このページでは、証明書発行の構成を作成および管理する方法について説明します。
証明書発行の構成リソースの詳細については、Certificate Manager の仕組みをご覧ください。
証明書発行の構成で参照されている CA プールで最後に有効にした CA を無効にする場合や、参照される CA プールを完全に削除する場合は、まず、その CA プールを参照するすべての証明書発行の構成を削除する必要があります。
Certificate Manager を使用して証明書をデプロイする方法については、デプロイの概要をご覧ください。
このページで使用されている gcloud コマンドの詳細については、Certificate Manager CLI のリファレンスをご覧ください。
証明書発行の構成を作成する
証明書発行の構成を作成するには、このセクションの手順を行います。
リージョン CA プールを使用して Google マネージド TLS 証明書を発行しても、証明書自体はグローバルであり、どのリージョンでも使用できることに注意してください。
このタスクを完了するには、ターゲットの Google Cloud プロジェクトに対する次のいずれかのロールが必要です。
- Certificate Manager 編集者
- Certificate Manager オーナー
詳細については、ロールと権限をご覧ください。
コンソール
Google Cloud コンソールで、[Certificate Manager] ページに移動します。
[発行の構成] タブで、[作成] をクリックします。
[名前] フィールドに、証明書発行の構成の一意の名前を入力します。
省略可: [説明] フィールドに、発行の構成の説明を入力します。
[ロケーション] で [グローバル] または [リージョン] を選択します。
[リージョン] を選択した場合は、[リージョン] を選択します。
[存続期間] フィールドに、発行する証明書の有効期間を日数で指定します。値は 21～30 日の範囲で指定してください。
[ローテーション時間枠の割合] で、更新プロセスを開始するときの証明書の存続期間の割合を指定します。有効な値の範囲については、存続期間とローテーション時間枠の割合をご覧ください。
[鍵アルゴリズム] リストから、秘密鍵の生成時に使用する鍵アルゴリズムを選択します。
[CA プール] リストから、この証明書発行の構成に割り当てる CA プールの名前を選択します。
[ラベル] フィールドで、証明書に関連付けるラベルを指定します。ラベルを追加するには、[ ラベルを追加] をクリックして、ラベルの
keyとvalueを指定します。[作成] をクリックします。
gcloud
gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
--ca-pool=CA_POOL \
--lifetime=CERTIFICATE_LIFETIME \
--rotation-window-percentage=ROTATION_WINDOW_PERCENTAGE \
--key-algorithm=KEY_ALGORITHM
次のように置き換えます。
ISSUANCE_CONFIG_NAMEは、この証明書発行の構成を識別する一意の名前です。CA_POOLは、この証明書発行の構成に割り当てる CA プールの完全なリソースパスと名前です。CERTIFICATE_LIFETIME（省略可）は、証明書の有効期間（日数）です。有効な値は 21 ～ 30 日です。デフォルトは 30 日です。ROTATION_WINDOW_PERCENTAGE（省略可）は、更新プロセスを開始するときの証明書の存続期間の割合です。デフォルトは 66% です。有効な値の範囲については、存続期間とローテーション時間枠の割合をご覧ください。KEY_ALGORITHM（省略可）は、秘密鍵を生成する暗号化アルゴリズムです。有効な値はecdsa-p256またはrsa-2048です。デフォルトはrsa-2048です。
API
次のように、certificateIssuanceConfigs.create メソッドに対して POST リクエストを行い、証明書発行の構成を作成します。
POST /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs?issuanceConfig_id=ISSUANCE_CONFIG_NAME
{
"name": "ISSUANCE_CONFIG_NAME",
"description": "DESCRIPTION",
"certificateAuthorityConfig": {
"certificateAuthorityServiceConfig" {
"caPool": "CA_POOL"
},
},
"lifetime": "CERTIFICATE_LIFETIME",
"rotationWindowPercentage": "ROTATION_WINDOW_PERCENTAGE",
"keyAlgorithm": "KEY_ALGORITHM",
}
次のように置き換えます。
PROJECT_IDは、ターゲットの Google Cloud プロジェクトの ID です。ISSUANCE_CONFIG_NAMEは、この証明書発行の構成を識別する一意の名前です。DESCRIPTION（省略可）は、この証明書発行の構成リソースのわかりやすい説明です。CA_POOLは、この証明書発行の構成に割り当てる CA プールの完全なリソースパスと名前です。CERTIFICATE_LIFETIME（省略可）は、証明書の有効期間（日数）です。有効な値は、標準の期間形式で 21 ～ 30 日です。デフォルトは 30 日です（30D）。
ROTATION_WINDOW_PERCENTAGE（省略可）は、証明書の存続期間で更新プロセスが開始される割合です。デフォルトは 66% です。有効な値の範囲については、存続期間とローテーション時間枠の割合をご覧ください。KEY_ALGORITHMは、秘密鍵の生成に使用される暗号化アルゴリズムです。有効な値はecdsa-p256またはrsa-2048です。デフォルトはrsa-2048です。
存続期間とローテーション時間枠の割合
証明書発行の構成を作成する際は、[存続期間] フィールドで証明書の存続期間、[ローテーション時間枠の割合] フィールドで証明書の更新プロセスを期限切れになる前に開始する時間も定義します。
証明書が有効期限の少なくとも 7 日前と発行から 7 日後に更新されるようにするには、証明書の存続期間を基準としてローテーション時間枠の割合を設定します。ローテーション時間枠の割合の許容範囲を計算するには、次の数式を使用します。
- 最小値: ローテーション時間枠の割合 ≥（7 / 存続時間）* 100
