Einem CA-Pool eine Richtlinie zur Zertifikatsausstellung hinzufügen

Auf dieser Seite wird beschrieben, wie Sie einem CA-Pool (Zertifizierungsstelle) eine Richtlinie zur Ausstellung von Zertifikaten hinzufügen.

Mit einer Richtlinie für die Zertifikatsausstellung können Sie den Betreff und den Betreff angeben Alternative Namen (SANs), die in die ausgestellten Zertifikate aufgenommen werden können. Sie können geben Sie beim Erstellen eines CA-Pools die Richtlinie für die Zertifikatsausstellung an. Alternativ können Sie einen vorhandenen Zertifizierungsstellenpool, um eine Ausstellungsrichtlinie hinzuzufügen.

Weitere Informationen finden Sie unter Vorlagen und Ausstellungsrichtlinien.

Achtung: Die Änderungen an der Ausstellungsrichtlinie treten sofort in Kraft. Vor der Verwendung des in der Produktion verwenden, empfehlen wir, die Richtlinienänderungen auszuprobieren auf einer Testinstanz eines Zertifizierungsstellenpools.

Hinweise

• Prüfen Sie, ob CA Service Operation Manager installiert ist (roles/privateca.caManager) oder den CA Service-Administrator (roles/privateca.admin) IAM-Rolle. Informationen zu einem Hauptkonto eine IAM zuweisen, siehe Einzelnen Zugriff Rolle.

• Erstellen Sie einen CA-Pool.

Datei mit Zertifikatsausstellungsrichtlinie hinzufügen

So fügen Sie einem vorhandenen CA-Pool eine Richtlinie zur Zertifikatsausstellung hinzu:

Console

1. Rufen Sie in der Google Cloud Console die Seite Certificate Authority Service auf.

   Zum Certificate Authority Service

2. Klicken Sie auf der Seite CA-Pool-Manager auf den Namen des CA-Pools, für den Sie eine Richtlinie zur Zertifikatsausstellung hinzufügen.

3. Klicken Sie auf der Seite CA-Pool auf Bearbeiten.

Referenzwerte konfigurieren

So konfigurieren Sie Referenzwerte in den Zertifikaten, die vom CA-Pool ausgestellt werden: Folgendes:

1. Klicken Sie auf die Ein/Aus-Schaltfläche.
2. Klicken Sie auf Referenzwerte konfigurieren.

Basisschlüsselverwendung definieren

Mit dieser Einstellung können Sie konfigurieren, wie der Schlüssel in kann das Zertifikat verwendet werden. Zu den Optionen für die Schlüsselverwendung gehören Schlüssel Verschlüsselung, Datenverschlüsselung, Zertifikatssignierung, CRL-Signierung und mehr.

Weitere Informationen finden Sie unter Schlüsselverwendung.

So definieren Sie die Basisschlüsselverwendungen:

1. Optional: Klicken Sie im eingeblendeten Fenster auf die Ein/Aus-Schaltfläche, falls Basisschlüsselverwendungen für die Zertifikate angeben.
2. Klicken Sie die Kästchen für die Verwendungsarten des Schlüssels an.

3. Klicken Sie auf Weiter.

Erweiterte Schlüsselverwendung definieren

Mit dieser Einstellung können Sie detailliertere Szenarien auswählen, für die der im Zertifikat enthaltene Schlüssel verwendet werden kann. Zu den Optionen gehören „Server“ Authentifizierung, Clientauthentifizierung, Codesignatur, E-Mail-Schutz mehr.

Erweiterte Schlüsselverwendungen werden mithilfe von Objektkennungen (OIDs) definiert. Wenn Sie keine die erweiterten Schlüsselverwendungen konfigurieren, sind alle Schlüsselnutzungsszenarien zulässig.

Weitere Informationen finden Sie unter Erweiterte Schlüsselnutzung.

