Richtlinie zur Zertifikatsausstellung zu einem Zertifizierungsstellenpool hinzufügen

Auf dieser Seite wird beschrieben, wie Sie einem Zertifikat eine Richtlinie zur Zertifikatsausstellung hinzufügen Zertifizierungsstelle.

Mit einer Richtlinie für die Zertifikatsausstellung können Sie den Betreff und den Betreff angeben Alternative Namen (SANs), die in die ausgestellten Zertifikate aufgenommen werden können. Sie können geben Sie beim Erstellen eines CA-Pools die Richtlinie für die Zertifikatsausstellung an. Alternativ können Sie einen vorhandenen CA-Pool, um eine Ausstellungsrichtlinie hinzuzufügen.

Weitere Informationen finden Sie unter Vorlagen und Ausstellungsrichtlinien.

Achtung: Die Änderungen an der Ausstellungsrichtlinie treten sofort in Kraft. Vor der Verwendung des in der Produktion verwenden, empfehlen wir, die Richtlinienänderungen auszuprobieren auf einer Testinstanz eines Zertifizierungsstellenpools.

Hinweise

• Prüfen Sie, ob CA Service Operation Manager installiert ist (roles/privateca.caManager) oder den CA Service-Administrator (roles/privateca.admin) IAM-Rolle. Informationen zu einem Hauptkonto eine IAM zuweisen, siehe Einzelnen Zugriff Rolle.

• Erstellen Sie einen CA-Pool.

Richtliniendatei für die Zertifikatsausstellung hinzufügen

So fügen Sie einem vorhandenen CA-Pool eine Richtlinie zur Zertifikatsausstellung hinzu:

Console

1. Rufen Sie in der Google Cloud Console die Seite Certificate Authority Service auf.

   Zum Certificate Authority Service

2. Klicken Sie auf der Seite CA-Pool-Manager auf den Namen des CA-Pools, für den Sie eine Richtlinie zur Zertifikatsausstellung hinzufügen.

3. Klicken Sie auf der Seite CA-Pool auf Bearbeiten.

Referenzwerte konfigurieren

So konfigurieren Sie Referenzwerte in den Zertifikaten, die vom CA-Pool ausgestellt werden: Folgendes:

1. Klicken Sie auf die Ein/Aus-Schaltfläche.
2. Klicken Sie auf Basiswerte konfigurieren.

Basisschlüsselverwendung definieren

Mit dieser Einstellung können Sie konfigurieren, wie der Schlüssel in kann das Zertifikat verwendet werden. Zu den Optionen für die Schlüsselverwendung gehören Schlüssel Verschlüsselung, Datenverschlüsselung, Zertifikatssignierung, CRL-Signierung und mehr.

Weitere Informationen finden Sie unter Schlüsselverwendung.

So definieren Sie die Basisschlüsselverwendungen:

1. Optional: Klicken Sie im eingeblendeten Fenster auf die Ein/Aus-Schaltfläche, falls Basisschlüsselverwendungen für die Zertifikate angeben.
2. Klicken Sie die Kästchen an, um festzulegen, wie der Schlüssel verwendet werden soll.

3. Klicken Sie auf Weiter.

Erweiterte Schlüsselverwendung definieren

Sie können diese Einstellung verwenden, um detailliertere Szenarien auszuwählen, für die der Schlüssel die im Zertifikat enthalten sind, verwendet werden. Zu den Optionen gehören „Server“ Authentifizierung, Clientauthentifizierung, Codesignatur, E-Mail-Schutz mehr.

Erweiterte Schlüsselverwendungen werden mithilfe von Objektkennungen (OIDs) definiert. Wenn Sie keine die erweiterten Schlüsselverwendungen konfigurieren, sind alle Schlüsselnutzungsszenarien zulässig.

Weitere Informationen finden Sie unter Erweiterte Schlüsselnutzung.

