Se usó la API de Cloud Translation para traducir esta página.

Emite un certificado con Google Cloud CLI

En esta página, se explica cómo puedes generar o emitir certificados a través del servicio de la AC con Google Cloud CLI.

El servicio de AC te permite implementar y administrar AC privadas sin administrar la infraestructura.

Antes de comenzar

Install the Google Cloud CLI, then initialize it by running the following command:
```
gcloud init
```
Note: You can run the gcloud CLI in the Google Cloud console without installing the Google Cloud CLI. To run the gcloud CLI in the Google Cloud console, use Cloud Shell.
Create or select a Google Cloud project.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.
- Create a Google Cloud project:
```
gcloud projects create PROJECT_ID
```
  Replace PROJECT_ID with a name for the Google Cloud project you are creating.
- Select the Google Cloud project that you created:
```
gcloud config set project PROJECT_ID
```
  Replace PROJECT_ID with your Google Cloud project name.
Enable the Certificate Authority Service API:
```
gcloud services enable privateca.googleapis.com
```
Make sure that billing is enabled for your Google Cloud project.
Configura una ubicación predeterminada para usarla en los comandos gcloud en este instructivo.
```
gcloud config set privateca/location LOCATION
```
Los recursos del servicio de AC, como los grupos de AC y las AC, se encuentran en una sola ubicaciónGoogle Cloud que no puedes cambiar después de crearlos.

Nota: Si omites este paso, debes agregar la marca --location a algunos de los siguientes comandos.

Crear grupo de CA

Un grupo de autoridades certificadoras (AC) es un conjunto de varias AC. Un grupo de AC ofrece la capacidad de rotar cadenas de confianza sin interrupciones ni tiempos de inactividad en las cargas de trabajo.

Para crear un grupo de CA en el nivel empresarial, ejecuta el siguiente comando:

gcloud privateca pools create POOL_ID --location LOCATION --tier "enterprise"

Reemplaza lo siguiente:

POOL_ID: Es el nombre del grupo de AC.
LOCATION: Es la ubicación del grupo de AC. Para obtener la lista completa de ubicaciones, consulta Ubicaciones.

Los nombres de todos los recursos del servicio de AC deben contener solo los caracteres permitidos, que son todas las letras, números, guiones y guiones bajos. La longitud máxima permitida para un nombre es de 63 caracteres.

Crea una AC raíz:

Un grupo de AC está vacío cuando se crea. Para solicitar certificados de un grupo de AC, debes agregar una AC en él.

Para crear una AC raíz y agregarla al grupo de AC que creaste, ejecuta el siguiente comando:

gcloud privateca roots create CA_ID --pool POOL_ID --location LOCATION --subject "CN=Example Prod Root CA, O=Google"

Reemplaza lo siguiente:

CA_ID: Es el nombre de la AC raíz.
POOL_ID: Es el nombre del grupo de AC.
LOCATION: Es la ubicación del grupo de AC. Para obtener la lista completa de ubicaciones, consulta Ubicaciones.

El servicio de AC muestra el siguiente comando cuando crea la AC raíz:

Created Certificate Authority [projects/PROJECT_ID/locations/LOCATION/caPools/POOL_ID/certificateAuthorities/CA_ID]

Para habilitar la AC raíz, ingresa y cuando se te solicite en gcloud CLI.

Opcional: Crea un grupo de AC subordinado

Para crear un grupo de AC subordinado, ejecuta el siguiente comando:

    gcloud privateca pools create SUBORDINATE_POOL_ID
        --location LOCATION
        --tier TIER

Reemplaza lo siguiente:

SUBORDINATE_POOL_ID: Es el ID del grupo de AC subordinado.
LOCATION: Es la ubicación del grupo de AC subordinado. Para obtener la lista completa de ubicaciones, consulta Ubicaciones.
TIER: Es el nivel de AC subordinado, ya sea devops o empresarial.

Opcional: Crea una AC subordinada firmada por una AC raíz almacenada en Google Cloud

Para crear una AC subordinada en el grupo de AC subordinado que creaste en el paso anterior, ejecuta el siguiente comando:

    gcloud privateca subordinates create SUBORDINATE_CA_ID \
        --location=LOCATION \
        --pool=SUBORDINATE_POOL_ID \
        --issuer-pool=POOL_ID \
        --issuer-location=ISSUER_LOCATION \
        --from-ca=EXISTING_CA_ID \
        --kms-key-version projects/PROJECT_ID/locations/LOCATION_ID/keyRings/KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/KEY_VERSION \"

Reemplaza lo siguiente:

SUBORDINATE_CA_ID: Es el ID de la AC subordinada.
LOCATION: Es la ubicación de la AC subordinada. Para obtener la lista completa de ubicaciones, consulta Ubicaciones.
SUBORDINATE_POOL_ID: el ID del grupo de AC subordinado que creaste en la sección anterior.
POOL_ID: Es el ID del grupo de AC superior.
ISSUER_LOCATION: Es la ubicación del certificado.
EXISTING_CA_ID: Es el ID de la AC de origen.
PROJECT_ID: el ID del proyecto.
LOCATION_ID: Es la ubicación del llavero de claves.
KEY_RING: Es el nombre del llavero de claves en el que se encuentra la clave.
KEY: el nombre de la clave.
KEY_VERSION: Es la versión de la clave.

