Agrega una política de emisión de certificados a un grupo de AC

En esta página, se describe cómo agregar una política de emisión de certificados a un grupo de autoridades certificadoras (AC).

Una política de emisión de certificados te permite especificar el tema y los nombres alternativos de entidad (SAN) que se pueden incluir en los certificados emitidos. Puedes especificar la política de emisión de certificados mientras creas un grupo de AC o puedes actualizar un grupo de AC existente para agregar una política de emisión.

Para obtener más información, consulta Descripción general de las plantillas y políticas de emisión.

Precaución: Los cambios en la política de emisión entrarán en vigencia de inmediato. Antes de usar la política de emisión en producción, te recomendamos que pruebes los cambios de política en una instancia de grupo de AC de prueba.

Antes de comenzar

• Asegúrate de tener los roles de IAM de Administrador de operaciones de CA Service (roles/privateca.caManager) o Administrador del servicio de CA (roles/privateca.admin). Para obtener más información sobre cómo otorgar una IAM a una principal, consulta Otorga un solo rol.

• Crea un grupo de CA.

Agrega un archivo de política de emisión de certificados

Para agregar una política de emisión de certificados a un grupo de AC existente, sigue estos pasos:

Console

1. Ve a la página Certificate Authority Service en la consola de Google Cloud.

   Ir a Certificate Authority Service

2. En la página Administrador de grupos de AC, haz clic en el nombre del grupo de AC al que deseas agregar una política de emisión de certificados.

3. En la página Grupo de AC, haz clic en Editar.

Configura restricciones de identidad

Para configurar restricciones en el asunto y los SAN en los certificados que emite el grupo de CA, haz lo siguiente:

1. Opcional: Para inhabilitar la entidad de las solicitudes de certificado, haz clic en el botón de activación.
2. Opcional: Para no permitir que se pasen los nombres alternativos de entidad de las solicitudes de certificado, haz clic en el botón de activación.
3. Opcional: Agrega una expresión de Common Expression Language (CEL) para aplicar restricciones a los asuntos del certificado. Para obtener más información, consulta Usa CEL.
4. Haz clic en Siguiente.

Configura restricciones de extensiones

Para impedir que todas las extensiones de las solicitudes de certificados se incluyan en los certificados emitidos, haz clic en el botón de activación.

Después de hacer clic en el botón de activación, verás el campo Extensiones de certificados conocidas, que puedes usar para seleccionar las extensiones de certificado. Para seleccionar las extensiones de certificado, haz lo siguiente:

1. Opcional: Haz clic en el campo Extensiones de certificado conocidas y borra las extensiones no obligatorias del menú.
2. Opcional: En el campo Extensiones personalizadas, agrega los identificadores de objetos para las extensiones que quieras que se incluyan en los certificados que emite el grupo de AC.

Configura los valores del modelo de referencia

Para configurar los valores del modelo de referencia en los certificados emitidos desde el grupo de AC, haz lo siguiente:

1. Haz clic en el botón de activación.
2. Haz clic en Configurar valores de referencia.

Definir el uso de la clave base

Puedes usar esta configuración para configurar las formas en las que se puede usar la clave contenida en el certificado. Entre las opciones de uso de la clave, se incluyen el cifrado de claves, el cifrado de datos, la firma de certificados y la firma de CRL, entre otras.

Para obtener más información, consulta Uso de la clave.

Para definir los usos básicos de claves, haz lo siguiente:

1. Opcional: En la ventana que aparece, haz clic en el botón de activación si quieres especificar los usos base de claves para los certificados.
2. Selecciona las casillas de verificación correspondientes a las formas en las que quieres que se use la clave.

3. Haz clic en Siguiente.

Definir el uso extendido de la clave

Puedes usar esta configuración para seleccionar situaciones más detalladas en las que se puede usar la clave contenida en el certificado. Las opciones incluyen autenticación del servidor, autenticación del cliente, firma de código, protección del correo electrónico y mucho más.

Los usos extendidos de claves se definen a través de identificadores de objetos (OID). Si no lo haces, se permiten todas las situaciones de uso de claves.

Para obtener más información, consulta Uso extendido de la clave.

Para definir los usos extendidos de claves, haz lo siguiente:

1. Opcional: Si quieres especificar los usos extendidos de claves para los certificados que el grupo de AC emite, haz clic en el botón de activación.
2. Selecciona las casillas de verificación de las situaciones de uso extendido de la clave.
3. Haz clic en Siguiente.

Definir identificadores de políticas

La extensión de las políticas de certificados en el certificado expresa las políticas que sigue el grupo de AC emisor. Esta extensión puede incluir información sobre cómo se validan las identidades antes de la emisión del certificado, cómo se revocan los certificados y cómo se garantiza la integridad del grupo de AC. Esta extensión te ayuda a verificar los certificados que emite el grupo de AC y ver cómo se usan los certificados.

Para obtener más información, consulta Políticas de certificación.

