Gestire le risorse di configurazione dell'emissione dei certificati

Questa pagina descrive come creare e gestire una risorsa di configurazione per la concessione di certificati.

Per ulteriori informazioni sulle risorse di configurazione dell'emissione dei certificati, consulta Come funziona Certificate Manager.

Crea una risorsa di configurazione dell'emissione dei certificati

Prima di creare la risorsa di configurazione dell'emissione, configura l'integrazione del servizio CA con Gestore certificati.

Per creare una risorsa di configurazione per l'emissione di certificati, specifica la durata del certificato, la percentuale della finestra di rotazione, l'algoritmo della chiave e il pool di CA da utilizzare.

Anche se utilizzi un pool di CA regionale per emettere un certificato TLS gestito da Google, il certificato può essere utilizzato a livello globale.

Console

  1. Nella console Google Cloud, vai alla pagina Gestione certificati.

    Vai a Gestore certificati

  2. Nella scheda Configurazioni di emissione, fai clic su Crea.

  3. Nel campo Nome, inserisci un nome univoco per la risorsa di configurazione dell'emissione dei certificati.

  4. (Facoltativo) Nel campo Descrizione, inserisci una descrizione per la configurazione di emissione.

  5. Per Località, seleziona Globale o Regionale. Se hai selezionato Regionale, seleziona la stessa Regione del certificato e del pool di CA.

  6. Nel campo Lifetime (Durata), specifica la durata del certificato emesso in giorni. Il valore deve essere compreso tra 21 e 30 giorni (inclusi).

  7. In Percentuale finestra di rotazione, specifica la percentuale della durata del certificato all'inizio del processo di rinnovo. Per trovare l'intervallo di valori validi, consulta la sezione Percentuale della finestra di rotazione e del lifetime.

  8. Dall'elenco Algoritmo chiave, seleziona l'algoritmo chiave da utilizzare per la generazione della chiave privata.

  9. Nell'elenco Pool di CA, seleziona il nome del pool di CA da assegnare a questa risorsa di configurazione dell'emissione dei certificati.

  10. Nel campo Etichette, specifica le etichette da associare al certificato. Per aggiungere un'etichetta, fai clic su Aggiungi etichetta e specifica una chiave e un valore per l'etichetta.

  11. Fai clic su Crea.

gcloud

Per creare una risorsa di configurazione dell'emissione dei certificati, utilizza il certificate-manager issuance-configs create comando:

gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
    --ca-pool=CA_POOL \
    --lifetime=CERTIFICATE_LIFETIME \
    --rotation-window-percentage=ROTATION_WINDOW_PERCENTAGE \
    --key-algorithm=KEY_ALGORITHM
    [--location=LOCATION]

Sostituisci quanto segue:

  • ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione dell'emissione dei certificati che fa riferimento al pool di CA di destinazione.
  • CA_POOL: il percorso completo e il nome della risorsa del pool di CA che vuoi assegnare alla risorsa di configurazione dell'emissione dei certificati.
  • CERTIFICATE_LIFETIME: la durata del certificato in giorni. I valori validi vanno da 21 a 30 giorni nel formato della durata assoluta. Il valore predefinito è 30 giorni (30D). Questo flag è facoltativo.
  • ROTATION_WINDOW_PERCENTAGE: la percentuale della durata rimanente del certificato prima del rinnovo. Il valore predefinito è 66%. Per trovare l'intervallo di valori validi, consulta [Durata e Percentuale della finestra di rotazione](#lifetime-rotation-percentage). Questo flag è facoltativo.
  • KEY_ALGORITHM: l'algoritmo di crittografia utilizzato per generare la chiave privata. I valori validi sono ecdsa-p256 o rsa-2048. Il valore predefinito è rsa-2048. Questo flag è facoltativo.
  • LOCATION: la località Google Cloud di destinazione.