So definieren Sie die erweiterten Schlüsselverwendungen:

1. Optional: Zur Angabe der erweiterten Schlüsselverwendungen für die Zertifikate, die die CA-Pool-Probleme auf die Ein/Aus-Schaltfläche.
2. Klicken Sie die Kästchen für die Szenarien der erweiterten Schlüsselverwendung an.
3. Klicken Sie auf Weiter.

Richtlinien-IDs definieren

Die Erweiterung für Zertifikatrichtlinien im Zertifikat drückt die Richtlinien aus. dem der ausstellende Zertifizierungsstellenpool folgt. Diese Erweiterung kann Informationen darüber enthalten, vor der Zertifikatsausstellung validiert werden, wie Zertifikate und wie die Integrität des CA-Pools sichergestellt wird. Mit dieser Erweiterung können Sie Prüfen Sie die Zertifikate, die der CA-Pool ausstellt, und prüfen Sie, wie die Zertifikate verwendet werden.

Weitere Informationen finden Sie unter Zertifikatsrichtlinien.

So legen Sie die Richtlinie fest, die die Zertifikatnutzung definiert:

1. Optional: Geben Sie im Feld Richtlinien-IDs die Richtlinien-ID ein.
2. Klicken Sie auf Weiter.

Add Authority Information Access (AIA) OCSP-Server

Die AIA-Erweiterung in einem Zertifikat stellt die folgenden Informationen bereit:

• Adresse der OCSP-Server, auf denen Sie den Widerrufsstatus prüfen können des Zertifikats an.
• Die Zugriffsmethode für den Aussteller des Zertifikats.

Weitere Informationen finden Sie unter Zugriff auf Zertifizierungsstelleninformationen.

Um die OCSP-Server hinzuzufügen, die im AIA-Erweiterungsfeld in der für Zertifikate, gehen Sie so vor: Das folgende Verfahren ist optional.

1. Optional: Klicken Sie auf Element hinzufügen.
2. Geben Sie im Feld Server-URL die URL des OCSP-Servers ein.
3. Klicken Sie auf Fertig.
4. Klicken Sie auf Weiter.

Zusätzliche Erweiterungen konfigurieren

So konfigurieren Sie zusätzliche benutzerdefinierte Erweiterungen für die Zertifikate, die vom CA-Pool ausgestellt wurden, gehen Sie so vor: Gehen Sie so vor ist optional.

1. Klicken Sie auf Zeile hinzufügen.
2. Geben Sie im Feld Objekt-ID eine gültige Objekt-ID ein, die als durch Punkte getrennte Ziffern formatiert.
3. Geben Sie im Feld Wert den base64-codierten Wert für die Kennung ein.
4. Wenn die Erweiterung kritisch ist, wählen Sie Erweiterung ist kritisch aus.

Klicken Sie auf Fertig, um alle Grundwertkonfigurationen zu speichern.

Einschränkungen für Erweiterungen konfigurieren

Um zu verhindern, dass alle Erweiterungen aus Zertifikatsanfragen in die ausgestellten Zertifikate auf die Ein/Aus-Schaltfläche.

Nachdem Sie auf die Ein/Aus-Schaltfläche geklickt haben, sehen Sie die Seite Bekanntes Zertifikat Erweiterungen ein, mit dem Sie die Zertifikaterweiterungen auswählen können. Bis Wählen Sie die Zertifikatserweiterungen aus:

1. Optional: Klicken Sie auf das Feld Bekannte Zertifikaterweiterungen und entfernen Sie das Häkchen aus dem Feld nicht benötigte Erweiterungen aus.
2. Optional: Fügen Sie im Feld Benutzerdefinierte Erweiterungen die Objektkennungen hinzu. für Erweiterungen, die in die Zertifikate aufgenommen werden sollen, die der CA-Pool Probleme.