Para especificar la política que define el uso del certificado, haz lo siguiente:

1. Opcional: Agrega el identificador de política en el campo Identificadores de política.
2. Haz clic en Siguiente.

Agregar servidores OCSP de Authority Information Access (AIA)

La extensión AIA de un certificado proporciona la siguiente información:

• Dirección de los servidores OCSP desde los que puedes verificar el estado de revocación del certificado.
• Es el método de acceso para el emisor del certificado.

Para obtener más información, consulta Acceso a la información de autoridades.

Para agregar los servidores OCSP que aparecen en el campo de extensión de AIA en los certificados, haz lo siguiente. El siguiente procedimiento es opcional.

1. Opcional: Haz clic en Agregar elemento.
2. En el campo URL del servidor, agrega la URL del servidor OCSP.
3. Haz clic en Listo.
4. Haz clic en Siguiente.

Configura extensiones adicionales

Si deseas configurar extensiones personalizadas adicionales para incluirlas en los certificados que emite el grupo de AC, haz lo siguiente. El siguiente procedimiento es opcional.

1. Haz clic en Agregar elemento.
2. En el campo Identificador de objeto, agrega un identificador de objeto válido con formato de dígitos separados por puntos.
3. En el campo Valor, agrega el valor codificado en base64 para el identificador.
4. Si la extensión es crítica, selecciona La extensión es crítica.

Para guardar todas las configuraciones de valores del modelo de referencia, haz clic en Listo.

gcloud

Si quieres usar Google Cloud CLI para agregar una política de emisión de certificados a un grupo de AC, debes crear un archivo YAML en el que se describan las restricciones de los certificados que puede emitir el grupo de AC. El contenido corresponde a una IssuancePolicy.

1. Con el editor de Cloud Shell, crea un archivo policy.yaml con el siguiente contenido:

   identityConstraints:
     allowSubjectPassthrough: true
     allowSubjectAltNamesPassthrough: true
   

   Aquí:

   • El campo allowSubjectPassthrough es obligatorio. Si el campo allowSubjectPassthrough se establece como true, el campo del asunto se copia de una solicitud de certificado al certificado firmado. De lo contrario, se descarta el asunto solicitado.
   • Si el campo allowSubjectAltNamesPassthrough se configura como true, la extensión SubjectAltNames se copia de una solicitud de certificado al certificado firmado. De lo contrario, se descartarán los SubjectAltNames solicitados.

2. Para actualizar la política de emisión de certificados de un grupo de AC con el archivo creado en el paso anterior, ejecuta el siguiente comando:

   gcloud privateca pools update POOL_NAME \
     --issuance-policy FILE_PATH
   

   Reemplaza lo siguiente:

   • POOL_NAME: Nombre del grupo de AC.
   • FILE_PATH: Es la ruta de acceso del archivo policy.yaml.

   Para obtener más información sobre el comando gcloud privateca pools update, consulta gcloud privateca pool update.

Para obtener más información, consulta Crea un grupo de AC.

Restricciones admitidas

El Servicio de CA admite las siguientes restricciones de políticas de emisión. Puedes combinar las siguientes restricciones según sea necesario para crear una política de emisión de certificados personalizada.

Restringir o forzar los valores de X.509 permitidos

Un grupo de AC puede restringir los valores X.509 permitidos en las solicitudes de certificados mediante la configuración del campo passthrough_extensions.

Un grupo de AC también puede especificar explícitamente valores X.509 para que se agreguen a todos sus certificados emitidos y reemplazar cualquier valor solicitado, mediante el campo baseline_values.

Los valores baseline_values de un grupo de AC permiten especificar las siguientes propiedades:

• Uso de la clave
• Opciones de AC
• Servidores OCSP de AIA
• Extensiones adicionales X.509

También puedes usar estas opciones en conjunto.

Si actualizas alguna parte del campo baseline_values, la actualización reemplazará todo el conjunto de valores del campo baseline_values.

• Ejemplo: Restringe una AC para que emita solo certificados de entidad final con valores X.509 para TLS mutua (mTLS).

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
        keyEncipherment: true
      extendedKeyUsage:
         clientAuth: true
         serverAuth: true
  

• Ejemplo: Restringe una AC para que emita solo certificados de firma de código de entidad final con una URL de OCSP de AIA de referencia.

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
      extendedKeyUsage:
        codeSigning: true
    aiaOcspServers:
      - "http://foo.bar/revocation"
    additionalExtensions:
    - objectId:
        objectIdPath:
          - 1
          - 2
          - 3
      critical: false
      value: "base64 encoded extension value"
  

Si quieres obtener más información sobre el perfil de certificado para mTLS de entidad final, consulta mTLS de entidad final.

Restringe los campos de identidad permitidos

Para restringir la identidad de los certificados emitidos a través de un grupo de AC, puedes agregar una expresión de Common Expression Language (CEL) al campo identity_constraints de la política de emisión. Las expresiones CEL permiten restricciones arbitrarias sobre el nombre de dominio del sujeto (incluido el nombre común) y los SAN de un certificado.

Si quieres obtener más información sobre el uso de una expresión en CEL para restringir los Asuntos y SAN, consulta Usa CEL.