API

Crea la risorsa di configurazione dell'emissione dei certificati inviando una richiesta POST al metodo certificateIssuanceConfigs.create come segue:

POST /v1/projects/PROJECT_ID/locations/LOCATION/certificateIssuanceConfigs?issuanceConfig_id=ISSUANCE_CONFIG_NAME
 {
  "name": "ISSUANCE_CONFIG_NAME",
  "description": "DESCRIPTION",
  "certificateAuthorityConfig": {
    "certificateAuthorityServiceConfig" {
          "caPool": "CA_POOL"
    },
  },
  "lifetime": "CERTIFICATE_LIFETIME",
  "rotationWindowPercentage": "ROTATION_WINDOW_PERCENTAGE",
  "keyAlgorithm": "KEY_ALGORITHM",
  }

Sostituisci quanto segue:

  • PROJECT_ID: l'ID del progetto Google Cloud.
  • LOCATION: la località Google Cloud di destinazione.
  • ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione dell'emissione dei certificati che fa riferimento al pool di CA di destinazione.
  • DESCRIPTION: una descrizione significativa per la risorsa di configurazione dell'emissione dei certificati.
  • CA_POOL: il percorso completo e il nome della risorsa del pool di CA che vuoi assegnare alla risorsa di configurazione dell'emissione dei certificati.
  • CERTIFICATE_LIFETIME: la durata del certificato in giorni. I valori validi vanno da 21 a 30 giorni nel formato della durata assoluta. Il valore predefinito è 30 giorni (30D). Questo flag è facoltativo.
  • ROTATION_WINDOW_PERCENTAGE: la percentuale della durata rimanente del certificato prima del rinnovo. Il valore predefinito è 66%. Per trovare l'intervallo di valori validi, consulta [Durata e Percentuale della finestra di rotazione](#lifetime-rotation-percentage). Questo flag è facoltativo.
  • KEY_ALGORITHM: l'algoritmo di crittografia utilizzato per generare la chiave privata. I valori validi sono ecdsa-p256 o rsa-2048. Il valore predefinito è rsa-2048. Questo flag è facoltativo.

Durata e percentuale della finestra di rotazione

Quando crei una risorsa di configurazione per l'emissione di certificati, definisci anche la durata del certificato nel campo Durata e quando inizia la procedura di rinnovo del certificato prima della scadenza nel campo Percentuale finestra di rotazione.

Per assicurarti che il certificato venga rinnovato almeno sette giorni prima della scadenza e sette giorni dopo la sua emissione, imposta la percentuale della finestra di rotazione relativa alla durata del certificato. Per calcolare l'intervallo consentito per la percentuale della finestra di rotazione, utilizza le seguenti formule:

  • Valore minimo: percentuale della finestra di rotazione ≥ (7 / Durata) * 100
  • Valore massimo: percentuale della finestra di rotazione ≤ ( (Durata - 7) / Durata) * 100

Nelle formule precedenti, 7 corrisponde a sette giorni.

Se il valore minimo è decimale, arrotonda per eccesso al numero intero più vicino. Se il valore massimo è decimale, arrotonda per difetto al numero intero più vicino.

Elenca le configurazioni di emissione dei certificati

Puoi visualizzare tutte le risorse di configurazione di emissione dei certificati del tuo progetto e i relativi dettagli.

Console

  1. Nella console Google Cloud, vai alla pagina Gestione certificati.

    Vai a Gestore certificati

  2. Fai clic sulla scheda Configurazioni di emissione. La scheda elenca tutte le risorse di configurazione per la concessione dei certificati gestite da Gestore certificati nel progetto selezionato.

gcloud

Per elencare le risorse di configurazione di emissione dei certificati, utilizza il comando certificate-manager issuance-configs list:

gcloud certificate-manager issuance-configs list \
    --filter="FILTER" \
    --page-size="PAGE_SIZE" \
    --limit="LIMIT" \
    --sort-by="SORT_BY" \
    [--location=LOCATION]

Sostituisci quanto segue:

  • FILTER: un'espressione che limita i risultati restituiti a valori specifici.

    Ad esempio, per filtrare i risultati in base alle etichette e alla data di creazione, puoi specificare: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

    Per altri esempi di filtri che puoi utilizzare con Certificate Manager, consulta Ordinare e filtrare i risultati dell'elenco nella documentazione di Cloud Key Management Service.

  • PAGE_SIZE: il numero di risultati da restituire per pagina.

  • LIMIT: il numero massimo di risultati da restituire.

