Se usó la API de Cloud Translation para traducir esta página.

Administrar la configuración de confianza

En esta página, se describe cómo crear y administrar la configuración de confianza para su uso en situaciones de autenticación mutua de TLS (mTLS).

Para obtener más información, consulta los siguientes recursos:

Para obtener más información sobre las configuraciones de confianza, las anclas de confianza y los certificados intermedios, consulta Configuraciones de confianza en Cómo funciona el Administrador de certificados.
Para obtener más información sobre mTLS, consulta Autenticación mutua de TLS en la documentación de Cloud Load Balancing.
Si quieres usar una configuración de confianza para configurar mTLS en tu proxy de destino, consulta una de las siguientes páginas en la documentación de Cloud Load Balancing:
- Configura la TLS mutua con certificados firmados
- Configura la TLS mutua con una CA privada

En las instrucciones de gcloud de esta página, se supone que usas Cloud Shell o algún otro entorno con bash instalado. Para obtener más información sobre los comandos de gcloud que se usan en esta página, consulta la referencia de la CLI del Administrador de certificados.

Crea una configuración de confianza

Para completar esta tarea, debes tener uno de los siguientes roles en el proyecto de Google Cloud de destino:

Editor del Administrador de certificados (roles/certificatemanager.editor)
Propietario del Administrador de certificados (roles/certificatemanager.owner)

Para obtener más información, consulta Funciones y permisos.

Para crear una configuración de confianza, completa los siguientes pasos:

Crea un archivo YAML de configuración de confianza que especifique los parámetros de esta configuración. El archivo tiene el siguiente formato:
```
trustStores:
‑ trustAnchors:
 ‑ pemCertificate: "CERTIFICATE_PEM_PAYLOAD"
 intermediateCas:
 ‑ pemCertificate: "INTER_CERT_PEM_PAYLOAD"
allowlistedCertificates:
‑ pemCertificate: "ALLOWLISTED_CERT1"
‑ pemCertificate: "ALLOWLISTED_CERT2"
```
Reemplaza lo siguiente:
- TRUST_CONFIG_ID: Es un ID único que identifica este recurso de configuración de confianza.
- CERTIFICATE_PEM_PAYLOAD: Es la carga útil completa de PEM que el certificado usará para este recurso de configuración de confianza.
- INTER_CERT_PEM_PAYLOAD: Es la carga útil completa de PEM que el certificado intermedio usará para este recurso de configuración de confianza. Este valor es opcional.
- ALLOWLISTED_CERT1 y ALLOWLISTED_CERT2: Son los certificados que se agregan a una lista de entidades permitidas para usar en este recurso de configuración de confianza. Este valor es opcional.
  
  Puedes especificar varias anclas de confianza y certificados intermedios mediante el uso de varias instancias del campo pemCertificate, un certificado por instancia, en sus respectivas secciones de la especificación del recurso de configuración de confianza.
  
