Questa pagina descrive come creare e gestire le configurazioni di attendibilità da utilizzare in Scenari di autenticazione TLS (mTLS).
Per maggiori informazioni, consulta le seguenti risorse:
Per scoprire di più su configurazioni di attendibilità, trust anchor e e certificati, consulta Configurazioni di attendibilità. in Come funziona Gestore certificati.
Per scoprire di più su mTLS, consulta Autenticazione TLS reciproca nella documentazione di Cloud Load Balancing.
Per utilizzare una configurazione di attendibilità per configurare mTLS sul proxy di destinazione, consulta uno dei pagine seguenti nella documentazione di Cloud Load Balancing:
Le istruzioni per gcloud
in questa pagina presuppongono che tu stia utilizzando
Cloud Shell o un altro ambiente con bash
installato.
Per ulteriori informazioni sui comandi gcloud
utilizzati in questa pagina, consulta le
Riferimento per l'interfaccia a riga di comando di Certificate Manager.
Crea una configurazione di attendibilità
Per completare questa attività, devi disporre di uno dei seguenti ruoli nella destinazione Progetto Google Cloud:
- Editor gestore certificati (
roles/certificatemanager.editor
) - Proprietario gestore certificati (
roles/certificatemanager.owner
)
Per ulteriori informazioni, consulta Ruoli e autorizzazioni.
Per creare una configurazione di attendibilità, completa i seguenti passaggi:
Crea un file YAML della configurazione dell'attendibilità che specifichi i parametri di configurazione dell'attendibilità. Il file ha il seguente formato:
trustStores: - trustAnchors: - pemCertificate: "CERTIFICATE_PEM_PAYLOAD" intermediateCas: - pemCertificate: "INTER_CERT_PEM_PAYLOAD" allowlistedCertificates: - pemCertificate: "ALLOWLISTED_CERT1" - pemCertificate: "ALLOWLISTED_CERT2"
Sostituisci quanto segue:
TRUST_CONFIG_ID
: un ID univoco che lo identifica la risorsa di configurazione dell'attendibilità.CERTIFICATE_PEM_PAYLOAD
: il payload PEM completo per il certificato da usare per questa risorsa di configurazione dell'attendibilità.INTER_CERT_PEM_PAYLOAD
: il PEM completo payload per il certificato intermedio da utilizzare per questa configurazione dell'attendibilità risorsa. Questo valore è facoltativo.ALLOWLISTED_CERT1
eALLOWLISTED_CERT2
: i certificati aggiunti a un lista consentita da utilizzare per questa risorsa di configurazione dell'attendibilità. Questo valore è facoltativo.Puoi specificare più trust anchor e certificati intermedi utilizzando utilizzando più istanze del campo
pemCertificate
, un certificato per istanza, nelle rispettive sezioni della risorsa di configurazione dell'attendibilità e la specifica del prodotto.Un certificato aggiunto a una lista consentita rappresenta qualsiasi certificato può essere incapsulato all'interno della configurazione dell'attendibilità in modo che venga sempre considerato valida. Per incapsulare più certificati in una lista consentita all'interno del configurazione di attendibilità, usa più istanze del campo
pemCertificate
, una o certificato per istanza. Non è necessario un negozio di attendibilità durante l'utilizzo di certificati aggiunti a una lista consentita. Un certificato che viene aggiunto in una lista consentita è sempre considerato valido purché il certificato sia analizzabile, viene stabilita la prova di possesso di una chiave privata e i vincoli nel campo SAN del certificato. Anche i certificati scaduti considerati validi quando vengono aggiunti a una lista consentita. Per ulteriori informazioni sul formato con codifica PEM, vedi RFC 7468.
Importa il file di configurazione dell'attendibilità in Gestore certificati:
gcloud
Usa il comando
gcloud certificate-manager trust-configs import
:gcloud certificate-manager trust-configs import TRUST_CONFIG_ID \ --project=PROJECT_ID \ --source=TRUST_CONFIG_FILE \ --location=LOCATION
Sostituisci quanto segue:
TRUST_CONFIG_ID
: un ID univoco che lo identifica la risorsa di configurazione dell'attendibilità.PROJECT_ID
: l'ID del progetto Google Cloud di destinazione.TRUST_CONFIG_FILE
: il percorso completo e il nome del file YAML di configurazione della attendibilità che hai creato nel passaggio 1.LOCATION
: la regione in cui la risorsa di configurazione dell'attendibilità viene archiviato. La località predefinita èglobal
.
