Gestisci la configurazione dell'emissione dei certificati

Questa pagina descrive come creare e gestire una configurazione di emissione dei certificati.

Per ulteriori informazioni sulle risorse di configurazione dell'emissione dei certificati, vedi Come funziona Gestore certificati.

Tieni presente che per disabilitare l'ultima CA abilitata nel pool di CA a cui viene fatto riferimento nella configurazione di emissione dei certificati o per eliminare completamente il pool di CA a cui viene fatto riferimento, devi prima eliminare ogni configurazione di emissione dei certificati che fa riferimento a quel pool di CA.

Per scoprire come eseguire il deployment di un certificato con Gestore certificati, consulta Panoramica del deployment.

Nota: le istruzioni per gcloud in questa pagina presuppongono che utilizzi Cloud Shell o un altro ambiente con bash installato.

Per ulteriori informazioni sui comandi gcloud utilizzati in questa pagina, consulta il riferimento per l'interfaccia a riga di comando di Certificate Manager.

Crea una configurazione per l'emissione dei certificati

Per creare una configurazione per l'emissione dei certificati, completa i passaggi di questa sezione.

Tieni presente che, anche se utilizzi un pool di CA a livello di regione per emettere un certificato TLS gestito da Google, il certificato stesso è globale e può essere utilizzato in qualsiasi regione.

Per completare questa attività, devi disporre di uno dei seguenti ruoli nel progetto Google Cloud di destinazione:

• Editor gestore certificati
• Proprietario gestore certificati

Per ulteriori informazioni, vedi Ruoli e autorizzazioni.

gcloud

gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
    --ca-pool=CA_POOL \
    --lifetime=CERTIFICATE_LIFETIME \
    --rotation-window-percentage=ROTATION_WINDOW_PERCENTAGE \
    --key-algorithm=KEY_ALGORITHM

Sostituisci quanto segue:

• ISSUANCE_CONFIG_NAME è un nome univoco che identifica questa risorsa di configurazione dell'emissione dei certificati.
• CA_POOL è il percorso completo e il nome del pool di CA da assegnare a questa risorsa di configurazione dell'emissione dei certificati.
• CERTIFICATE_LIFETIME (facoltativo) indica la durata del certificato in giorni. I valori validi sono compresi tra 21 e 30 giorni. Il valore predefinito è 30 giorni.
• (Facoltativo) ROTATION_WINDOW_PERCENTAGE indica la percentuale della durata del certificato in cui viene attivato un rinnovo. Il valore predefinito è 66%. Devi impostare la percentuale della finestra di rotazione in relazione alla durata del certificato, in modo che il rinnovo del certificato abbia luogo almeno sette giorni dopo la sua emissione e almeno sette giorni prima della scadenza.
  • Il certificato deve essere rinnovato almeno sette giorni interi dopo la scadenza.
• KEY_ALGORITHM (facoltativo) è l'algoritmo di crittografia utilizzato per generare la chiave privata. I valori validi sono ecdsa-p256 o rsa-2048. Il valore predefinito è rsa-2048.

API

Crea la configurazione di emissione dei certificati effettuando una richiesta POST al metodo certificateIssuanceConfigs.create come segue:

POST /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs?issuanceConfig_id=ISSUANCE_CONFIG_NAME
 {
  "name": "ISSUANCE_CONFIG_NAME",
  "description": "DESCRIPTION",
  "certificateAuthorityConfig": {
    "certificateAuthorityServiceConfig" {
          "caPool": "CA_POOL"
    },
  },
  "lifetime": "CERTIFICATE_LIFETIME",
  "rotationWindowPercentage": "ROTATION_WINDOW_PERCENTAGE",
  "keyAlgorithm": "KEY_ALGORITHM",
  }

Sostituisci quanto segue:

• PROJECT_ID è l'ID del progetto Google Cloud di destinazione.
• ISSUANCE_CONFIG_NAME è un nome univoco che identifica questa risorsa di configurazione dell'emissione dei certificati.
• DESCRIPTION (facoltativo) è una descrizione significativa di questa risorsa di configurazione dell'emissione dei certificati.
• CA_POOL è il percorso completo e il nome del pool di CA da assegnare a questa risorsa di configurazione dell'emissione dei certificati.
  • CERTIFICATE_LIFETIME (facoltativo) indica la durata del certificato in giorni. I valori validi sono compresi tra 21 e 30 giorni nel formato di durata standard. Il valore predefinito è 30 giorni (30D).
• (Facoltativo) ROTATION_WINDOW_PERCENTAGE indica la percentuale della durata del certificato in cui viene attivato un rinnovo. Il valore predefinito è 66%. Devi impostare la percentuale della finestra di rotazione in relazione alla durata del certificato, in modo che il rinnovo del certificato abbia luogo almeno sette giorni dopo la sua emissione e almeno sette giorni prima della scadenza.
• KEY_ALGORITHM è l'algoritmo di crittografia utilizzato per generare la chiave privata. I valori validi sono ecdsa-p256 o rsa-2048. Il valore predefinito è rsa-2048.

Aggiorna una risorsa di configurazione dell'emissione dei certificati

Per aggiornare una risorsa di configurazione dell'emissione dei certificati, devi eliminarla e crearla.

Elenca le risorse di configurazione dell'emissione dei certificati

Per elencare le risorse di configurazione dell'emissione dei certificati, completa i passaggi descritti in questa sezione.

