Zertifikate vom CA Service mit der Identität des Aufrufers anfordern.
Zertifikatmanager für CA Service
roles/privateca.certificateManager		 Alle Berechtigungen von roles/privateca.auditor, plus:
privateca.certificates.create 		Ein CA Service Certificate Manager kann Anfragen zur Zertifikatsausstellung an einen CA-Pool wie den CA Service Certificate Requester senden. Darüber hinaus erbt diese Rolle auch die Berechtigungen der Rolle „CA Service Auditor“. Wir empfehlen Ihnen, diese Rolle Personen zuzuweisen, die für das Erstellen, Verfolgen und Prüfen von Zertifikatsanfragen für einen CA-Pool verantwortlich sind, z. B. Manager oder Lead Engineers.
Nutzer der CA Service-Zertifikatsvorlage
roles/privateca.templateUser		 privateca.certificateTemplates.get
privateca.certificateTemplates.list
privateca.certificateTemplates.use 		Ein Nutzer von CA Service-Zertifikatsvorlagen kann Zertifikatsvorlagen lesen, auflisten und verwenden.
Operation Manager für CA Service
roles/privateca.caManager		 Alle Berechtigungen von roles/privateca.auditor, plus:
privateca.certificates.update
privateca.caPools.create
privateca.caPools.delete
privateca.caPools.update
privateca.certificateAuthorities.create
privateca.certificateAuthorities.delete
privateca.certificateAuthorities.update
privateca.certificateRevocationLists.update
privateca.certificateTemplates.create
privateca.certificateTemplates.delete
privateca.certificateTemplates.update
privateca.certificates.update
privateca.operations.cancel
privateca.operations.delete
resourcemanager.projects.get
resourcemanager.projects.list
storage.buckets.create 		Ein CA Service Operation Manager kann CA-Pools und CAs erstellen, aktualisieren und löschen. Diese Rolle kann auch Zertifikate widerrufen und Cloud Storage-Buckets erstellen. Sie umfasst außerdem dieselben Funktionen wie der CA Service Auditor. In dieser Rolle sind Personen dafür verantwortlich, CA-Pools in der Organisation sowie die Ausstellungsrichtlinie des CA-Pools zu konfigurieren.

Mit dieser Rolle können keine Zertifikate erstellt werden. Verwenden Sie dazu die Rollen „CA Service Certificate Requester“, „CA Service Certificate Manager“ oder „CA Service Admin“.
CA Service-Administrator
roles/privateca.admin		 Alle Berechtigungen von roles/privateca.certificateManager und roles/privateca.caManager sowie:
privateca.*.setIamPolicy
privateca.caPools.use
privateca.operations.cancel
privateca.operations.delete
privateca.resourcemanager.projects.get
privateca.resourcemanager.projects.list
storage.buckets.create 		Die Rolle „CA Service Admin“ übernimmt die Berechtigungen der Rollen „CA Service Operation Manager“ und „CA Service Certificate Manager“. Diese Rolle kann alle Aktionen innerhalb von CA Service ausführen. Ein CA-Dienstadministrator kann IAM-Richtlinien für den Zertifizierungsstellenpool festlegen und Cloud Storage-Buckets erstellen. Wir empfehlen, diese Rolle selten zuzuweisen, nachdem der Dienst eingerichtet ist. In dieser Rolle können Einzelpersonen alle Aspekte der Verwaltung ausführen, einschließlich der Zuweisung von Rechten an andere Personen und der Verwaltung von Zertifikatsanfragen im CA Service. Wir empfehlen Ihnen, ein spezielles Steuerelement und den Zugriff auf dieses Rollenkonto zu implementieren, um unbefugten Zugriff oder unbefugte Nutzung zu verhindern.

Rolle „CA Service-Dienst-Agent“

Wenn beim Erstellen der Zertifizierungsstelle vorhandene Cloud KMS-Signaturschlüssel oder Cloud Storage-Buckets angegeben werden, muss dem Dienstkonto des Dienst-Agents für Zertifizierungsstellen (service-PROJECT_NUMBER@gcp-sa-privateca.iam.gserviceaccount.com) Zugriff auf die entsprechende Ressource gewährt werden.

Für Cloud KMS ist roles/cloudkms.signerVerifier erforderlich, um den Signaturschlüssel zu verwenden und den öffentlichen Schlüssel zu lesen. roles/viewer ist erforderlich, um den Schlüssel für die Einbindung von Cloud Monitoring zu überwachen.

Für Cloud Storage ist roles/storage.objectAdmin erforderlich, um das CA-Zertifikat und die Zertifikatssperrlisten in einen Bucket zu schreiben. roles/storage.legacyBucketReader ist erforderlich, um den Bucket für die Einbindung von Cloud Monitoring zu überwachen. Weitere Informationen finden Sie unter IAM-Rollen für Cloud Storage.

Führen Sie die folgenden Befehle aus, wenn Sie über die API auf den Dienst zugreifen.

  1. Erstellen Sie ein Dienstkonto mit der Rolle „Dienst-Agent“.

    gcloud

    gcloud beta services identity create --service=privateca.googleapis.com --project=PROJECT_ID

    Wobei:

    • PROJECT_ID ist die eindeutige Kennzeichnung des Projekts, in dem der Zertifizierungsstellenpool erstellt wird.

  2. Gewähren Sie dem Dienstkonto mit dem folgenden gcloud-Befehl die Rollen roles/cloudkms.signerVerifier und roles/viewer.