So definieren Sie die erweiterten Schlüsselverwendungen:

1. Optional: Zur Angabe der erweiterten Schlüsselverwendungen für die Zertifikate, die die CA-Pool-Probleme auf die Ein/Aus-Schaltfläche.
2. Klicken Sie die Kästchen für die Szenarien der erweiterten Schlüsselverwendung an.
3. Klicken Sie auf Weiter.

Richtlinienkennungen definieren

Die Erweiterung „Zertifikatsrichtlinien“ im Zertifikat enthält die Richtlinien, denen der ausstellende CA-Pool folgt. Diese Erweiterung kann Informationen darüber enthalten, vor der Zertifikatsausstellung validiert werden, wie Zertifikate und wie die Integrität des CA-Pools sichergestellt wird. Mit dieser Erweiterung können Sie Prüfen Sie die Zertifikate, die der CA-Pool ausstellt, und prüfen Sie, wie die Zertifikate verwendet werden.

Weitere Informationen finden Sie unter Zertifikatsrichtlinien.

So legen Sie die Richtlinie fest, die die Zertifikatsnutzung definiert:

1. Optional: Geben Sie im Feld Richtlinien-IDs die Richtlinien-ID ein.
2. Klicken Sie auf Weiter.

Add Authority Information Access (AIA) OCSP-Server

Die AIA-Erweiterung in einem Zertifikat stellt die folgenden Informationen bereit:

• Adresse der OCSP-Server, auf denen Sie den Widerrufsstatus prüfen können des Zertifikats an.
• Die Zugriffsmethode für den Aussteller des Zertifikats.

Weitere Informationen finden Sie unter Zugriff auf Zertifizierungsstelleninformationen.

Um die OCSP-Server hinzuzufügen, die im AIA-Erweiterungsfeld in der für Zertifikate, gehen Sie so vor: Das folgende Verfahren ist optional.

1. Optional: Klicken Sie auf Element hinzufügen.
2. Geben Sie im Feld Server-URL die URL des OCSP-Servers ein.
3. Klicken Sie auf Fertig.
4. Klicken Sie auf Weiter.

Zusätzliche Erweiterungen konfigurieren

So konfigurieren Sie zusätzliche benutzerdefinierte Erweiterungen für die Zertifikate, die vom CA-Pool ausgestellt wurden, gehen Sie so vor: Gehen Sie so vor ist optional.

1. Klicken Sie auf Zeile hinzufügen.
2. Geben Sie im Feld Objekt-ID eine gültige Objekt-ID ein, die als durch Punkte getrennte Ziffern formatiert.
3. Geben Sie im Feld Wert den base64-codierten Wert für die Kennung ein.
4. Wenn die Erweiterung kritisch ist, wählen Sie Erweiterung ist kritisch aus.

Klicken Sie auf Fertig, um alle Grundwertkonfigurationen zu speichern.

Einschränkungen für Erweiterungen konfigurieren

Um zu verhindern, dass alle Erweiterungen aus Zertifikatsanfragen in die ausgestellten Zertifikate auf die Ein/Aus-Schaltfläche.

Nachdem Sie auf die Ein/Aus-Schaltfläche geklickt haben, wird das Feld Bekannte Zertifikatserweiterungen angezeigt, in dem Sie die Zertifikatserweiterungen auswählen können. Bis Wählen Sie die Zertifikatserweiterungen aus:

1. Optional: Klicken Sie auf das Feld Bekannte Zertifikaterweiterungen und entfernen Sie das Häkchen aus dem Feld nicht benötigte Erweiterungen aus.
2. Optional: Fügen Sie im Feld Benutzerdefinierte Erweiterungen die Objektkennungen hinzu. für Erweiterungen, die in die Zertifikate aufgenommen werden sollen, die der CA-Pool Probleme.