Per completare questa attività, devi disporre di uno dei seguenti ruoli nel progetto Google Cloud di destinazione:

• Visualizzatore gestore certificati
• Editor gestore certificati
• Proprietario gestore certificati

Per ulteriori informazioni, vedi Ruoli e autorizzazioni.

Console

1. Nella console Google Cloud, vai alla pagina Gestore certificati.

   Vai a Gestore certificati

2. Nella pagina visualizzata, seleziona la scheda Configurazioni di emissione. In questa scheda sono elencate tutte le risorse di configurazione dell'emissione dei certificati gestite da Certificate Manager nel progetto selezionato.

gcloud

gcloud certificate-manager issuance-configs list \
    --filter="FILTER" \
    --page-size="PAGE_SIZE" \
    --limit="LIMIT" \
    --sort-by="SORT_BY"

Sostituisci quanto segue:

• FILTER è un'espressione che vincola i risultati restituiti a valori specifici. Ad esempio, puoi filtrare i risultati in base ai seguenti criteri:

  • Etichette e data e ora di creazione: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

  Per altri esempi di filtro che puoi utilizzare con Gestore certificati, consulta Ordinare e filtrare i risultati dell'elenco nella documentazione di Cloud Key Management Service.

• PAGE_SIZE è il numero di risultati da restituire per ogni pagina.

• LIMIT è il numero massimo di risultati da restituire.

• SORT_BY è un elenco di campi name delimitato da virgole in base al quale i risultati restituiti vengono ordinati. L'ordinamento predefinito è crescente; per l'ordinamento decrescente, aggiungi una tilde (~) al campo.

API

Elenca le risorse di configurazione dell'emissione dei certificati configurate effettuando una richiesta LIST al metodo certificateIssuanceConfigs.list come segue:

GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs?filter=FILTER&pageSize=PAGE_SIZE&sortBy=SORT_BY

Sostituisci quanto segue:

• PROJECT_ID è l'ID del progetto Google Cloud di destinazione.
• FILTER è un'espressione che vincola i risultati restituiti a valori specifici.
• PAGE_SIZE è il numero di risultati da restituire per ogni pagina.
• SORT_BY è un elenco di nomi di campi delimitato da virgole in base al quale vengono ordinati i risultati restituiti. L'ordinamento predefinito è crescente; per l'ordinamento decrescente, aggiungi ~ al campo.

Visualizza lo stato della configurazione di emissione di un certificato

Per visualizzare lo stato della configurazione dell'emissione di un certificato, completa i passaggi di questa sezione.

Per completare questa attività, devi disporre di uno dei seguenti ruoli nel progetto Google Cloud di destinazione:

• Visualizzatore gestore certificati
• Editor gestore certificati
• Proprietario gestore certificati

Per ulteriori informazioni, vedi Ruoli e autorizzazioni.

Console

1. Nella console Google Cloud, vai alla pagina Gestore certificati.

   Vai a Gestore certificati

2. Nella pagina visualizzata, seleziona la scheda Configurazioni di emissione. In questa scheda sono elencate tutte le risorse di configurazione dell'emissione dei certificati gestite da Certificate Manager nel progetto selezionato.

3. Fai clic sulla configurazione di emissione dei certificati che vuoi visualizzare.

Nella console Google Cloud vengono visualizzati i dettagli della configurazione dell'emissione dei certificati.

gcloud

gcloud certificate-manager issuance-configs describe ISSUANCE_CONFIG_NAME

Sostituisci quanto segue:

• ISSUANCE_CONFIG_NAME è il nome della configurazione di emissione del certificato di destinazione.

API

Visualizza lo stato della configurazione dell'emissione dei certificati effettuando una richiesta GET al metodo certificateIssuanceConfigs.get come segue:

  GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

Sostituisci quanto segue:

• PROJECT_ID è l'ID del progetto Google Cloud di destinazione.
• ISSUANCE_CONFIG__NAME è il nome della configurazione di emissione del certificato di destinazione.

Elimina una configurazione di emissione dei certificati

Per eliminare una configurazione per l'emissione dei certificati, completa i passaggi di questa sezione. Prima di eliminare una configurazione di emissione di certificati, devi eliminare il certificato gestito da Google che vi fa riferimento.

Per completare questa attività, devi disporre del ruolo Proprietario del gestore certificati nel progetto Google Cloud di destinazione.

Per ulteriori informazioni, vedi Ruoli e autorizzazioni.

Console

1. Nella console Google Cloud, vai alla pagina Gestore certificati.

   Vai a Gestore certificati

2. Nella scheda Configurazioni di emissione, seleziona la casella di controllo della configurazione di emissione che vuoi eliminare.

3. Fai clic su Elimina.

4. Nella finestra di dialogo visualizzata, fai clic su Elimina per confermare.

gcloud

gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME

Sostituisci quanto segue:

• ISSUANCE_CONFIG_NAME è il nome della configurazione di emissione del certificato di destinazione.

API

Elimina la configurazione dell'emissione dei certificati effettuando una richiesta DELETE al metodo certificateIssuanceConfigs.delete come segue:

  DELETE /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

Sostituisci quanto segue:

• PROJECT_ID è l'ID del progetto Google Cloud di destinazione.
• ISSUANCE_CONFIG_NAME è il nome della configurazione di emissione del certificato di destinazione.

Passaggi successivi

• Gestire i certificati
• Gestire le mappe di certificati
• Gestire le voci della mappa di certificati
• Gestisci autorizzazioni DNS