Identitätseinschränkungen konfigurieren

Um Einschränkungen für den Betreff und die SANs in den Zertifikaten zu konfigurieren, Probleme mit dem Zertifizierungsstellenpool auftreten, gehen Sie so vor:

1. Optional: Übergabe von Antragsteller in Zertifikatsanfragen unterbinden klicken Sie auf die Ein/Aus-Schaltfläche.
2. Optional: Alternative Antragstellernamen in Zertifikatsanfragen nicht zulassen klicken Sie auf die Ein/Aus-Schaltfläche.
3. Optional: Fügen Sie einen CEL-Ausdruck (Common Expression Language) hinzu, der eingefügt werden soll Einschränkungen hinsichtlich Zertifikatsinhabern. Weitere Informationen finden Sie unter CEL verwenden:
4. Klicken Sie auf Weiter.

Weitere Informationen zum Konfigurieren zusätzlicher Parameter in der Richtlinie zur Zertifikatsausstellung Siehe IssuancePolicy.

gcloud

So fügen Sie einem CA-Pool über die Google Cloud CLI eine Richtlinie zur Zertifikatsausstellung hinzu: müssen Sie eine YAML-Datei erstellen, in der die Einschränkungen der Zertifikate, die der CA-Pool ausstellen kann. Der Inhalt entspricht einer IssuancePolicy ein.

1. Erstellen Sie mit dem Cloud Shell-Editor die Datei policy.yaml mit dem folgenden Inhalt:

   identityConstraints:
     allowSubjectPassthrough: true
     allowSubjectAltNamesPassthrough: true
   

   Wobei:

   • allowSubjectPassthrough ist ein Pflichtfeld. Wenn das Feld allowSubjectPassthrough auf true gesetzt ist, wird das Feld „Subject“ aus einer Zertifikatsanfrage in das signierte Zertifikat kopiert. Andernfalls wird der angeforderte Subjekt verworfen.
   • Wenn das Feld allowSubjectAltNamesPassthrough auf true gesetzt ist, wird die Erweiterung „SubjectAltNames“ aus einer Zertifikatsanfrage in das signierte Zertifikat kopiert. Andernfalls werden die angeforderten SubjectAltNames verworfen.

2. So aktualisieren Sie die Richtlinie für die Zertifikatsausstellung eines CA-Pools mithilfe der Datei die im vorherigen Schritt erstellt wurden, führen Sie den folgenden Befehl aus:

   gcloud privateca pools update POOL_NAME \
     --issuance-policy FILE_PATH
   

   Ersetzen Sie Folgendes:

   • POOL_NAME: Name des Zertifizierungsstellenpools.
   • FILE_PATH: Der Pfad der Datei policy.yaml.

   Weitere Informationen zum Befehl gcloud privateca pools update Weitere Informationen finden Sie unter gcloud privateca Pools update.

Unterstützte Einschränkungen

CA Service unterstützt die folgenden Einschränkungen für Ausstellungsrichtlinien. Ich kann die folgenden Einschränkungen nach Bedarf kombinieren, um ein benutzerdefiniertes Zertifikat zu erstellen. Ausstellungsrichtlinie.

Zulässige X.509-Werte einschränken oder erzwingen

Ein CA-Pool kann die zulässigen X.509-Werte in Zertifikatsanfragen durch Konfigurieren des Felds passthrough_extensions einschränken.

In einem CA-Pool kann auch explizit X.509-Werte angegeben werden, die allen ausgestellten Zertifikaten hinzugefügt werden sollen. Dabei werden alle angeforderten Werte im Feld baseline_values überschrieben.

Mit den baseline_values-Werten eines Zertifizierungsstellenpools können die folgenden Attribute angegeben werden:

• Schlüsselverwendung
• Optionen für CA
• AIA OCSP-Server
• Zusätzliche X.509-Erweiterungen

Sie können diese Optionen auch zusammen verwenden.

Wenn Sie einen Teil des Felds baseline_values aktualisieren, ersetzt die Aktualisierung den gesamten Satz von Werten im Feld baseline_values.

