Administrar la configuración de emisión de certificados

En esta página, se describe cómo crear y administrar una configuración de emisión de certificados.

Para obtener más información sobre los recursos de configuración de emisión de certificados, consulta Cómo funciona el Administrador de certificados.

Ten en cuenta que, para inhabilitar la última AC que habilitaste en el grupo de AC al que se hace referencia en de emisión de certificados o borrar todo el grupo de AC al que se hace referencia, debes primero, borra cada configuración de emisión de certificados que haga referencia a ese grupo de AC.

Para aprender a implementar un certificado con el Administrador de certificados, consulta Descripción general de la implementación.

Nota: En las instrucciones gcloud de esta página, se supone que usas Cloud Shell o algún otro entorno con bash instalado.

Para obtener más información sobre los comandos de gcloud que se usan en esta página, consulta el Referencia de la CLI del Administrador de certificados.

Crea una configuración de emisión de certificados

Para crear una configuración de emisión de certificados, completa los pasos de esta sección.

Ten en cuenta que, aunque uses un grupo de AC regional para emitir un TLS, el certificado en sí es global y se puede usar en cualquier región.

Para completar esta tarea, debes tener uno de los siguientes roles en el destino Proyecto de Google Cloud:

• Editor del Administrador de certificados
• Propietario del Administrador de certificados

Para obtener más información, consulta Funciones y permisos.

gcloud

gcloud certificate-manager issuance-configs create ISSUANCE_CONFIG_NAME \
    --ca-pool=CA_POOL \
    --lifetime=CERTIFICATE_LIFETIME \
    --rotation-window-percentage=ROTATION_WINDOW_PERCENTAGE \
    --key-algorithm=KEY_ALGORITHM

Reemplaza lo siguiente:

• ISSUANCE_CONFIG_NAME es un nombre único que identifica a este recurso de configuración de emisión de certificados.
• CA_POOL es la ruta de acceso completa del recurso y el nombre del grupo de AC que quieres asignar a este recurso de configuración de emisión de certificados.
• CERTIFICATE_LIFETIME (opcional) es la vida útil del certificado en días. Los valores válidos son de 21 a 30 días. El valor predeterminado es de 30 días.
• ROTATION_WINDOW_PERCENTAGE (opcional) es el porcentaje de la vida útil del certificado en el que se activa una renovación. El valor predeterminado es del 66%. Debes establecer el porcentaje del período de rotación en relación con la vida útil del certificado, de modo que la renovación del certificado se realice al menos 7 días después de la de que se emitió el certificado de Google y se cumple, al menos, 7 días antes de su vencimiento.
  • El certificado se debe renovar 7 días completos o antes a partir de su vencimiento.
• KEY_ALGORITHM (opcional) es el algoritmo de encriptación que se usa para generar la clave privada. Los valores válidos son ecdsa-p256 o rsa-2048. El valor predeterminado es rsa-2048.

API

Crea la configuración de emisión de certificados mediante una solicitud POST al certificateIssuanceConfigs.create de la siguiente manera:

POST /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs?issuanceConfig_id=ISSUANCE_CONFIG_NAME
 {
  "name": "ISSUANCE_CONFIG_NAME",
  "description": "DESCRIPTION",
  "certificateAuthorityConfig": {
    "certificateAuthorityServiceConfig" {
          "caPool": "CA_POOL"
    },
  },
  "lifetime": "CERTIFICATE_LIFETIME",
  "rotationWindowPercentage": "ROTATION_WINDOW_PERCENTAGE",
  "keyAlgorithm": "KEY_ALGORITHM",
  }

Reemplaza lo siguiente:

• PROJECT_ID es el ID del proyecto de Google Cloud de destino.
• ISSUANCE_CONFIG_NAME es un nombre único que identifica a este recurso de configuración de emisión de certificados.
• DESCRIPTION (opcional) es una descripción significativa para este recurso de configuración de emisión de certificados.
• CA_POOL es la ruta de acceso completa del recurso y el nombre del grupo de AC que quieres asignar a este recurso de configuración de emisión de certificados.
  • CERTIFICATE_LIFETIME (opcional) es la vida útil del certificado en días. Los valores válidos son de 21 a 30 días en formato de duración estándar. El valor predeterminado es de 30 días (30D).
• ROTATION_WINDOW_PERCENTAGE (opcional) es el porcentaje de la vida útil del certificado en el que se activa una renovación. El valor predeterminado es del 66%. Debes establecer el porcentaje del período de rotación en relación con la vida útil del certificado, de modo que la renovación del certificado se realice al menos 7 días después de la de que se emitió el certificado de Google y se cumple, al menos, 7 días antes de su vencimiento.
• KEY_ALGORITHM es el algoritmo de encriptación que se usa para generar la clave privada. Los valores válidos son ecdsa-p256 o rsa-2048. El valor predeterminado es rsa-2048.

Actualizar un recurso de configuración de emisión de certificados

Para actualizar un recurso de configuración de emisión de certificados, debes borrarlo y volver a crearlo.

Mostrar lista de recursos de configuración de emisión de certificados

Para enumerar los recursos de configuración de emisión de certificados, completa los pasos de este sección.

Para completar esta tarea, debes tener uno de los siguientes roles en el destino Proyecto de Google Cloud:

• Visualizador del administrador de certificados
• Editor del Administrador de certificados
• Propietario del Administrador de certificados

Para obtener más información, consulta Funciones y permisos.

