Root-Zertifizierungsstelle erstellen
Auf dieser Seite wird beschrieben, wie Sie eine Root-Zertifizierungsstelle in einem CA-Pool erstellen.
Eine Stamm-CA befindet sich an oberster Stelle der PKI-Hierarchie (Public Key Infrastructure) und ist ist für das Erstellen des Vertrauensankers der PKI verantwortlich. Um ordnungsgemäß teilzunehmen und Zertifikate in einer PKI verwenden, ein Gerät, eine Software oder eine Komponente muss der PKI vertrauen. Dazu muss das Gerät, die Software oder die Komponente so konfiguriert werden, dass sie der Stammzertifizierungsstelle vertraut. Daher sind alle von der Stammzertifizierungsstelle ausgestellten Zertifikate vertrauenswürdig.
Hinweise
- Prüfen Sie, ob CA Service Operation Manager installiert ist
(
roles/privateca.caManager
) oder den CA Service-Administrator (roles/privateca.admin
) IAM-Rolle. Weitere Informationen finden Sie unter Konfigurieren Sie IAM-Richtlinien. - Erstellen Sie einen CA-Pool.
- Legen Sie die CA-Einstellungen fest.
Stamm-CA erstellen
Eine Stammzertifizierungsstelle hat ein selbst signiertes Zertifikat, das Sie an die Vertrauensstellung verteilen müssen der Geschäfte Ihrer Kundschaft. Das Zertifikat der Stammzertifizierungsstelle befindet sich oben auf der Zertifikatskette Keine andere Zertifizierungsstelle kann das CA-Zertifikat widerrufen. Die Zertifikatssperrliste des gilt nur für die anderen Zertifikate, die sie ausgestellt hat, nicht für selbst.
Console
So erstellen Sie eine Root-Zertifizierungsstelle:
Rufen Sie die Seite Certificate Authority Service (Zertifizierungsstelle) in in der Google Cloud Console.
Klicken Sie auf den Tab CA-Manager.
.Klicken Sie auf CA erstellen.
CA-Typ auswählen
Zum Konfigurieren der permanenten Einstellungen der Zertifizierungsstelle, z. B. Stufe, Standort, die Lebensdauer und den Betriebsstatus bei der Erstellung:
- Wählen Sie Root-Zertifizierungsstelle aus.
- Geben Sie im Feld Gültig für die Dauer ein, für die das Ereignis Zertifikate, die vom CA-Zertifikat ausgestellt wurden, sind gültig.
- Optional: Wählen Sie eine Stufe für die Zertifizierungsstelle aus.
- Klicken Sie auf Region und wählen Sie in der Liste die Region aus, in der Sie den erstellen Sie die Zertifizierungsstelle. Wir empfehlen, die Zertifizierungsstelle in der Nähe von für die Clients Ihrer Anwendung. Weitere Informationen finden Sie unter Das Beste auswählen Standort.
Optional: Wählen Sie den Betriebsstatus der zu erstellenden Zertifizierungsstelle aus.
Optional: Klicken Sie auf Zertifikatsprofil. Wählen Sie aus der Liste die das dem Zertifikatstyp entspricht, den Sie Ausstellende Zertifizierungsstelle.
Klicken Sie auf Weiter.
- </ph>
- Geben Sie im Feld Organisation (O) den Namen Ihres Unternehmens ein.
- Optional: Geben Sie im Feld Organisationseinheit (OE) das Unternehmen ein. oder Geschäftseinheit.
- Optional: Geben Sie im Feld Ländername einen aus zwei Buchstaben bestehenden Ländercode ein.
- Optional: Geben Sie im Feld Name des Bundesstaats oder der Provinz den Namen des Bundesstaats oder der Provinz ein. Ihres Bundesstaats.
- Optional: Geben Sie in das Feld Name des Ortsteils den Namen Ihrer Stadt ein.
- Geben Sie im Feld CA Common Name (CN) den Namen der Zertifizierungsstelle ein.
- Geben Sie im Feld Pool-ID den Namen des Zertifizierungsstellenpools ein. Sie können die Zertifizierungsstellenpool nach dem Erstellen der Zertifizierungsstelle.
- Klicken Sie auf Weiter.
- </ph>
- Wählen Sie den Schlüsselalgorithmus aus, der Ihren Anforderungen am besten entspricht. Weitere Informationen zur Auswahl des geeigneten Schlüsselalgorithmus finden Sie unter Schlüsselalgorithmus auswählen.
- Klicken Sie auf Weiter.
Die folgenden Schritte sind optional. Wenn Sie diese Schritte überspringen, gelten die Einstellungen.