API
Effettua una richiesta
POST
al metodotrustConfigs.create
:POST /v1/projects/PROJECT_ID/locations/LOCATION/trustConfigs?trust_config_id=TRUST_CONFIG_ID { "description": "DESCRIPTION", "trust_stores": { "trust_anchors": [{ "pem_certificate": "CERTIFICATE_PEM_PAYLOAD" }], "intermediate_cas": [{ "pem_certificate": "INTER_CERT_PEM_PAYLOAD" }], }, "allowlistedCertificates": [{ "pem_certificate": "ALLOWLISTED_CERT" }], }
Sostituisci quanto segue:
PROJECT_ID
: l'ID del progetto Google Cloud di destinazione.LOCATION
: l'attributo location specifica regione in cui è archiviata la risorsa di configurazione dell'attendibilità. La località predefinita èglobal
.TRUST_CONFIG_ID
: un ID univoco che lo identifica la risorsa di configurazione dell'attendibilità.DESCRIPTION
: una descrizione significativa per questa risorsa di configurazione dell'attendibilità. Questo valore è facoltativo.CERTIFICATE_PEM_PAYLOAD
: il payload PEM completo per il certificato da utilizzare per questa risorsa di configurazione dell'attendibilità.INTER_CERT_PEM_PAYLOAD
: il PEM completo payload per il certificato intermedio da utilizzare per questa configurazione dell'attendibilità risorsa. Questo valore è facoltativo.ALLOWLISTED_CERT
: il certificato che viene aggiunto a una lista consentita da utilizzare per questa risorsa di configurazione dell'attendibilità. Questo valore è facoltativo.
Aggiorna una configurazione di attendibilità
Per completare questa attività, devi disporre di uno dei seguenti ruoli nella destinazione Progetto Google Cloud:
- Editor gestore certificati (
roles/certificatemanager.editor
) - Proprietario gestore certificati (
roles/certificatemanager.owner
)
Per ulteriori informazioni, vedi Ruoli e autorizzazioni.
Per aggiornare una configurazione di attendibilità, completa i seguenti passaggi:
Crea un file YAML di configurazione dell'attendibilità aggiornato che specifichi i nuovi parametri di configurazione dell'attendibilità. Il file ha il seguente formato:
name: "TRUST_CONFIG_ID" trustStores: - trustAnchors: - pemCertificate: "CERTIFICATE_PEM_PAYLOAD" intermediateCas: - pemCertificate: "INTER_CERT_PEM_PAYLOAD" allowlistedCertificates: - pemCertificate: "ALLOWLISTED_CERT1" - pemCertificate: "ALLOWLISTED_CERT2"
Sostituisci quanto segue:
TRUST_CONFIG_ID
: un ID univoco che lo identifica la risorsa di configurazione dell'attendibilità.CERTIFICATE_PEM_PAYLOAD
: il payload PEM completo per il certificato da utilizzare per questa risorsa di configurazione dell'attendibilità.INTER_CERT_PEM_PAYLOAD
: il payload PEM completo per il certificato intermedio da utilizzare per questa risorsa di configurazione della attendibilità. Questo valore è facoltativo.ALLOWLISTED_CERT1
eALLOWLISTED_CERT2
: i certificati aggiunti a un lista consentita da utilizzare per questa risorsa di configurazione dell'attendibilità. Questo valore è facoltativo.
Importa il nuovo file di configurazione dell'attendibilità in Gestione certificati rispetto al nome della risorsa di configurazione dell'attendibilità esistente:
gcloud
Usa il comando
gcloud certificate-manager trust-configs import
:gcloud certificate-manager trust-configs import TRUST_CONFIG_ID \ --project=PROJECT_ID \ --source=TRUST_CONFIG_FILE \ --location=LOCATION
Sostituisci quanto segue:
TRUST_CONFIG_ID
: l'ID del trust di destinazione di configurazione della risorsa.PROJECT_ID
: l'ID del progetto Google Cloud di destinazione.TRUST_CONFIG_FILE
: il percorso completo e il nome del di configurazione dell'attendibilità aggiornato.LOCATION
: l'attributo location specifica regione in cui è archiviata la risorsa di configurazione dell'attendibilità. La località predefinita èglobal
.