Console

1. En la consola de Google Cloud, ve a la página Administrador de certificados.

   Ir al Administrador de certificados

2. En la página que aparece, selecciona la pestaña Issuance Configs. Esta pestaña enumera todos los recursos de configuración de emisión de certificados administrados por Administrador de certificados en el proyecto seleccionado.

gcloud

gcloud certificate-manager issuance-configs list \
    --filter="FILTER" \
    --page-size="PAGE_SIZE" \
    --limit="LIMIT" \
    --sort-by="SORT_BY"

Reemplaza lo siguiente:

• FILTER es una expresión que restringe el valor que se muestra resultados a valores específicos. Por ejemplo, puedes filtrar los resultados los siguientes criterios:

  • Etiquetas y hora de creación: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'

  Para ver más ejemplos de filtrado que puedes usar con el Administrador de certificados, consulta Cómo ordenar y filtrar resultados de listas en la documentación de Cloud Key Management Service.

• PAGE_SIZE es la cantidad de resultados que se muestran por página.

• LIMIT es la cantidad máxima de resultados que se mostrarán.

• SORT_BY es una lista delimitada por comas de campos name por los cuales los resultados que se muestran están ordenados. El orden predeterminado es ascendente; para orden de clasificación descendente, prefijo el campo con una virgulilla (~).

API

Enumera los recursos de configuración de emisión de certificados configurados mediante una solicitud LIST al certificateIssuanceConfigs.list de la siguiente manera:

GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs?filter=FILTER&pageSize=PAGE_SIZE&sortBy=SORT_BY

Reemplaza lo siguiente:

• PROJECT_ID es el ID del proyecto de Google Cloud de destino.
• FILTER es una expresión que restringe el valor que se muestra resultados a valores específicos.
• PAGE_SIZE es la cantidad de resultados que se muestran por página.
• SORT_BY es una lista delimitada por comas de nombres de campo por los que los resultados que se muestran están ordenados. El orden predeterminado es ascendente; para orden de clasificación descendente, con el prefijo ~ en el campo.

Visualiza el estado de una configuración de emisión de certificados

Para ver el estado de una configuración de emisión de certificados, completa los pasos que se indican en esta sección.

Para completar esta tarea, debes tener uno de los siguientes roles en el destino Proyecto de Google Cloud:

• Visualizador del administrador de certificados
• Editor del Administrador de certificados
• Propietario del Administrador de certificados

Para obtener más información, consulta Funciones y permisos.

Console

1. En la consola de Google Cloud, ve a la página Administrador de certificados.

   Ir al Administrador de certificados

2. En la página que aparece, selecciona la pestaña Issuance Configs. Esta pestaña enumera todos los recursos de configuración de emisión de certificados administrados por Administrador de certificados en el proyecto seleccionado.

3. Haz clic en la configuración de emisión de certificados que quieres ver.

En la consola de Google Cloud, se muestran los detalles de la configuración de emisión de certificados.

gcloud

gcloud certificate-manager issuance-configs describe ISSUANCE_CONFIG_NAME

Reemplaza lo siguiente:

• ISSUANCE_CONFIG_NAME es el nombre de la configuración de emisión de certificados de destino.

API

Realiza una solicitud GET al certificateIssuanceConfigs.get para ver el estado de la configuración de emisión de certificados de la siguiente manera:

  GET /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

Reemplaza lo siguiente:

• PROJECT_ID es el ID del proyecto de Google Cloud de destino.
• ISSUANCE_CONFIG__NAME es el nombre de la configuración de emisión de certificados de destino.

Borrar una configuración de emisión de certificados

Para borrar una configuración de emisión de certificados, completa los pasos de esta sección. Antes de borrar una configuración de emisión de certificados, primero debes borrar el certificado administrado por Google que hace referencia a este.

Para completar esta tarea, debes tener el rol Propietario del Administrador de certificados en la proyecto de Google Cloud de destino.

Para obtener más información, consulta Funciones y permisos.

Console

1. En la consola de Google Cloud, ve a la página Administrador de certificados.

   Ir al Administrador de certificados

2. En la pestaña Issuance Configs, selecciona la casilla de verificación de la configuración de emisión que quieres borrar.

3. Haz clic en Borrar.

4. En el cuadro de diálogo que aparece, haz clic en Borrar para confirmar.

gcloud

gcloud certificate-manager issuance-configs delete ISSUANCE_CONFIG_NAME

Reemplaza lo siguiente:

• ISSUANCE_CONFIG_NAME es el nombre de la configuración de emisión de certificados de destino.

API

Borra la configuración de emisión de certificados mediante una solicitud DELETE al certificateIssuanceConfigs.delete de la siguiente manera:

  DELETE /v1/projects/PROJECT_ID/locations/global/certificateIssuanceConfigs/ISSUANCE_CONFIG_NAME

Reemplaza lo siguiente:

• PROJECT_ID es el ID del proyecto de Google Cloud de destino.
• ISSUANCE_CONFIG_NAME es el nombre de la configuración de emisión de certificados de destino.

¿Qué sigue?

• Administra certificados
• Administrar mapas de certificados
• Administra las entradas del mapa de certificados
• Administra autorizaciones de DNS