- Wählen Sie aus, ob Sie eine von Google oder eine selbstverwaltete Cloud Storage-Bucket.
- Wählen Sie aus, ob Sie die Veröffentlichung des Zertifikats deaktivieren möchten Sperrlisten (CRLs) und CA-Zertifikate für den Cloud Storage Bucket.
- Klicken Sie auf Weiter.
Wenn Sie keinen selbstverwalteten Cloud Storage-Bucket auswählen, CA Service erstellt einen von Google verwalteten Bucket im selben als Zertifizierungsstelle festlegen.
Veröffentlichung von Zertifikatssperrlisten und CA-Zertifikaten in einem Cloud Storage-Bucket ist standardmäßig aktiviert. Klicken Sie auf die Ein-/Aus-Schaltflächen, um diese Einstellungen zu deaktivieren.
Die folgenden Schritte sind optional.
So fügen Sie der Zertifizierungsstelle Labels hinzu:
- Klicken Sie auf Element hinzufügen.
- Geben Sie im Feld Schlüssel 1 den Labelschlüssel ein.
- Geben Sie im Feld Wert 1 den Labelwert ein.
- Wenn Sie ein weiteres Label hinzufügen möchten, klicken Sie auf Element hinzufügen. Fügen Sie dann Schlüssel und Wert ein, wie in den Schritten 2 und 3 erwähnt.
- Klicken Sie auf Weiter.
Prüfen Sie alle Einstellungen sorgfältig und klicken Sie dann auf Erstellen, um die Zertifizierungsstelle zu erstellen.
gcloud
Führen Sie den folgenden Befehl aus, um einen Zertifizierungsstellenpool zu erstellen:
gcloud privateca pools create POOL_ID
Ersetzen Sie POOL_ID durch den Namen des Zertifizierungsstellenpools.
Weitere Informationen finden Sie unter Zertifizierungsstelle erstellen Pool hinzu.
Weitere Informationen zu diesem
gcloud
-Befehl finden Sie unter gcloud privatecapools create verwenden.Erstellen Sie in dem von Ihnen erstellten CA-Pool eine neue Stamm-CA.
gcloud privateca roots create ROOT_CA_ID --pool=POOL_ID \ --key-algorithm=KEY_ALGORITHM \ --subject="CN=my-ca, O=Test LLC"
Ersetzen Sie Folgendes:
- ROOT_CA_ID: Der Name der Zertifizierungsstelle.
- POOL_ID: Der Name des Zertifizierungsstellenpools.
- KEY_ALGORITHM: Der Algorithmus, der zum Erstellen eines Elements verwendet werden soll.
Cloud KMS-Schlüssel. Dieses Flag ist optional. Wenn Sie keine
dieses Flags angeben, wird der Schlüsselalgorithmus standardmäßig auf
rsa-pkcs1-4096-sha256
gesetzt. Für Weitere Informationen finden Sie unter Flag „--key-algorithm“.
Standardmäßig wird die Zertifizierungsstelle mit dem Status
STAGED
erstellt. So aktivieren Sie eine Zertifizierungsstelle durch Fügen Sie standardmäßig das Flag--auto-enable
ein.Wenn Sie einen vom Kunden verwalteten Cloud Storage-Bucket für CA-Zertifikate und Zertifikatssperrlisten werden veröffentlicht,
--bucket bucket-name
hinzufügen zum Befehl hinzu. Ersetzen Sie bucket-name durch den Name des Cloud Storage-Bucket.Führen Sie den folgenden Befehl aus, um die vollständige Liste der Einstellungen aufzurufen:
gcloud privateca roots create --help
Terraform
Verwenden Sie das folgende Beispiel, um eine Root-Zertifizierungsstelle mit einem Schlüssel zu erstellen, der Google gehört und von Google verwaltet wird. Konfiguration:
Verwenden Sie das folgende Beispiel, um eine Root-Zertifizierungsstelle mit einem selbstverwalteten Schlüssel zu erstellen Konfiguration:
Go
Richten Sie Standardanmeldedaten für Anwendungen ein, um sich bei CA Service zu authentifizieren. Weitere Informationen finden Sie unter Authentifizierung für eine lokale Entwicklungsumgebung einrichten.
Java
Richten Sie Standardanmeldedaten für Anwendungen ein, um sich bei CA Service zu authentifizieren. Weitere Informationen finden Sie unter Authentifizierung für eine lokale Entwicklungsumgebung einrichten.