Identitätseinschränkungen konfigurieren

So konfigurieren Sie Einschränkungen für den Antragsteller und die SANs in den Zertifikaten, die vom CA-Pool ausgestellt werden:

1. Optional: Wenn Sie nicht zulassen möchten, dass der Inhaber in Zertifikatsanfragen weitergegeben wird, klicken Sie auf den Schalter.
2. Optional: Alternative Antragstellernamen in Zertifikatsanfragen nicht zulassen klicken Sie auf die Ein/Aus-Schaltfläche.
3. Optional: Fügen Sie einen CEL-Ausdruck (Common Expression Language) hinzu, der eingefügt werden soll Einschränkungen hinsichtlich Zertifikatsinhabern. Weitere Informationen finden Sie unter CEL verwenden:
4. Klicken Sie auf Weiter.

Weitere Informationen zum Konfigurieren zusätzlicher Parameter in der Richtlinie zur Zertifikatsausstellung Siehe IssuancePolicy.

gcloud

So fügen Sie einem CA-Pool über die Google Cloud CLI eine Richtlinie zur Zertifikatsausstellung hinzu: müssen Sie eine YAML-Datei erstellen, in der die Einschränkungen der Zertifikate, die der CA-Pool ausstellen kann. Der Inhalt entspricht einer IssuancePolicy ein.

1. Erstellen Sie mit dem Cloud Shell-Editor die Datei policy.yaml mit dem folgenden Inhalt:

   identityConstraints:
     allowSubjectPassthrough: true
     allowSubjectAltNamesPassthrough: true
   

   Wobei:

   • allowSubjectPassthrough ist ein Pflichtfeld. Wenn das Feld allowSubjectPassthrough auf true gesetzt ist, wird das Feld „Subject“ aus einer Zertifikatsanfrage in das signierte Zertifikat kopiert. Andernfalls wird der angeforderte Subjekt verworfen.
   • Wenn das Feld allowSubjectAltNamesPassthrough auf true gesetzt ist, wird die Erweiterung „SubjectAltNames“ aus einer Zertifikatsanfrage in das signierte Zertifikat kopiert. Andernfalls werden die angeforderten SubjectAltNames verworfen.

2. So aktualisieren Sie die Richtlinie für die Zertifikatsausstellung eines CA-Pools mithilfe der Datei das im vorherigen Schritt erstellt wurde, führen Sie den folgenden Befehl aus:

   gcloud privateca pools update POOL_NAME \
     --issuance-policy FILE_PATH
   

   Ersetzen Sie Folgendes:

   • POOL_NAME: Name des CA-Pools.
   • FILE_PATH: Der Pfad der Datei policy.yaml.

   Weitere Informationen zum Befehl gcloud privateca pools update finden Sie unter gcloud privateca pools update.

Unterstützte Einschränkungen

CA Service unterstützt die folgenden Einschränkungen für Ausstellungsrichtlinien. Ich kann die folgenden Einschränkungen nach Bedarf kombinieren, um ein benutzerdefiniertes Zertifikat zu erstellen. Ausstellungsrichtlinie.

Zulässige X.509-Werte einschränken oder erzwingen

Ein CA-Pool kann die zulässigen X.509-Werte in Zertifikatsanfragen einschränken, indem das Feld passthrough_extensions konfiguriert wird.

Ein CA-Pool kann auch X.509-Werte angeben, die allen ausgestellten Zertifikaten hinzugefügt werden sollen. Dazu wird das Feld baseline_values verwendet, um alle angeforderten Werte zu überschreiben.

Mit den baseline_values-Werten eines Zertifizierungsstellenpools können die folgenden Attribute angegeben werden:

• Schlüsselverwendung
• CA-Optionen
• AIA-OCSP-Server
• Zusätzliche X.509-Erweiterungen

Sie können diese Optionen auch zusammen verwenden.

Wenn Sie einen Teil des Felds baseline_values aktualisieren, ersetzt die Aktualisierung den gesamten Satz von Werten im Feld baseline_values.