API
Effettua una richiesta
PATCH
al metodotrustConfigs.update
:PATCH /v1/projects/PROJECT_ID/locations/LOCATION/trustConfigs/TRUST_CONFIG_ID?update_mask=* { "description": "DESCRIPTION", "trust_stores": { "trust_anchors": [{ "pem_certificate": "CERTIFICATE_PEM_PAYLOAD" }], "intermediate_cas": [{ "pem_certificate": "INTER_CERT_PEM_PAYLOAD" }], }, "allowlistedCertificates": [{ "pem_certificate": "ALLOWLISTED_CERT" }], }
Sostituisci quanto segue:
PROJECT_ID
: l'ID del progetto Google Cloud di destinazione.LOCATION
: l'attributo location specifica regione in cui è archiviata la risorsa di configurazione dell'attendibilità. La località predefinita èglobal
.TRUST_CONFIG_ID
: l'ID della risorsa di configurazione della attendibilità di destinazione.DESCRIPTION
: una descrizione significativa per la risorsa di configurazione dell'attendibilità. La descrizione è facoltativa.CERTIFICATE_PEM_PAYLOAD
: il payload PEM completo per il certificato da utilizzare per questa risorsa di configurazione dell'attendibilità.INTER_CERT_PEM_PAYLOAD
: il payload PEM completo per il certificato intermedio da utilizzare per questa risorsa di configurazione della attendibilità. Questo valore è facoltativo.ALLOWLISTED_CERT
: il certificato che viene aggiunto a una lista consentita da utilizzare per questa risorsa di configurazione dell'attendibilità. Questo valore è facoltativo.
Elenca configurazioni di attendibilità
Per completare questa attività, devi disporre di uno dei seguenti ruoli nella destinazione Progetto Google Cloud:
- Visualizzatore Gestore certificati (
roles/certificatemanager.viewer
) - Editor gestore certificati (
roles/certificatemanager.editor
) - Proprietario gestore certificati (
roles/certificatemanager.owner
)
Per ulteriori informazioni, consulta Ruoli e autorizzazioni.
Per elencare le configurazioni dell'attendibilità configurate, completa i seguenti passaggi.
Console
Nella console Google Cloud, vai alla pagina Gestione certificati.
Fai clic sulla scheda Configurazioni di attendibilità.
La scheda mostra un elenco delle risorse di configurazione dell'attendibilità configurate.
gcloud
Utilizza il comando gcloud certificate-manager trust-configs list
:
gcloud certificate-manager trust-configs list \ --filter="FILTER" \ --page-size="PAGE_SIZE" \ --limit="LIMIT" \ --sort-by="SORT_BY" \ --location=LOCATION
Sostituisci quanto segue:
FILTER
: un'espressione che limita i risultati restituiti a valori specifici.Ad esempio, puoi filtrare i risultati in base ai seguenti criteri:
- Etichette e data e ora di creazione:
--filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'
Per altri esempi di filtro che puoi utilizzare con Gestione certificati, consulta Ordinare e filtrare i risultati dell'elenco disponibile nella documentazione di Cloud Key Management Service.
- Etichette e data e ora di creazione:
PAGE_SIZE
: il numero di risultati da restituire per pagina.LIMIT
: il numero massimo di risultati da restituire.SORT_BY
: un elenco diname
campi delimitato da virgole in base al quale i risultati restituiti vengono ordinati.L'ordinamento predefinito è crescente. Per l'ordinamento decrescente, aggiungi una tilde (
~
) al campo scelto.LOCATION
: l'attributo location specifica regione in cui è archiviata la risorsa di configurazione dell'attendibilità. La località predefinita èglobal
.