Python
Richten Sie Standardanmeldedaten für Anwendungen ein, um sich bei CA Service zu authentifizieren. Weitere Informationen finden Sie unter Authentifizierung für eine lokale Entwicklungsumgebung einrichten.
REST API
Erstellen Sie eine Stamm-CA.
HTTP-Methode und URL:
POST https://privateca.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/caPools/POOL_ID/certificateAuthorities?certificate_authority_id=ROOT_CA_ID
JSON-Text anfordern:
{ "type": "SELF_SIGNED", "lifetime": { "seconds": 315576000, "nanos": 0 }, "config": { "subject_config": { "subject": { "organization": "ORGANIZATION_NAME", "common_name": "COMMON_NAME" } }, "x509_config":{ "ca_options":{ "is_ca":true }, "key_usage":{ "base_key_usage":{ "cert_sign":true, "crl_sign":true } } } }, "key_spec":{ "algorithm":"RSA_PKCS1_4096_SHA256" } }
Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:
Sie sollten in etwa folgende JSON-Antwort erhalten:
{ "name": "projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID", "metadata": {...}, "done": false }
Fragen Sie den Vorgang ab, bis er abgeschlossen ist.
HTTP-Methode und URL:
GET https://privateca.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID
Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:
Sie sollten in etwa folgende JSON-Antwort erhalten:
{ "name": "projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID", "metadata": {...}, "done": true, "response": { "@type": "type.googleapis.com/google.cloud.security.privateca.v1.CertificateAuthority", "name": "...", } }
Nachdem Sie bestätigt haben, dass die Zertifizierungsstelle wie erwartet funktioniert, können Sie sie für folgende Aktionen aktivieren: mit dem Ausstellen von Zertifikaten mit Load-Balancing für den Zertifizierungsstellenpool beginnen.
Root-Zertifizierungsstelle aktivieren
gcloud
Führen Sie den folgenden gcloud
-Befehl aus, um eine Root-Zertifizierungsstelle zu aktivieren:
gcloud privateca roots enable ROOT_CA_ID --pool=POOL_ID
Ersetzen Sie Folgendes:
- ROOT_CA_ID: Der Name der Zertifizierungsstelle.
- POOL_ID: Der Name des Zertifizierungsstellenpools.
Terraform
Wenn Sie eine Stamm-CA mit Terraform erstellen, wird sie beim Erstellen aktiviert. Zum Erstellen einer Root-Zertifizierungsstelle mit dem Status STAGED
legen Sie Folgendes fest:
das Feld desired_state
beim Erstellen der Zertifizierungsstelle auf STAGED
.
Sie können das Feld desired_state
nach der CA-Erstellung auf ENABLED
oder DISABLED
setzen.
Go
Richten Sie Standardanmeldedaten für Anwendungen ein, um sich bei CA Service zu authentifizieren. Weitere Informationen finden Sie unter Authentifizierung für eine lokale Entwicklungsumgebung einrichten.
Java
Richten Sie Standardanmeldedaten für Anwendungen ein, um sich bei CA Service zu authentifizieren. Weitere Informationen finden Sie unter Authentifizierung für eine lokale Entwicklungsumgebung einrichten.
Python
Richten Sie Standardanmeldedaten für Anwendungen ein, um sich bei CA Service zu authentifizieren. Weitere Informationen finden Sie unter Authentifizierung für eine lokale Entwicklungsumgebung einrichten.
REST API
Aktivieren Sie die Zertifizierungsstelle, um Zertifikate aus dem CA-Pool auszustellen.
HTTP-Methode und URL:
POST https://privateca.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/caPools/POOL_ID/certificateAuthorities/ROOT_CA_ID:enable
Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:
Sie sollten in etwa folgende JSON-Antwort erhalten:
{ "name": "projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID", "metadata": {...}, "done": false }
Fragen Sie den Vorgang ab, bis er abgeschlossen ist.
HTTP-Methode und URL:
GET https://privateca.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID
Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:
Sie sollten in etwa folgende JSON-Antwort erhalten:
{ "name": "projects/PROJECT_ID/locations/LOCATION/operations/operation-UUID", "metadata": {...}, "done": true, "response": { "@type": "type.googleapis.com/google.cloud.security.privateca.v1.CertificateAuthority", "name": "...", } }
Zertifizierungsstelle testen
Wenn Sie prüfen möchten, ob eine Zertifizierungsstelle Zertifikate ausstellen kann, fordern Sie ein Zertifikat bei
den zugehörigen CA-Pool und geben Sie explizit den Namen der Zertifizierungsstelle an, die Sie verwenden möchten
mit dem Flag --ca
testen.