  Un certificado que se agrega a una lista de entidades permitidas representa cualquier certificado que se pueda encapsular dentro de la configuración de confianza para que siempre se considere válido. Para encapsular varios certificados en una lista de entidades permitidas dentro de la configuración de confianza, usa varias instancias del campo pemCertificate, un certificado por instancia. No necesitas un almacén de confianza mientras usas los certificados agregados a una lista de entidades permitidas. Un certificado que se agrega a una lista de entidades permitidas siempre se considera válido, siempre y cuando el certificado se pueda analizar, se establezca una prueba de posesión de la clave privada y se cumplan las restricciones del campo SAN del certificado. Los certificados vencidos también se consideran válidos cuando se agregan a una lista de entidades permitidas. Para obtener más información sobre el formato con codificación PEM, consulta RFC 7468.
Importa el archivo de configuración de confianza al Administrador de certificados:
gcloud
Usa el comando gcloud certificate-manager trust-configs import:
```
gcloud certificate-manager trust-configs import TRUST_CONFIG_ID \
   --project=PROJECT_ID \
   --source=TRUST_CONFIG_FILE \
   --location=LOCATION
```
Reemplaza lo siguiente:
- TRUST_CONFIG_ID: Es un ID único que identifica este recurso de configuración de confianza.
- PROJECT_ID: Es el ID del proyecto de Google Cloud de destino.
- TRUST_CONFIG_FILE: Es la ruta de acceso completa y el nombre del archivo YAML de configuración de confianza que creaste en el paso 1.
- LOCATION: Es la región en la que se almacena el recurso de configuración de confianza. La ubicación predeterminada es global.
API
Realiza una solicitud POST al método trustConfigs.create:
```
POST /v1/projects/PROJECT_ID/locations/LOCATION/trustConfigs?trust_config_id=TRUST_CONFIG_ID
{
  "description": "DESCRIPTION",
  "trust_stores": {
    "trust_anchors": [{
      "pem_certificate": "CERTIFICATE_PEM_PAYLOAD"
    }],
    "intermediate_cas": [{
      "pem_certificate": "INTER_CERT_PEM_PAYLOAD"
    }],
  },
  "allowlistedCertificates": [{
    "pem_certificate": "ALLOWLISTED_CERT"
  }],
}
```
Reemplaza lo siguiente:
- PROJECT_ID: Es el ID del proyecto de Google Cloud de destino.
- LOCATION: El atributo de ubicación especifica la región en la que se almacena el recurso de configuración de confianza. La ubicación predeterminada es global.
- TRUST_CONFIG_ID: Es un ID único que identifica este recurso de configuración de confianza.
- DESCRIPTION: Es una descripción significativa para este recurso de configuración de confianza. Este valor es opcional.
- CERTIFICATE_PEM_PAYLOAD: Es la carga útil completa de PEM que el certificado usará para este recurso de configuración de confianza.
- INTER_CERT_PEM_PAYLOAD: Es la carga útil completa de PEM que el certificado intermedio usará para este recurso de configuración de confianza. Este valor es opcional.
- ALLOWLISTED_CERT: Es el certificado que se agrega a una lista de entidades permitidas para usar en este recurso de configuración de confianza. Este valor es opcional.

Actualizar una configuración de confianza

Para completar esta tarea, debes tener uno de los siguientes roles en el proyecto de Google Cloud de destino:

Editor del Administrador de certificados (roles/certificatemanager.editor)
Propietario del Administrador de certificados (roles/certificatemanager.owner)

Para obtener más información, consulta Funciones y permisos.

Para actualizar una configuración de confianza, completa los siguientes pasos:

Crea un archivo YAML de configuración de confianza actualizado que especifique los nuevos parámetros de configuración de confianza. El archivo tiene el siguiente formato:
```
name: "TRUST_CONFIG_ID"
trustStores:
‑ trustAnchors:
 ‑ pemCertificate: "CERTIFICATE_PEM_PAYLOAD"
 intermediateCas:
 ‑ pemCertificate: "INTER_CERT_PEM_PAYLOAD"
allowlistedCertificates:
‑ pemCertificate: "ALLOWLISTED_CERT1"
‑ pemCertificate: "ALLOWLISTED_CERT2"
```
Reemplaza lo siguiente:
- TRUST_CONFIG_ID: Es un ID único que identifica este recurso de configuración de confianza.
- CERTIFICATE_PEM_PAYLOAD: Es la carga útil completa de PEM que el certificado usará para este recurso de configuración de confianza.
- INTER_CERT_PEM_PAYLOAD: Es la carga útil completa de PEM que el certificado intermedio usará para este recurso de configuración de confianza. Este valor es opcional.
- ALLOWLISTED_CERT1 y ALLOWLISTED_CERT2: Son los certificados que se agregan a una lista de entidades permitidas para usar en este recurso de configuración de confianza. Este valor es opcional.
Importa el nuevo archivo de configuración de confianza al Administrador de certificados con el nombre del recurso de configuración de confianza existente:
gcloud
Usa el comando gcloud certificate-manager trust-configs import:
```
gcloud certificate-manager trust-configs import TRUST_CONFIG_ID \
    --project=PROJECT_ID \
    --source=TRUST_CONFIG_FILE \
    --location=LOCATION
```
Reemplaza lo siguiente:
- TRUST_CONFIG_ID: Es el ID del recurso de configuración de confianza de destino.
- PROJECT_ID: Es el ID del proyecto de Google Cloud de destino.
- TRUST_CONFIG_FILE: Es la ruta de acceso completa y el nombre del archivo de configuración de confianza actualizado.
- LOCATION: El atributo de ubicación especifica la región en la que se almacena el recurso de configuración de confianza. La ubicación predeterminada es global.
API
Realiza una solicitud PATCH al método trustConfigs.update:
```
PATCH /v1/projects/PROJECT_ID/locations/LOCATION/trustConfigs/TRUST_CONFIG_ID?update_mask=*
 {
   "description": "DESCRIPTION",
   "trust_stores": {
     "trust_anchors": [{
       "pem_certificate": "CERTIFICATE_PEM_PAYLOAD"
     }],
     "intermediate_cas": [{
       "pem_certificate": "INTER_CERT_PEM_PAYLOAD"
     }],
   },
   "allowlistedCertificates": [{
     "pem_certificate": "ALLOWLISTED_CERT"
  }],
 }
```
Reemplaza lo siguiente:
- PROJECT_ID: Es el ID del proyecto de Google Cloud de destino.
- LOCATION: El atributo de ubicación especifica la región en la que se almacena el recurso de configuración de confianza. La ubicación predeterminada es global.
- TRUST_CONFIG_ID: Es el ID del recurso de configuración de confianza de destino.
- DESCRIPTION: Es una descripción significativa para este recurso de configuración de confianza. Esta descripción es opcional.
- CERTIFICATE_PEM_PAYLOAD: Es la carga útil completa de PEM que el certificado usará para este recurso de configuración de confianza.
- INTER_CERT_PEM_PAYLOAD: Es la carga útil completa de PEM que el certificado intermedio usará para este recurso de configuración de la configuración de confianza. Este valor es opcional.
- ALLOWLISTED_CERT: Es el certificado que se agrega a una lista de entidades permitidas para usar en este recurso de configuración de confianza. Este valor es opcional.

Enumera las configuraciones de confianza

Para completar esta tarea, debes tener uno de los siguientes roles en el proyecto de Google Cloud de destino:

Visualizador del Administrador de certificados (roles/certificatemanager.viewer)
Editor del Administrador de certificados (roles/certificatemanager.editor)
Propietario del Administrador de certificados (roles/certificatemanager.owner)

Para obtener más información, consulta Funciones y permisos.

Para mostrar una lista de las configuraciones de confianza configuradas, completa los siguientes pasos.

Console

En la consola de Google Cloud, ve a la página Administrador de certificados.

Ve al Administrador de certificados.
Haz clic en la pestaña Trust Configs.

En la pestaña, se muestra una lista de los recursos de configuración de confianza configurados.

gcloud

Usa el comando gcloud certificate-manager trust-configs list:

gcloud certificate-manager trust-configs list \
    --filter="FILTER" \
    --page-size="PAGE_SIZE" \
    --limit="LIMIT" \
    --sort-by="SORT_BY" \
    --location=LOCATION

Reemplaza lo siguiente:

FILTER: Es una expresión que restringe los resultados que se muestran a valores específicos.

Por ejemplo, puedes filtrar los resultados según los siguientes criterios:
- Etiquetas y hora de creación: --filter='labels.key:value AND create_time > "2021-09-01T00:00:00Z"'
Para obtener más ejemplos de filtrado que puedes usar con el Administrador de certificados, consulta Ordena y filtra resultados de listas en la documentación de Cloud Key Management Service.
PAGE_SIZE: Es la cantidad de resultados que se mostrarán por página.
LIMIT: Es la cantidad máxima de resultados que se mostrarán.
SORT_BY: Una lista delimitada por comas de campos name según la cual se ordenan los resultados que se muestran.

El orden predeterminado es ascendente. Para el orden descendente, se usa una virgulilla (~) como prefijo del campo elegido.
LOCATION: El atributo de ubicación especifica la región en la que se almacena el recurso de configuración de confianza. La ubicación predeterminada es global.