• Ejemplo: Permite que la AC emita solo certificados que coincidan con un asunto específico.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: true
    allowSubjectAltNamesPassthrough: false
    celExpression:
      expression: 'subject.organization == "Example LLC" && subject.country_code in ["US", "UK"]'
  

  El campo celExpression es opcional. Usa una expresión de Common Expression Language (CEL) para validar el asunto X.509 resuelto y el SAN antes de que se firme un certificado. Para obtener más información sobre el uso de expresiones en CEL, consulta Cómo usar CEL.

• Ejemplo: Permite solo los SAN que tengan nombres de DNS como us.google.org o que terminen en .google.com.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == DNS && (san.value == "us.google.org" || san.value.endsWith(".google.com")) )'
  

• Ejemplo: Permite solo los SAN que tengan URI https://google.com/webhp o que comiencen con spiffe://example-trust-domain-1/ns/namespace1/sa/.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == URI && (san.value == "https://google.com/webhp" || san.value.startsWith("spiffe://example-trust-domain-1/ns/namespace1/sa/")) )'
  

• Ejemplo: Permite solo los SAN que tengan direcciones de correo electrónico [e-mail] o que terminen en @google.org.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == EMAIL && (san.value == "[e-mail]" || san.value.endsWith("@google.org")) )'
  

• Ejemplo: Permite solo los SAN personalizados que tengan un OID específico y un valor personalizado.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == CUSTOM && san.oid == [1, 2, 3, 4] && san.value == "custom-data" )'
  

Restringir la vida útil máxima de los certificados emitidos

Para restringir la vida útil de los certificados emitidos, usa el campo maximum_lifetime. Si la vida útil solicitada de un certificado es superior a la duración máxima, la del certificado se trunca de manera explícita.

Nota: Un certificado nunca puede sobrevivir a la AC emisora. Si una solicitud de certificado menciona un ciclo de vida que excede la fecha de not_after_time de la AC, su ciclo de vida se trunca para que coincida con la fecha de not_after_time de la AC. La vida útil del certificado se trunca aunque la política de emisión de certificados permita una vida útil más larga.

Ejemplo

Para permitir una vida útil máxima de 30 días, usa el siguiente archivo policy.yaml:

policy.yaml

maximumLifetime: 2592000s

Restringir los modos de emisión de certificados permitidos

Puede solicitar un certificado mediante una solicitud de firma de certificado (CSR) o una descripción en línea de los valores solicitados. Es posible que algunas organizaciones prefieran agregar limitaciones a la opción que se puede utilizar porque este último método no requiere una prueba de posesión de la clave privada asociada. Puedes establecer estas limitaciones con el campo allowedIssuanceModes.

Si quieres obtener más información para especificar las formas en que se pueden solicitar certificados de un grupo de AC, consulta IssuanceModes.

Para obtener más información sobre la solicitud de certificados, consulta Crea una solicitud de certificado.

• Ejemplo: Solo permite la emisión de CSR.

policy.yaml

allowedIssuanceModes:
  allowCsrBasedIssuance: True
  allowConfigBasedIssuance: False

Restringe los algoritmos de clave pública de la solicitud de certificado

Para restringir la longitud mínima de la clave y los algoritmos de clave pública que pueden usar los certificados, puedes usar el campo allowedKeyTypes en el archivo YAML de la política de emisión de certificados. Si se especifica este campo, la clave pública de la solicitud de certificado debe coincidir con uno de los tipos de claves enumerados en el archivo YAML. Si no se especifica este campo, podrás usar cualquier clave, a excepción de las claves RSA, cuyo tamaño de módulo sea inferior a 2,048 bits. Si deseas usar una clave RSA con un tamaño de módulo inferior a 2,048 bits, debes permitirla explícitamente mediante la política de emisión de certificados.

Ejemplo: Permite las claves RSA con un tamaño de módulo de entre 3,072 bits y 4,096 bits (inclusive) o claves del algoritmo de firma digital de curva elíptica (ECDSA) en la curva P-256 de NIST.

policy.yaml

allowedKeyTypes:
- rsa:
    minModulusSize: 3072
    maxModulusSize: 4096
- ellipticCurve:
    signatureAlgorithm: ECDSA_P256

Puedes elegir uno de los siguientes algoritmos de firma de curva elíptica:

• EC_SIGNATURE_ALGORITHM_UNSPECIFIED: Se puede usar cualquier algoritmo de firma.
• ECDSA_P256: Firma digital de curva elíptica sobre la curva P-256 de NIST.
• ECDSA_P384: Firma digital de curva elíptica sobre la curva P-384 de NIST.
• EDDSA_25519: algoritmo de firma digital de curva Edwards sobre la curva 25519, como se describe en RFC 8410.

¿Qué sigue?

• Obtén más información sobre los perfiles de certificación.
• Obtén más información sobre cómo solicitar certificados.
• Aprende a configurar las políticas de IAM.
• Obtén información para usar Common Expression Language (CEL).
• Obtén información para administrar varios controles de políticas.