Altere o emissor do certificado predefinido

O Google Distributed Cloud (GDC) air-gapped fornece uma API de infraestrutura de chave pública (PKI) para obter certificados Web. Esta página fornece instruções para alterar o emissor do certificado predefinido para outro emissor. Para mais informações sobre os modos de certificado PKI, consulte o artigo Configuração do certificado TLS Web.

Antes de começar

Para receber as autorizações necessárias para configurar o emissor de certificados predefinido da PKI, peça ao administrador da IAM da organização que lhe conceda a função de administrador da PKI da infraestrutura (infra-pki-admin) no espaço de nomes do sistema.

Altere o emissor do certificado predefinido

  1. A etiqueta do emissor predefinida tem o seguinte aspeto. Para cada espaço de nomes, um CertificateIssuer tem de conter a etiqueta:

    pki.security.gdc.goog/is-default-issuer: 'true'

  2. Veja o emissor predefinido atual no espaço de nomes pki-system:

    kubectl get certificateissuers -n pki-system -l pki.security.gdc.goog/is-default-issuer=true

    O resultado tem um aspeto semelhante ao seguinte:

    NAME                    READY   REASON       ISDEFAULT
default-tls-ca-issuer   True    CAaaSReady   true

  3. Edite o emissor predefinido existente e atualize a etiqueta do emissor predefinido do emissor:

    kubectl label --overwrite certificateissuers CURRENT_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer='false'

    Substitua CURRENT_DEFAULT_ISSUER pelo nome do emissor do certificado predefinido atual.

  4. Para definir o novo CertificateIssuer como emissor predefinido, atualize a etiqueta:

    kubectl label --overwrite certificateissuers NEW_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer=true

    Substitua NEW_DEFAULT_ISSUER pelo nome do novo emissor do certificado predefinido.

Acione manualmente a reemissão do certificado

Depois de mudar o emissor de certificados predefinido, o Distributed Cloud não volta a emitir automaticamente certificados assinados pelo emissor de certificados predefinido anterior, a menos que o certificado esteja prestes a expirar. Para reemitir imediatamente os certificados com o novo emissor predefinido, consulte o artigo Reemita manualmente certificados Web de infraestrutura de chaves públicas.