API

Realiza una solicitud GET al método trustConfigs.list:

GET /v1/projects/PROJECT_ID/locations/LOCATION/trustConfigs?filter=FILTER&pageSize=PAGE_SIZE&sortBy=SORT_BY

Reemplaza lo siguiente:

PROJECT_ID: Es el ID del proyecto de Google Cloud de destino.
FILTER: Es una expresión que restringe los resultados que se muestran a valores específicos.
PAGE_SIZE: Es la cantidad de resultados que se mostrarán por página.
SORT_BY: Una lista delimitada por comas de nombres de campos según la cual se ordenan los resultados que se muestran.

El orden predeterminado es ascendente. Para el orden descendente, prefija el campo seleccionado con una virgulilla (~).
LOCATION: El atributo de ubicación especifica la región en la que se almacena el recurso de configuración de confianza. La ubicación predeterminada es global.

Ver la configuración de confianza

Para completar esta tarea, debes tener uno de los siguientes roles en el proyecto de Google Cloud de destino:

Visualizador del Administrador de certificados (roles/certificatemanager.viewer)
Editor del Administrador de certificados (roles/certificatemanager.editor)
Propietario del Administrador de certificados (roles/certificatemanager.owner)

Para obtener más información, consulta Funciones y permisos.

Para ver una configuración de confianza, completa los siguientes pasos.

Console

En la consola de Google Cloud, ve a la página Administrador de certificados.

Ve al Administrador de certificados.
Haz clic en la pestaña Trust Configs. En la pestaña, se muestra una lista de los recursos de configuración de confianza configurados.
Selecciona el recurso de configuración de confianza para ver sus detalles.

En la página Detalles de la configuración de confianza, se muestra información detallada sobre la configuración de confianza seleccionada.

gcloud

Usa el comando gcloud certificate-manager trust-configs describe:

gcloud certificate-manager trust-configs describe TRUST_CONFIG_ID \
    --location=LOCATION

Reemplaza lo siguiente:

TRUST_CONFIG_ID: Es el ID de la configuración de confianza de destino.
LOCATION: Es la región en la que se almacena el recurso de configuración de confianza. La ubicación predeterminada es global.

API

Realiza una solicitud GET al método trustConfigs.get:

GET /v1/projects/PROJECT_ID/locations/LOCATION/trustConfigs/TRUST_CONFIG_ID

Reemplaza lo siguiente:

PROJECT_ID: Es el ID del proyecto de Google Cloud de destino.
TRUST_CONFIG_ID: Es el ID de la configuración de confianza de destino.
LOCATION: El atributo de ubicación especifica la región en la que se almacena el recurso de configuración de confianza. La ubicación predeterminada es global.

Borra una configuración de confianza

Para completar esta tarea, debes tener la función de propietario del administrador de certificados (roles/certificatemanager.owner) en el proyecto de Google Cloud de destino.

Para obtener más información, consulta Funciones y permisos.

Para borrar una configuración de confianza, completa los siguientes pasos.

gcloud

Usa el comando gcloud certificate-manager trust-configs delete:

gcloud certificate-manager trust-configs delete TRUST_CONFIG_ID \
    --location=LOCATION

Reemplaza lo siguiente:

TRUST_CONFIG_ID: Es el ID de la configuración de confianza de destino.
LOCATION: Es la región en la que se almacena el recurso de configuración de confianza. La ubicación predeterminada es global.

API

Realiza una solicitud DELETE al método trustConfigs.delete:

DELETE /v1/projects/PROJECT_ID/locations/LOCATION/trustConfigs/TRUST_CONFIG_ID

Reemplaza lo siguiente:

PROJECT_ID: Es el ID del proyecto de Google Cloud de destino.
LOCATION: Es la región en la que se almacena el recurso de configuración de confianza. La ubicación predeterminada es global.
TRUST_CONFIG_ID: Es el ID de la configuración de confianza de destino.

Administrar la configuración de confianza

Crea una configuración de confianza

gcloud

API

Actualizar una configuración de confianza

gcloud

API

Enumera las configuraciones de confianza

Console

gcloud

API

Ver la configuración de confianza

Console

gcloud

API

Borra una configuración de confianza

gcloud

API

¿Qué sigue?