• Beispiel: Eine Zertifizierungsstelle darf nur Zertifikate der Endentität mit X.509-Werten für gegenseitige TLS (mTLS) ausstellen.

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
        keyEncipherment: true
      extendedKeyUsage:
         clientAuth: true
         serverAuth: true
  

• Beispiel: Schränken Sie eine Zertifizierungsstelle so ein, dass sie nur Zertifikate für die Codesignatur der Endentität mit einer AIA-OCSP-Basis-URL ausstellt.

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
      extendedKeyUsage:
        codeSigning: true
    aiaOcspServers:
      - "http://foo.bar/revocation"
    additionalExtensions:
    - objectId:
        objectIdPath:
          - 1
          - 2
          - 3
      critical: false
      value: "base64 encoded extension value"
  

Weitere Informationen zum Zertifikatsprofil für mTLS für Endentitäten finden Sie unter Endentität mTLS.

Zulässige Identitätsfelder einschränken

Wenn Sie die Identität von Zertifikaten einschränken möchten, die über einen CA-Pool ausgestellt werden, können Sie dem Feld identity_constraints der Richtlinie für die Ausstellung einen Common Expression Language (CEL)-Ausdruck hinzufügen. Die CEL-Ausdrücke ermöglichen willkürliche Einschränkungen für den Subjekt-Domainnamen (einschließlich des allgemeinen Namens) und die SANs eines Zertifikats.

Weitere Informationen zum Verwenden eines CEL-Ausdrucks zum Einschränken von Subjekt und SANs finden Sie unter CEL verwenden.

• Beispiel: Die Zertifizierungsstelle darf nur Zertifikate ausstellen, die einem angegebenen Subjekt entsprechen.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: true
    allowSubjectAltNamesPassthrough: false
    celExpression:
      expression: 'subject.organization == "Example LLC" && subject.country_code in ["US", "UK"]'
  

  Das Feld celExpression ist optional. Verwenden Sie einen Common Expression Language-Ausdruck (CEL), um das aufgelöste X.509-Subjekt und den SAN zu validieren, bevor ein Zertifikat signiert wird. Weitere Informationen zur Verwendung von CEL-Ausdrücken finden Sie unter CEL verwenden.

• Beispiel: Sie lassen nur SANs mit DNS-Namen us.google.org oder der Endung .google.com zu.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == DNS && (san.value == "us.google.org" || san.value.endsWith(".google.com")) )'
  

• Beispiel: Sie lassen nur SANs zu, die den URI https://google.com/webhp haben oder mit spiffe://example-trust-domain-1/ns/namespace1/sa/ beginnen.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == URI && (san.value == "https://google.com/webhp" || san.value.startsWith("spiffe://example-trust-domain-1/ns/namespace1/sa/")) )'
  

• Beispiel: Nur SANs mit E-Mail-Adressen [e-mail] oder endend auf @google.org zulassen.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == EMAIL && (san.value == "[e-mail]" || san.value.endsWith("@google.org")) )'
  

• Beispiel: Nur benutzerdefinierte SANs mit einer bestimmten OID und einem benutzerdefinierten Wert zulassen.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == CUSTOM && san.oid == [1, 2, 3, 4] && san.value == "custom-data" )'
  

Maximale Lebensdauer der ausgestellten Zertifikate einschränken

Verwenden Sie das Feld maximum_lifetime, um die Lebensdauer der ausgestellten Zertifikate einzuschränken. Wenn die angeforderte Lebensdauer eines Zertifikats die maximale Lebensdauer überschreitet, wird die Lebensdauer des Zertifikats explizit abgeschnitten.

Hinweis: Ein Zertifikat kann niemals länger gültig sein als die ausstellende Zertifizierungsstelle. Wenn in einer Zertifikatsanfrage eine Lebensdauer angegeben ist, die das not_after_time-Datum der Zertifizierungsstelle überschreitet, wird die Lebensdauer entsprechend dem not_after_time-Datum der Zertifizierungsstelle gekürzt. Die Lebensdauer des Zertifikats wird abgeschnitten, auch wenn die Richtlinie zur Zertifikatsausstellung eine längere Lebensdauer vorsieht.