- 最大値: ローテーション時間枠の割合 ≤（（存続期間 - 7）/ 存続期間）* 100
上記の数式では、7 は 7 日間です。
最小値が小数の場合は、最も近い整数に切り上げます。最大値が小数の場合は、最も近い整数に切り捨てます。
証明書発行の構成リソースを更新する
証明書発行の構成リソースを更新するには、削除してから再作成する必要があります。
証明書発行の構成リソースを一覧表示する
証明書発行の構成リソースを一覧表示するには、このセクションの手順を行います。
このタスクを完了するには、ターゲットの Google Cloud プロジェクトに対する次のいずれかのロールが必要です。
- Certificate Manager 閲覧者
- Certificate Manager 編集者
- Certificate Manager オーナー
詳細については、ロールと権限をご覧ください。
コンソール
Google Cloud コンソールで、[Certificate Manager] ページに移動します。
[発行の構成] タブをクリックします。
このタブには、選択したプロジェクトで Certificate Manager によって管理されているすべての証明書発行の構成リソースが一覧表示されます。
gcloud
gcloud certificate-manager issuance-configs list \
--filter="FILTER" \
--page-size="PAGE_SIZE" \
--limit="LIMIT" \
--sort-by="SORT_BY"
次のように置き換えます。
FILTERは、返される結果を特定の値に制限する式です。たとえば、次の条件で結果をフィルタできます。- ラベルと作成時刻:
--filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'
Certificate Manager で使用できるその他のフィルタリングの例については、Cloud Key Management Service のドキュメントのリストの結果の並べ替えとフィルタリングをご覧ください。
- ラベルと作成時刻:
PAGE_SIZEはページごとに返す結果の数です。LIMITは返される結果の最大数です。SORT_BYは、返される結果の並べ替えの基準とするnameフィールドのカンマ区切りリストです。デフォルトの並べ替え順は昇順です。降順の並べ替え順の場合、フィールドの先頭にチルダ（~）を付けます。
API
次のように、certificateIssuanceConfigs.list メソッドに LIST リクエストを送信して、構成済みの証明書発行の構成リソースを一覧表示します。
GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs?filter=FILTER&pageSize=PAGE_SIZE&sortBy=SORT_BY
次のように置き換えます。
PROJECT_IDは、ターゲットの Google Cloud プロジェクトの ID です。FILTERは、返される結果を特定の値に制限する式です。PAGE_SIZEはページごとに返す結果の数です。SORT_BYは、返される結果の並べ替えの基準とするフィールド名のカンマ区切りリストです。デフォルトの並べ替え順は昇順です。降順の並べ替え順の場合、フィールドの先頭に~を付けます。
証明書発行の構成の状態を表示する
証明書発行の構成の状態を表示するには、このセクションの手順を完了します。
このタスクを完了するには、ターゲットの Google Cloud プロジェクトに対する次のいずれかのロールが必要です。
- Certificate Manager 閲覧者
- Certificate Manager 編集者
- Certificate Manager オーナー
詳細については、ロールと権限をご覧ください。
コンソール
Google Cloud コンソールで、[Certificate Manager] ページに移動します。
[発行の構成] タブをクリックします。
表示する証明書発行の構成の名前をクリックします。
Google Cloud コンソールに証明書発行の構成の詳細が表示されます。
gcloud
gcloud certificate-manager issuance-configs describe ISSUANCE_CONFIG_NAME
次のように置き換えます。
ISSUANCE_CONFIG_NAMEは、ターゲットの証明書発行の構成の名前です。
API
次のように、certificateIssuanceConfigs.get メソッドに対して GET リクエストを行い、証明書発行の構成の状態を表示します。
GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME
次のように置き換えます。
PROJECT_IDは、ターゲットの Google Cloud プロジェクトの ID です。ISSUANCE_CONFIG__NAMEは、ターゲットの証明書発行の構成の名前です。
証明書発行の構成を削除する
証明書発行の構成を削除するには、このセクションの手順を行います。証明書発行の構成を削除する前に、まずその構成を参照する Google マネージド証明書を削除する必要があります。
このタスクを完了するには、ターゲットの Google Cloud プロジェクトに対する Certificate Manager 所有者のロールが必要です。
詳細については、ロールと権限をご覧ください。
コンソール
Google Cloud コンソールで、[Certificate Manager] ページに移動します。
[発行の構成] タブで、削除する発行の構成のチェックボックスをオンにします。
[削除] をクリックします。
表示されたダイアログで、[削除] をクリックして確定します。
gcloud
gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME
次のように置き換えます。
ISSUANCE_CONFIG_NAMEは、ターゲットの証明書発行の構成の名前です。
API
次のように、certificateIssuanceConfigs.delete メソッドに対して DELETE リクエストを行い、証明書発行の構成を削除します。
DELETE /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME
次のように置き換えます。
PROJECT_IDは、ターゲットの Google Cloud プロジェクトの ID です。ISSUANCE_CONFIG_NAMEは、ターゲットの証明書発行の構成の名前です。