• Beispiel: Eine Zertifizierungsstelle darf nur Zertifikate der Endentität mit X.509-Werten für gegenseitige TLS (mTLS) ausstellen.

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
        keyEncipherment: true
      extendedKeyUsage:
         clientAuth: true
         serverAuth: true
  

• Beispiel: Schränken Sie eine Zertifizierungsstelle so ein, dass sie nur Zertifikate für die Codesignatur der Endentität mit einer AIA-OCSP-Basis-URL ausstellt.

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
      extendedKeyUsage:
        codeSigning: true
    aiaOcspServers:
      - "http://foo.bar/revocation"
    additionalExtensions:
    - objectId:
        objectIdPath:
          - 1
          - 2
          - 3
      critical: false
      value: "base64 encoded extension value"
  

Weitere Informationen zum Zertifikatprofil für mTLS der Endentität finden Sie unter Endentität mTLS.

Zulässige Identitätsfelder einschränken

Wenn Sie die Identität von Zertifikaten einschränken möchten, die über einen CA-Pool ausgestellt wurden, können Sie dem Feld identity_constraints der Ausstellungsrichtlinie einen Ausdruck in der Common Expression Language (CEL) hinzufügen. Die CEL-Ausdrücke ermöglichen willkürliche Einschränkungen für den Subjekt-Domainnamen (einschließlich des allgemeinen Namens) und die SANs eines Zertifikats.

Weitere Informationen zum Verwenden eines CEL-Ausdrucks zum Einschränken von Subjekt und SANs finden Sie unter CEL verwenden.

• Beispiel: Die Zertifizierungsstelle darf nur Zertifikate ausstellen, die einem angegebenen Subjekt entsprechen.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: true
    allowSubjectAltNamesPassthrough: false
    celExpression:
      expression: 'subject.organization == "Example LLC" && subject.country_code in ["US", "UK"]'
  

  Das Feld celExpression ist optional. Verwenden Sie einen Common Expression Language-Ausdruck (CEL), um das aufgelöste X.509-Subjekt und den SAN zu validieren, bevor ein Zertifikat signiert wird. Weitere Informationen zur Verwendung von CEL-Ausdrücken finden Sie unter CEL verwenden.

• Beispiel: Sie lassen nur SANs mit DNS-Namen us.google.org oder der Endung .google.com zu.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == DNS && (san.value == "us.google.org" || san.value.endsWith(".google.com")) )'
  

• Beispiel: Sie lassen nur SANs zu, die den URI https://google.com/webhp haben oder mit spiffe://example-trust-domain-1/ns/namespace1/sa/ beginnen.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == URI && (san.value == "https://google.com/webhp" || san.value.startsWith("spiffe://example-trust-domain-1/ns/namespace1/sa/")) )'
  

• Beispiel: Nur SANs mit der E-Mail-Adresse [e-mail] oder der Endung @google.org zulassen.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == EMAIL && (san.value == "[e-mail]" || san.value.endsWith("@google.org")) )'
  

• Beispiel: Nur benutzerdefinierte SANs mit einer bestimmten OID und einem benutzerdefinierten Wert zulassen.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == CUSTOM && san.oid == [1, 2, 3, 4] && san.value == "custom-data" )'
  

Maximale Lebensdauer der ausgestellten Zertifikate einschränken

Mit dem Feld maximum_lifetime können Sie die Lebensdauer der ausgestellten Zertifikate einschränken. Wenn die angeforderte Lebensdauer eines Zertifikats die maximale Lebensdauer überschreitet, wird die Lebensdauer des Zertifikats explizit abgeschnitten.

Hinweis: Ein Zertifikat kann immer die ausstellende Zertifizierungsstelle überdauern. Wenn in einer Zertifikatsanfrage eine Lebensdauer angegeben ist, die das not_after_time-Datum der Zertifizierungsstelle überschreitet, wird die Lebensdauer entsprechend dem not_after_time-Datum der Zertifizierungsstelle gekürzt. Die Lebensdauer des Zertifikats wird abgeschnitten, auch wenn die Richtlinie zur Zertifikatsausstellung eine längere Lebensdauer vorsieht.