Se muestra la siguiente sentencia cuando se crea la AC subordinada.

Created Certificate Authority [projects/my-project-pki/locations/us-west1/caPools/SUBORDINATE_POOL_ID/certificateAuthorities/SUBORDINATE_CA_ID].

Para habilitar la AC subordinada, ingresa y cuando se te solicite en gcloud CLI.

Crear un certificado

Para usar la AC recién creada y crear un certificado, haz lo siguiente:

Instala la biblioteca de criptografía de Pyca con el comando pip.
```
  pip install --user "cryptography>=2.2.0"
```
El servicio de AC usa la biblioteca de criptografía Pyca para generar y almacenar un nuevo par de claves asimétricas en tu máquina local. Esta clave nunca se envía al servicio de AC.
Para permitir que el SDK de Google Cloud use la biblioteca de criptografía de Pyca, debes habilitar los paquetes del sitio.
macOS o LinuxWindows
```
export CLOUDSDK_PYTHON_SITEPACKAGES=1
```
```
set CLOUDSDK_PYTHON_SITEPACKAGES=1
```

Crea un certificado.

  gcloud privateca certificates create \
      --issuer-pool POOL_ID \
      --issuer-location ISSUER_LOCATION \
      --subject "CN=Example Prod,O=Google" \
      --generate-key \
      --key-output-file=./key \
      --cert-output-file=./cert.pem

Reemplaza lo siguiente:

POOL_ID: Es el ID del recurso del grupo de AC que creaste.
ISSUER_LOCATION: La ubicación de la AC que emitió el certificado digital.

El servicio de AC muestra la siguiente respuesta:

Created Certificate [projects/PROJECT_ID/locations/LOCATION/caPools/POOL_ID/certificates/CERTIFICATE_ID]

Limpia

Para realizar la limpieza, borra el grupo de AC, la AC y el proyecto que creaste para esta guía de inicio rápido.

Revoca el certificado.
Borra la AC.

Solo puedes borrar una AC después de revocar todos los certificados que emitió.
1. Inhabilita la AC.
```
gcloud privateca roots disable CA_ID --pool=POOL_ID --location=LOCATION
```
  Reemplaza lo siguiente:
  - CA_ID: El ID de recurso de la AC.
  - POOL_ID: Es el ID del recurso del grupo de AC.
  - LOCATION: Es la ubicación del grupo de AC. Para obtener la lista completa de ubicaciones, consulta Ubicaciones.
2. Borra la AC.
```
gcloud privateca roots delete CA_ID --pool=POOL_ID --location=LOCATION
```
El estado de la AC cambia a Deleted. El servicio de AC borra la AC de forma permanente 30 días después de que inicias la eliminación.
Borra el grupo de AC.

Solo puedes borrar un grupo de AC después de que se borre de forma permanente la AC que contiene.
```
gcloud privateca pools delete POOL_ID --location=LOCATION
```
Borra el proyecto.

Precaución: Borrar un proyecto tiene las siguientes consecuencias:

Se borra todo en el proyecto. Si usaste un proyecto existente para las tareas de este documento, cuando lo borres, también se borrará cualquier otro trabajo que hayas realizado en el proyecto.
Se pierden los ID personalizados de proyectos. Cuando creaste este proyecto, es posible que hayas creado un ID del proyecto personalizado que desees utilizar en el futuro. Para conservar las URL que utilizan el ID del proyecto, como una URL appspot.com, borra los recursos seleccionados dentro del proyecto en lugar de borrar todo el proyecto.

Si planeas explorar varias infraestructuras, instructivos y guías de inicio rápido la reutilización de proyectos puede ayudarte a evitar exceder los límites de las cuotas del proyecto.

Delete a Google Cloud project:

gcloud projects delete PROJECT_ID

¿Qué sigue?

Obtén más información sobre los grupos de AC.
Obtén más información para crear un grupo de AC.
Obtén más información para crear AC.
Obtén más información para solicitar certificados.
Obtén información para controlar el tipo de certificados que puede emitir un grupo de AC.