Mit den folgenden Methoden können Sie ein Zertifikat aus einem Zertifizierungsstellenpool anfordern:
- Lassen Sie CA Service einen privaten oder öffentlichen Schlüssel für Sie erstellen.
- Generieren Sie Ihren eigenen privaten oder öffentlichen Schlüssel und senden Sie eine Anfrage zur Zertifikatssignierung (Certificate Signing Request, CSR).
Es ist einfacher, mit einem automatisch generierten privaten Schlüssel oder öffentlichen Schlüssel eine Zertifikat von einer Zertifizierungsstelle in einem CA-Pool. Dieser Abschnitt enthält Informationen eine Zertifizierungsstelle mit dieser Methode testen.
So fordern Sie ein Zertifikat mit einem automatisch generierten privaten oder öffentlichen Schlüssel an:
Führen Sie von einer Zertifizierungsstelle in einem Zertifizierungsstellenpool den folgenden gcloud
-Befehl aus:
gcloud privateca certificates create \
--issuer-pool=POOL_ID \
--ca=ROOT_CA_ID \
--generate-key \
--key-output-file=KEY_FILENAME \
--cert-output-file=CERT_FILENAME \
--dns-san=DNS_NAME
Ersetzen Sie Folgendes:
- POOL_ID: Der Name des Zertifizierungsstellenpools.
- ROOT_CA_ID: Die eindeutige Kennung der Zertifizierungsstelle, die Sie testen möchten.
- KEY_FILENAME: Die Datei, in der der generierte Schlüssel im PEM-Format geschrieben wird.
- CERT_FILENAME: Die Datei, in die die resultierende PEM-codierte Zertifikatkettendatei geschrieben wird. Die Zertifikatskette ist vom Blatt zum Stamm angeordnet.
DNS_NAME: Ein oder mehrere durch Kommas getrennte DNS Subject Alternative Names (SANs).
Das Flag
--generate-key
generiert einen neuen privaten RSA-2048-Schlüssel auf Ihrem Computer.
So fordern Sie mit einer Anfrage zur Zertifikatssignierung (Certificate Signing Request, CSR) ein Zertifikat von einer Zertifizierungsstelle in einem CA-Pool oder weitere Informationen zum Anfordern von Zertifikaten finden Sie unter Zertifikat anfordern und ausgestellte Zertifikate ansehen
Zertifizierungsstellen klonen
Sie können eine vorhandene Zertifizierungsstelle klonen, um diese Zertifizierungsstelle zu verlängern, oder eine neue Zertifizierungsstelle mit derselben Zertifizierungsstelle erstellen. Konfiguration enthält, führen Sie den folgenden Befehl aus:
gcloud privateca roots create NEW_CA_ID --pool=POOL_ID \
--from-ca=EXISTING_CA_ID \
--key-algorithm "ec-p384-sha384"
Ersetzen Sie Folgendes:
- NEW_CA_ID: Die eindeutige Kennung der neuen Zertifizierungsstelle.
- POOL_ID: Der Name des Zertifizierungsstellenpools, in dem Sie den Zugriff wünschen. um die neue Zertifizierungsstelle zu erstellen.
Das Flag --from-ca
wird für das Erstellen von Root-Zertifizierungsstellen und untergeordneten Zertifizierungsstellen unterstützt. Die
Die vorhandene Zertifizierungsstelle muss sich im selben Zertifizierungsstellenpool befinden wie die neue Zertifizierungsstelle.
Das Flag --key-algorithm
kopiert die gesamte CA-Konfiguration von der vorhandenen Zertifizierungsstelle
(außer die Cloud KMS-Schlüsselversion und den Cloud Storage-Bucket). Sie können jedoch
Sie können trotzdem alle Konfigurationswerte in der neuen Zertifizierungsstelle überschreiben,
explizit das entsprechende Flag an. Sie können zum Beispiel immer noch
Geben Sie `--subject SUBJECT an, um einen neuen Betreff zu verwenden.
Wenn Sie das Flag --key-algorithm
weglassen, wird der Algorithmus standardmäßig so verwendet:
rsa-pkcs1-4096-sha256
für Root-Zertifizierungsstellen.rsa-pkcs1-2048-sha256
für untergeordnete Zertifizierungsstellen.
Weitere Informationen zu diesem gcloud
-Befehl finden Sie unter
gcloud privatecaroots create verwenden.
Nächste Schritte
- Weitere Informationen zum Erstellen einer untergeordneten Zertifizierungsstelle
- Informationen zum Anfordern von Zertifikaten
- Vorlagen und Ausstellungsrichtlinien