Beispiel

Verwenden Sie die folgende policy.yaml-Datei, um eine Lebensdauer von maximal 30 Tagen zuzulassen:

policy.yaml

maximumLifetime: 2592000s

Zulässige Modi für die Zertifikatsausstellung einschränken

Sie können ein Zertifikat entweder über eine Anfrage zur Zertifikatsignierung (Certificate Signing Request, CSR) oder über eine Inline-Beschreibung der angeforderten Werte anfordern. Einige Organisationen ziehen es möglicherweise vor, Einschränkungen für die Option hinzuzufügen, die verwendet werden kann, da bei letzterer Methode kein Nachweis des Besitzes des zugehörigen privaten Schlüssels erforderlich ist. Diese Einschränkungen können Sie über das Feld allowedIssuanceModes festlegen.

Weitere Informationen dazu, wie Zertifikate von einem Zertifizierungsstellenpool angefordert werden können, finden Sie unter IssuanceModes.

Weitere Informationen zum Anfordern von Zertifikaten finden Sie unter Erstellen Sie eine Zertifikatsanfrage.

• Beispiel: Nur CSR-Ausstellung zulassen.

policy.yaml

allowedIssuanceModes:
  allowCsrBasedIssuance: True
  allowConfigBasedIssuance: False

Algorithmen für öffentliche Schlüssel der Zertifikatsanfrage einschränken

Um die minimale Schlüssellänge und die öffentlichen Schlüsselalgorithmen einzuschränken, Zertifikate verwenden können, können Sie das Feld allowedKeyTypes in der YAML-Datei für die Richtlinie zur Zertifikatsausstellung. Ist dieses Feld angegeben, Der öffentliche Schlüssel der Zertifikatsanfrage muss einem der Schlüsseltypen entsprechen, die in der YAML-Datei. Wird dieses Feld nicht angegeben, können Sie einen beliebigen Schlüssel mit dem Parameter Ausnahme von RSA-Schlüsseln mit weniger als 2.048 Bit. Wenn Sie einen RSA-Schlüssel verwenden möchten mit einer Modulo-Größe von weniger als 2048 Bit, müssen Sie dies explizit mithilfe der Richtlinie zur Zertifikatsausstellung.

Beispiel: RSA-Schlüssel mit einer Modulusgröße zwischen 3.072 Bit und 4.096 zulassen Bits (einschließlich) oder Schlüssel des Elliptic Curve Digital Signature Algorithm (ECDSA) über der NIST P-256-Kurve.

policy.yaml

allowedKeyTypes:
- rsa:
    minModulusSize: 3072
    maxModulusSize: 4096
- ellipticCurve:
    signatureAlgorithm: ECDSA_P256

Sie können einen der folgenden Signaturalgorithmen für elliptische Kurven auswählen:

• EC_SIGNATURE_ALGORITHM_UNSPECIFIED: Jeder Signaturalgorithmus kann verwendet werden.
• ECDSA_P256 – Digitale Signatur für elliptische Kurven über der NIST P-256-Kurve.
• ECDSA_P384 – Digitale Signatur für elliptische Kurven über der NIST P-384-Kurve.
• EDDSA_25519: Edwards-Curve-Digital Signature Algorithm über Kurve 25519, wie in RFC 8410 beschrieben.

Nächste Schritte

• Weitere Informationen zu Zertifikatsprofilen
• Weitere Informationen zum Anfordern von Zertifikaten
• IAM-Richtlinien konfigurieren
• Hier erfahren Sie, wie Sie die Common Expression Language (CEL) verwenden.
• Weitere Informationen zum Verwalten verschiedener Richtlinieneinstellungen