Gestisci la configurazione dell'emissione dei certificati

Questa pagina descrive come creare e gestire una configurazione di emissione dei certificati.

Per ulteriori informazioni sulle risorse di configurazione dell'emissione dei certificati, consulta Come funziona Gestore certificati.

Tieni presente che per disabilitare l'ultima CA che hai abilitato nel pool di CA a cui viene fatto riferimento nel configurazione dell'emissione dei certificati o per eliminare del tutto il pool di CA a cui viene fatto riferimento, è necessario elimina prima ogni configurazione di emissione dei certificati che fa riferimento a quel pool di CA.

Per scoprire come eseguire il deployment di un certificato con Gestore certificati, consulta Panoramica del deployment.

Nota: le istruzioni per gcloud in questa pagina presuppongono che tu stia utilizzando Cloud Shell o un altro ambiente in cui è installato bash.

Per ulteriori informazioni sui comandi gcloud utilizzati in questa pagina, consulta le Riferimento per l'interfaccia a riga di comando di Certificate Manager.

Crea una configurazione per l'emissione dei certificati

Per creare una configurazione per l'emissione dei certificati, completa i passaggi di questa sezione.

Tieni presente che, anche se utilizzi un pool di CA a livello di regione per emettere un Certificato TLS, il certificato stesso è globale e può essere utilizzato in qualsiasi regione.

Per completare questa attività, devi disporre di uno dei seguenti ruoli nella destinazione Progetto Google Cloud:

• Editor gestore certificati
• Proprietario gestore certificati

Per ulteriori informazioni, vedi Ruoli e autorizzazioni.

gcloud

gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
    --ca-pool=CA_POOL \
    --lifetime=CERTIFICATE_LIFETIME \
    --rotation-window-percentage=ROTATION_WINDOW_PERCENTAGE \
    --key-algorithm=KEY_ALGORITHM

Sostituisci quanto segue:

• ISSUANCE_CONFIG_NAME è un nome univoco che identifica questa risorsa di configurazione dell'emissione dei certificati.
• CA_POOL è il percorso completo e il nome del pool di CA da assegnare a questa risorsa di configurazione dell'emissione dei certificati.
• CERTIFICATE_LIFETIME (facoltativo) indica la durata del certificato in giorni. I valori validi sono compresi tra 21 e 30 giorni. Il valore predefinito è 30 giorni.
• (Facoltativo) ROTATION_WINDOW_PERCENTAGE indica la percentuale della durata del certificato in cui viene attivato un rinnovo. Il valore predefinito è 66%. Devi impostare la percentuale della finestra di rotazione in relazione alla durata del certificato, in modo che il rinnovo del certificato abbia luogo almeno 7 giorni dopo sia stato emesso e almeno sette giorni prima della scadenza.
  • Il certificato deve essere rinnovato almeno sette giorni interi dopo la scadenza.
• KEY_ALGORITHM (facoltativo) è l'algoritmo di crittografia utilizzato per generare la chiave privata. I valori validi sono ecdsa-p256 o rsa-2048. Il valore predefinito è rsa-2048.

API

Crea la configurazione di emissione dei certificati effettuando una richiesta POST a certificateIssuanceConfigs.create come segue:

POST /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs?issuanceConfig_id=ISSUANCE_CONFIG_NAME
 {
  "name": "ISSUANCE_CONFIG_NAME",
  "description": "DESCRIPTION",
  "certificateAuthorityConfig": {
    "certificateAuthorityServiceConfig" {
          "caPool": "CA_POOL"
    },
  },
  "lifetime": "CERTIFICATE_LIFETIME",
  "rotationWindowPercentage": "ROTATION_WINDOW_PERCENTAGE",
  "keyAlgorithm": "KEY_ALGORITHM",
  }

Sostituisci quanto segue:

• PROJECT_ID è l'ID del progetto Google Cloud di destinazione.
• ISSUANCE_CONFIG_NAME è un nome univoco che identifica questa risorsa di configurazione dell'emissione dei certificati.
• DESCRIPTION (facoltativo) è una descrizione significativa di questa risorsa di configurazione dell'emissione dei certificati.
• CA_POOL è il percorso completo e il nome del pool di CA da assegnare a questa risorsa di configurazione dell'emissione dei certificati.
  • CERTIFICATE_LIFETIME (facoltativo) indica la durata del certificato in giorni. I valori validi sono compresi tra 21 e 30 giorni in formato di durata standard. Il valore predefinito è 30 giorni (30D).
• (Facoltativo) ROTATION_WINDOW_PERCENTAGE indica la percentuale della durata del certificato in cui viene attivato un rinnovo. Il valore predefinito è 66%. Devi impostare la percentuale della finestra di rotazione in relazione alla durata del certificato, in modo che il rinnovo del certificato abbia luogo almeno 7 giorni dopo sia stato emesso e almeno sette giorni prima della scadenza.
• KEY_ALGORITHM è l'algoritmo di crittografia utilizzato per generare la chiave privata. I valori validi sono ecdsa-p256 o rsa-2048. Il valore predefinito è rsa-2048.

Aggiorna una risorsa di configurazione dell'emissione dei certificati

Per aggiornare una risorsa di configurazione dell'emissione dei certificati, devi eliminarla e crearla.

Elenca le risorse di configurazione dell'emissione dei certificati

Per elencare le risorse di configurazione dell'emissione dei certificati, completa i passaggi in questo .