  • SORT_BY: un elenco separato da virgole di campi name in base ai quali vengono ordinati i risultati restituiti. L'ordinamento predefinito è crescente. Per un ordinamento decrescente, anteponi al campo un a capo (~).

  • LOCATION: la località Google Cloud di destinazione.

API

Elenca le risorse di configurazione dell'emissione dei certificati configurate inviando una richiesta LIST al metodo certificateIssuanceConfigs.list come segue:

GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs?filter=FILTER&pageSize=PAGE_SIZE&sortBy=SORT_BY

Sostituisci quanto segue:

  • PROJECT_ID: l'ID del progetto Google Cloud.

  • FILTER: un'espressione che limita i risultati restituiti a valori specifici.

    Ad esempio, per filtrare i risultati in base alle etichette e alla data di creazione, puoi specificare: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

    Per altri esempi di filtri che puoi utilizzare con Gestore dei certificati, consulta Ordinare e filtrare i risultati dell'elenco nella documentazione di Cloud Key Management Service.

  • PAGE_SIZE: il numero di risultati da restituire per pagina.

  • SORT_BY: un elenco separato da virgole di campi name in base ai quali vengono ordinati i risultati restituiti. L'ordinamento predefinito è crescente. Per l'ordinamento decrescente, anteponi al campo un a capo (~).

Visualizzare lo stato di una risorsa di configurazione dell'emissione di certificati

Console

  1. Nella console Google Cloud, vai alla pagina Gestione certificati.

    Vai a Gestore certificati

  2. Fai clic sulla scheda Configurazioni di emissione.

  3. Fai clic sul nome della risorsa di configurazione per l'emissione dei certificati che vuoi visualizzare. La console Google Cloud mostra i dettagli della risorsa di configurazione per la concessione dei certificati.

gcloud

Per visualizzare lo stato di una risorsa di configurazione per l'emissione di certificati, utilizza il certificate-manager issuance-configs describe comando:

gcloud certificate-manager issuance-configs describe ISSUANCE_CONFIG_NAME

Sostituisci ISSUANCE_CONFIG_NAME con il nome della risorsa di configurazione dell'emissione dei certificati che fa riferimento al pool di CA di destinazione.

API

Per visualizzare lo stato della risorsa di configurazione dell'emissione dei certificati, invia una richiesta GET al metodo certificateIssuanceConfigs.get come segue:

  GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

Sostituisci quanto segue:

  • PROJECT_ID: l'ID del progetto Google Cloud.
  • ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione dell'emissione dei certificati che fa riferimento al pool di CA di destinazione.

Eliminare una risorsa di configurazione dell'emissione dei certificati

Prima di eliminare una risorsa di configurazione per l'emissione di certificati, devi prima eliminare il certificato gestito da Google che fa riferimento.

Per disattivare l'ultima CA che hai attivato in un pool di CA a cui viene fatto riferimento nella risorsa di configurazione dell'emissione dei certificati o per eliminare completamente il pool di CA, devi prima eliminare tutte le risorse di configurazione dell'emissione dei certificati che fanno riferimento al pool di CA.

Console

  1. Nella console Google Cloud, vai alla pagina Gestione certificati.

    Vai a Gestore certificati

  2. Nella scheda Configurazioni di emissione, seleziona la casella di controllo della configurazione di emissione da eliminare.

  3. Fai clic su Elimina.

  4. Nella finestra di dialogo visualizzata, fai clic su Elimina per confermare.

gcloud

Per eliminare una risorsa di configurazione dell'emissione dei certificati, utilizza il certificate-manager issuance-configs delete comando:

gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME
    [--location=LOCATION]

Sostituisci quanto segue:

  • ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione dell'emissione dei certificati che fa riferimento al pool di CA di destinazione.
  • LOCATION: la località Google Cloud di destinazione.

API

Elimina la risorsa di configurazione dell'emissione dei certificati inviando una richiesta DELETE al metodo certificateIssuanceConfigs.delete come segue:

  DELETE /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

Sostituisci quanto segue:

  • PROJECT_ID: l'ID del progetto Google Cloud.
  • ISSUANCE_CONFIG_NAME: il nome della risorsa di configurazione dell'emissione dei certificati che fa riferimento al pool di CA di destinazione.

Passaggi successivi