    Wenn vorhandene Cloud KMS-Signaturschlüssel bereitgestellt werden:

    gcloud

    gcloud kms keys add-iam-policy-binding 'CRYPTOKEY_NAME' \
  --keyring='KEYRING_NAME' \
  --location='LOCATION' \
  --member='serviceAccount:service-PROJECT_NUMBER@gcp-sa-privateca.iam.gserviceaccount.com' \
  --role='roles/cloudkms.signerVerifier'

    Wobei:

    • „CRYPTOKEY_NAME“ ist der Name Ihres Schlüssels.
    • „KEYRING_NAME“ ist der Name Ihres Schlüsselbunds.
    • „LOCATION“ ist der Cloud KMS-Standort, an dem Sie Ihren Schlüsselbund erstellt haben.
    • „PROJECT_NUMBER“ ist der Name Ihres Dienstkontos.
    gcloud kms keys add-iam-policy-binding 'CRYPTOKEY_NAME' \
  --keyring='KEYRING_NAME' \
  --location='LOCATION' \
  --member='serviceAccount:service-PROJECT_NUMBER@gcp-sa-privateca.iam.gserviceaccount.com' \
  --role='roles/viewer'

    Wenn vorhandene Cloud Storage-Buckets bereitgestellt werden, binden Sie mit dem gsutil-Befehlszeilentool die erforderlichen Rollen für den Cloud Storage-Bucket.

    gsutil

    gsutil iam ch serviceAccount:service-PROJECT_NUMBER@gcp-sa-privateca.iam.gserviceaccount.com:roles/storage.objectAdmin gs://BUCKET_NAME

    Wobei:

    • PROJECT_NUMBER ist die eindeutige Kennung Ihres Dienstkontos.
    • BUCKET_NAME ist der Name Ihres Cloud Storage-Buckets.
    gsutil iam ch serviceAccount:service-PROJECT_NUMBER@gcp-sa-privateca.iam.gserviceaccount.com:roles/storage.legacyBucketReader gs://BUCKET_NAME

API-Berechtigungen

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die der Aufrufer haben muss, um die einzelnen Methoden in der CA Service API aufzurufen:

Berechtigung Beschreibung
privateca.caPools.create Erstellen Sie einen CA-Pool.
privateca.caPools.update Aktualisieren Sie einen Zertifizierungsstellenpool.
privateca.caPools.list CA-Pools in einem Projekt auflisten.
privateca.caPools.get Rufen Sie einen Zertifizierungsstellenpool ab.
privateca.caPools.delete Löschen Sie einen Zertifizierungsstellenpool.
privateca.caPools.use Verwenden Sie einen Zertifizierungsstellenpool.
privateca.caPools.getIamPolicy Rufen Sie die IAM-Richtlinie des Zertifizierungsstellenpools ab.
privateca.caPools.setIamPolicy Legen Sie eine IAM-Richtlinie für den Zertifizierungsstellenpool fest.
privateca.certificateAuthorities.create Erstellen Sie eine Zertifizierungsstelle.
privateca.certificateAuthorities.delete Planen Sie eine Zertifizierungsstelle zum Löschen vor.
privateca.certificateAuthorities.get Rufen Sie eine Anfrage zur Signierung eines CA- oder CA-Zertifikats ab.
privateca.certificateAuthorities.list Zertifizierungsstellen in einem Projekt auflisten.
privateca.certificateAuthorities.update CA aktualisieren, einschließlich Aktivieren, Aktivieren, Deaktivieren und Wiederherstellen der Zertifizierungsstelle.
privateca.certificates.create Zertifikate von CA Service anfordern.
privateca.certificates.createForSelf Zertifikate von CA Service mit der Identität des Anrufers anfordern.
privateca.certificates.get Rufen Sie ein Zertifikat und die zugehörigen Metadaten ab.
privateca.certificates.list Alle Zertifikate in einer Zertifizierungsstelle auflisten.
privateca.certificates.update Metadaten eines Zertifikats aktualisieren, einschließlich Widerruf.
privateca.certificateRevocationLists.get Rufen Sie eine Zertifikatssperrliste (Certificate Revocation List, CRL) in einer Zertifizierungsstelle ab.
privateca.certificateRevocationLists.getIamPolicy Rufen Sie die IAM-Richtlinie für eine Zertifikatssperrliste ab.
privateca.certificateRevocationLists.list Listen Sie alle Zertifikatssperrlisten in einer Zertifizierungsstelle auf.
privateca.certificateRevocationLists.setIamPolicy Legen Sie die IAM-Richtlinie für eine Zertifikatssperrliste fest.
privateca.certificateRevocationLists.update Aktualisieren Sie eine Zertifikatssperrliste.
privateca.certificateTemplates.create Erstellen Sie eine Zertifikatsvorlage.
privateca.certificateTemplates.get Rufen Sie eine Zertifikatsvorlage ab.
privateca.certificateTemplates.list Alle Zertifikatsvorlagen auflisten.
privateca.certificateTemplates.update Zertifikatsvorlage aktualisieren
privateca.certificateTemplates.delete Zertifikatsvorlage löschen.
privateca.certificateTemplates.getIamPolicy IAM-Richtlinie für eine Zertifikatsvorlage abrufen.
privateca.certificateTemplates.setIamPolicy Legen Sie eine IAM-Richtlinie für eine Zertifikatsvorlage fest.
privateca.certificateTemplates.use Verwenden Sie eine Zertifikatsvorlage.
privateca.operations.cancel Lange laufenden Vorgang abbrechen.
privateca.operations.delete Lange laufenden Vorgang löschen.
privateca.operations.get Einen lang andauernden Vorgang abrufen.
privateca.operations.list Vorgänge mit langer Ausführungszeit in einem Projekt auflisten

Nächste Schritte