Per completare questa attività, devi disporre di uno dei seguenti ruoli nella destinazione Progetto Google Cloud:

• Visualizzatore gestore certificati
• Editor gestore certificati
• Proprietario gestore certificati

Per ulteriori informazioni, vedi Ruoli e autorizzazioni.

Console

1. Nella console Google Cloud, vai alla pagina Gestore certificati.

   Vai a Gestore certificati

2. Nella pagina visualizzata, seleziona la scheda Configurazioni di emissione. Questa scheda elenca tutte le risorse di configurazione dell'emissione dei certificati gestite Gestore certificati nel progetto selezionato.

gcloud

gcloud certificate-manager issuance-configs list \
    --filter="FILTER" \
    --page-size="PAGE_SIZE" \
    --limit="LIMIT" \
    --sort-by="SORT_BY"

Sostituisci quanto segue:

• FILTER è un'espressione che vincola la query a valori specifici. Ad esempio, puoi filtrare i risultati per i seguenti criteri:

  • Etichette e data e ora di creazione: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

  Per altri esempi di filtri che puoi utilizzare con Gestione certificati, consulta Ordinare e filtrare i risultati dell'elenco. disponibile nella documentazione di Cloud Key Management Service.

• PAGE_SIZE è il numero di risultati da restituire per ogni pagina.

• LIMIT è il numero massimo di risultati da restituire.

• SORT_BY è un elenco di name campi delimitato da virgole in base al quale i risultati restituiti vengono ordinati. L'ordinamento predefinito è crescente; della in ordine decrescente, fai precedere il campo con una tilde (~).

API

Elenca le risorse di configurazione dell'emissione dei certificati configurate effettuando una richiesta LIST a certificateIssuanceConfigs.list come segue:

GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs?filter=FILTER&pageSize=PAGE_SIZE&sortBy=SORT_BY

Sostituisci quanto segue:

• PROJECT_ID è l'ID del progetto Google Cloud di destinazione.
• FILTER è un'espressione che vincola la query a valori specifici.
• PAGE_SIZE è il numero di risultati da restituire per ogni pagina.
• SORT_BY è un elenco di nomi di campi delimitato da virgole in base al quale i risultati restituiti vengono ordinati. L'ordinamento predefinito è crescente; della in ordine decrescente, fai precedere il campo con ~.

Visualizza lo stato della configurazione di emissione di un certificato

Per visualizzare lo stato della configurazione dell'emissione di un certificato, completa i passaggi di questa sezione.

Per completare questa attività, devi disporre di uno dei seguenti ruoli nella destinazione Progetto Google Cloud:

• Visualizzatore gestore certificati
• Editor gestore certificati
• Proprietario gestore certificati

Per ulteriori informazioni, vedi Ruoli e autorizzazioni.

Console

1. Nella console Google Cloud, vai alla pagina Gestore certificati.

   Vai a Gestore certificati

2. Nella pagina visualizzata, seleziona la scheda Configurazioni di emissione. Questa scheda elenca tutte le risorse di configurazione dell'emissione dei certificati gestite Gestore certificati nel progetto selezionato.

3. Fai clic sulla configurazione di emissione dei certificati che vuoi visualizzare.

Nella console Google Cloud vengono visualizzati i dettagli della configurazione dell'emissione dei certificati.

gcloud

gcloud certificate-manager issuance-configs describe ISSUANCE_CONFIG_NAME

Sostituisci quanto segue:

• ISSUANCE_CONFIG_NAME è il nome della configurazione di emissione del certificato di destinazione.

API

Visualizza lo stato della configurazione dell'emissione dei certificati effettuando una richiesta GET a certificateIssuanceConfigs.get come segue:

  GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

Sostituisci quanto segue:

• PROJECT_ID è l'ID del progetto Google Cloud di destinazione.
• ISSUANCE_CONFIG__NAME è il nome della configurazione di emissione del certificato di destinazione.

Elimina una configurazione di emissione dei certificati

Per eliminare una configurazione per l'emissione dei certificati, completa i passaggi di questa sezione. Prima dell'eliminazione una configurazione di emissione del certificato, devi prima eliminare il certificato gestito da Google che vi fa riferimento.

Per completare questa attività, devi disporre del ruolo Proprietario gestore certificati nella progetto Google Cloud di destinazione.

Per ulteriori informazioni, vedi Ruoli e autorizzazioni.

Console

1. Nella console Google Cloud, vai alla pagina Gestore certificati.

   Vai a Gestore certificati

2. Nella scheda Configurazioni di emissione, seleziona la casella di controllo della configurazione di emissione che vuoi eliminare.

3. Fai clic su Elimina.

4. Nella finestra di dialogo visualizzata, fai clic su Elimina per confermare.

gcloud

gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME

Sostituisci quanto segue:

• ISSUANCE_CONFIG_NAME è il nome della configurazione di emissione del certificato di destinazione.

API

Elimina la configurazione dell'emissione dei certificati effettuando una richiesta DELETE a certificateIssuanceConfigs.delete come segue:

  DELETE /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

Sostituisci quanto segue:

• PROJECT_ID è l'ID del progetto Google Cloud di destinazione.
• ISSUANCE_CONFIG_NAME è il nome della configurazione di emissione del certificato di destinazione.

Passaggi successivi

• Gestire i certificati
• Gestire le mappe di certificati
• Gestire le voci della mappa di certificati
• Gestisci autorizzazioni DNS