API
Effettua una richiesta GET
al metodo trustConfigs.list
:
GET /v1/projects/PROJECT_ID/locations/LOCATION/trustConfigs?filter=FILTER&pageSize=PAGE_SIZE&sortBy=SORT_BY
Sostituisci quanto segue:
PROJECT_ID
: l'ID del progetto Google Cloud di destinazione.FILTER
: un'espressione che vincola la condizione restituita a valori specifici.PAGE_SIZE
: il numero di risultati da restituire per pagina.SORT_BY
: un elenco di nomi di campi delimitato da virgole in base al quale i risultati restituiti vengono ordinati.L'ordinamento predefinito è crescente. Per l'ordinamento decrescente, prefisso il campo selezionato con una tilde (
~
).LOCATION
: l'attributo location specifica regione in cui è archiviata la risorsa di configurazione dell'attendibilità. La località predefinita èglobal
.
Visualizza configurazioni di attendibilità
Per completare questa attività, devi disporre di uno dei seguenti ruoli nella destinazione Progetto Google Cloud:
- Visualizzatore Gestore certificati (
roles/certificatemanager.viewer
) - Editor gestore certificati (
roles/certificatemanager.editor
) - Proprietario gestore certificati (
roles/certificatemanager.owner
)
Per ulteriori informazioni, vedi Ruoli e autorizzazioni.
Per visualizzare una configurazione di attendibilità, completa i seguenti passaggi.
Console
Nella console Google Cloud, vai alla pagina Gestore certificati.
Fai clic sulla scheda Configurazioni di attendibilità. La scheda mostra un elenco di configurazione dell'attendibilità configurate.
Seleziona la risorsa della configurazione dell'attendibilità per visualizzarne i dettagli.
La pagina Dettagli configurazione di attendibilità mostra informazioni dettagliate sulla configurazione dell'attendibilità selezionata.
gcloud
Usa il comando gcloud certificate-manager trust-configs describe
:
gcloud certificate-manager trust-configs describe TRUST_CONFIG_ID \ --location=LOCATION
Sostituisci quanto segue:
TRUST_CONFIG_ID
: l'ID della configurazione dell'attendibilità di destinazione.LOCATION
: la regione in cui è memorizzata la risorsa di configurazione dell'attendibilità. La località predefinita èglobal
.
API
Effettua una richiesta GET
al metodo trustConfigs.get
:
GET /v1/projects/PROJECT_ID/locations/LOCATION/trustConfigs/TRUST_CONFIG_ID
Sostituisci quanto segue:
PROJECT_ID
: l'ID del progetto Google Cloud di destinazione.TRUST_CONFIG_ID
: l'ID della configurazione di attendibilità di destinazione.LOCATION
: l'attributo location specifica regione in cui è archiviata la risorsa di configurazione dell'attendibilità. La località predefinita èglobal
.
Elimina una configurazione dell'attendibilità
Per completare questa attività, devi disporre del ruolo Proprietario di Certificate Manager
(roles/certificatemanager.owner
) nel progetto Google Cloud di destinazione.
Per ulteriori informazioni, vedi Ruoli e autorizzazioni.
Per eliminare una configurazione di attendibilità, completa i seguenti passaggi.
gcloud
Usa il comando gcloud certificate-manager trust-configs delete
:
gcloud certificate-manager trust-configs delete TRUST_CONFIG_ID \ --location=LOCATION
Sostituisci quanto segue:
TRUST_CONFIG_ID
: l'ID del trust di destinazione .LOCATION
: il valore regione in cui è archiviata la risorsa di configurazione dell'attendibilità. La località predefinita èglobal
.
API
Effettua una richiesta DELETE
al metodo trustConfigs.delete
:
DELETE /v1/projects/PROJECT_ID/locations/LOCATION/trustConfigs/TRUST_CONFIG_ID
Sostituisci quanto segue:
PROJECT_ID
: l'ID del progetto Google Cloud di destinazione.LOCATION
: la regione in cui è memorizzata la risorsa di configurazione dell'attendibilità. La località predefinita èglobal
.TRUST_CONFIG_ID
: l'ID della configurazione dell'attendibilità di destinazione.
Passaggi successivi
- Gestire i certificati
- Gestire le mappe di certificati
- Gestire le voci della mappa di certificati
- Gestisci le autorizzazioni DNS
- Gestire le configurazioni di emissione dei certificati