Beispiel

Verwenden Sie die folgende policy.yaml-Datei, um eine maximale Lebensdauer von 30 Tagen zuzulassen:

policy.yaml

maximumLifetime: 2592000s

Zulässige Modi für die Zertifikatsausstellung einschränken

Sie können ein Zertifikat entweder über eine Anfrage zur Zertifikatsignierung (Certificate Signing Request, CSR) oder über eine Inline-Beschreibung der angeforderten Werte anfordern. Einige Organisationen ziehen es möglicherweise vor, Einschränkungen für die Option hinzuzufügen, die verwendet werden kann, da bei letzterer Methode kein Nachweis des Besitzes des zugehörigen privaten Schlüssels erforderlich ist. Sie können diese Einschränkungen mit dem Feld allowedIssuanceModes festlegen.

Weitere Informationen dazu, wie Zertifikate von einem Zertifizierungsstellenpool angefordert werden können, finden Sie unter IssuanceModes.

Weitere Informationen zum Anfordern von Zertifikaten finden Sie unter Erstellen Sie eine Zertifikatsanfrage.

• Beispiel: Nur CSR-Ausstellung zulassen.

policy.yaml

allowedIssuanceModes:
  allowCsrBasedIssuance: True
  allowConfigBasedIssuance: False

Algorithmen für öffentliche Schlüssel der Zertifikatsanfrage einschränken

Um die minimale Schlüssellänge und die öffentlichen Schlüsselalgorithmen einzuschränken, Zertifikate verwenden können, können Sie das Feld allowedKeyTypes in der YAML-Datei für die Richtlinie zur Zertifikatsausstellung. Ist dieses Feld angegeben, Der öffentliche Schlüssel der Zertifikatsanfrage muss einem der Schlüsseltypen entsprechen, die im YAML-Datei. Wird dieses Feld nicht angegeben, können Sie einen beliebigen Schlüssel mit dem Parameter Ausnahme von RSA-Schlüsseln mit weniger als 2.048 Bit. Wenn Sie einen RSA-Schlüssel verwenden möchten mit einer Modulo-Größe von weniger als 2048 Bit, müssen Sie dies explizit mithilfe der Richtlinie zur Zertifikatsausstellung.

Beispiel: RSA-Schlüssel mit einer Modulusgröße zwischen 3.072 Bit und 4.096 zulassen Bits (einschließlich) oder Schlüssel des Elliptic Curve Digital Signature Algorithm (ECDSA) über der NIST P-256-Kurve.

policy.yaml

allowedKeyTypes:
- rsa:
    minModulusSize: 3072
    maxModulusSize: 4096
- ellipticCurve:
    signatureAlgorithm: ECDSA_P256

Sie können einen der folgenden Signaturalgorithmen für elliptische Kurven auswählen:

• EC_SIGNATURE_ALGORITHM_UNSPECIFIED: Jeder Signaturalgorithmus kann verwendet werden.
• ECDSA_P256 – Digitale Signatur für elliptische Kurven über der NIST P-256-Kurve.
• ECDSA_P384 – Digitale Signatur für elliptische Kurven über der NIST P-384-Kurve.
• EDDSA_25519 – Digital Signature Algorithm for Edwards Curves over Curve 25519, wie in RFC 8410 beschrieben.

Nächste Schritte

• Weitere Informationen zu Zertifikatsprofilen
• Weitere Informationen zum Anfordern von Zertifikaten
• Informationen zum Konfigurieren von IAM-Richtlinien
• Weitere Informationen zur Verwendung der Common Expression Language (CEL)
• Weitere Informationen zum Verwalten verschiedener Richtlinieneinstellungen