Crea una AC subordinada a partir de una AC externa

Console

1. Visita el menú Seguridad > Servicio de la AC en la consola de Google Cloud.

   Ir a Certificate Authority Service

2. Haz clic en la pestaña Administrador de AC.

3. Haz clic en Crear AC.

Selecciona un tipo de AC:

1. Haz clic en CA subordinada.
2. En el campo Válido para, ingresa el período durante el cual deseas que sean válidos los certificados emitidos por la AC.
3. Haz clic en La AC raíz es externa.
4. Elige una de las opciones disponibles para el nivel de la AC. Para obtener más información, consulta Cómo seleccionar los niveles de operación.
5. En Regionalización, selecciona una ubicación de AC de la lista.
6. Haz clic en Siguiente.

1. En el campo Organización (O), ingresa el nombre de tu empresa.
2. Opcional: En el campo Unidad organizativa (UO), ingresa la subdivisión de la empresa o la unidad de negocios.
3. Opcional: En el campo Nombre del país, ingresa un código de país de dos letras.
4. Opcional: En el campo Nombre del estado o provincia, ingresa el nombre de tu estado.
5. Opcional: En el campo Nombre de la localidad, ingresa el nombre de tu ciudad.
6. En el campo Nombre común de AC (CN), ingresa el nombre de la AC.
7. En el campo ID de grupo, ingresa el nombre del grupo de AC. No puedes cambiar el pool de AC después de crearla.
8. Haz clic en Siguiente.

1. Elige el algoritmo de claves que mejor se adapte a tus necesidades. Para obtener información sobre cómo decidir el algoritmo de clave adecuado, consulta Elige un algoritmo de clave.
2. Haz clic en Siguiente.

Los siguientes pasos son opcionales. Si omites estos pasos, se aplicará la configuración predeterminada.

1. Elige si deseas usar un bucket de Cloud Storage administrado por Google o autoadministrado.

Si no seleccionas un bucket de Cloud Storage administrado por ti, el servicio de AC crea un bucket administrado por Google en la misma ubicación que la AC.

2. Elige si quieres inhabilitar la publicación de las listas de revocación de certificados (CRL) y los certificados de AC en el bucket de Cloud Storage.

La publicación de la CRL y el certificado de la AC en un bucket de Cloud Storage está habilitada de forma predeterminada. Para inhabilitar estos parámetros de configuración, haz clic en los botones de activación.

3. Haz clic en Siguiente.

Los siguientes pasos son opcionales.

Si deseas agregar etiquetas a la AC, haz lo siguiente:

1. Haz clic en addAgregar elemento.
2. En el campo Clave 1, ingresa la clave de etiqueta.
3. En el campo Valor 1, ingresa el valor de la etiqueta.
4. Si deseas agregar otra etiqueta, haz clic en addAgregar elemento. Luego, agrega la clave y el valor de la etiqueta como se mencionó en los pasos 2 y 3.
5. Haz clic en Siguiente.

Revisa cuidadosamente todos los parámetros de configuración y, luego, haz clic en Crear para crear la AC.

Descarga la CSR

1. En la página Autoridad certificadora, selecciona la AC que deseas activar.
2. Haz clic en power_settings_newActivar.

3. En el cuadro de diálogo que se abre, haz clic en file_downloadDownload CSR.

   

gcloud

1. Para crear un grupo de AC para la AC subordinada, ejecuta el siguiente comando. Para obtener más información, consulta Crea un grupo de AC.

   gcloud privateca pools create SUBORDINATE_POOL_ID
   

   Reemplaza SUBORDINATE_POOL_ID por el nombre del grupo de AC.

2. Para crear una AC subordinada en el grupo de AC creado, ejecuta el siguiente comando gcloud. El comando gcloud también crea una CSR y la guarda en el archivo FILE_NAME.

   gcloud privateca subordinates create SUBORDINATE_CA_ID \
     --pool=SUBORDINATE_POOL_ID \
     --create-csr --csr-output-file=FILE_NAME \
     --key-algorithm="ec-p256-sha256" \
     --subject="CN=Example Server TLS CA, O=Example LLC"
   

   Reemplaza lo siguiente:

   • SUBORDINATE_CA_ID: Es el identificador único de la AC subordinada.
   • SUBORDINATE_POOL_ID: Es el nombre del grupo de AC.
   • FILE_NAME: Es el nombre del archivo en el que se escribe la CSR codificada en PEM.

   La marca --key-algorithm toma el algoritmo criptográfico que deseas usar para crear una clave administrada de Cloud HSM para la AC.

   La marca --subject toma el nombre X.501 del sujeto del certificado.

   Para obtener más información sobre el comando gcloud privateca subordinates create, consulta gcloud privateca subordinates create.

Cuando se crea la CSR, se muestra la siguiente sentencia:

Created Certificate Authority [projects/my-project-pki/locations/us-west1/caPools/SUBORDINATE_POOL_ID/certificateAuthorities/SUBORDINATE_CA_ID] and saved CSR to FILE_NAME.

Para ver la lista exhaustiva de parámetros de configuración disponibles, ejecuta el siguiente comando:

gcloud privateca subordinates create --help

Si pierdes el CSR, puedes volver a descargarlo con el siguiente comando:

gcloud privateca subordinates get-csr SUBORDINATE_CA_ID \
  --pool=SUBORDINATE_POOL_ID

Terraform

1. Para crear un grupo de AC y una AC subordinada en ese grupo, usa el siguiente archivo de configuración:

   resource "google_privateca_ca_pool" "default" {
     name     = "test-ca-pool"
     location = "us-central1"
     tier     = "ENTERPRISE"
   }
   
   resource "google_privateca_certificate_authority" "sub-ca" {
     pool = google_privateca_ca_pool.default.name
     certificate_authority_id = "my-certificate-authority-sub"
     location = "us-central1"
     config {
       subject_config {
         subject {
           organization = "HashiCorp"
           common_name = "my-subordinate-authority"
         }
         subject_alt_name {
           dns_names = ["hashicorp.com"]
         }
       }
       x509_config {
         ca_options {
           is_ca = true
           # Force the sub CA to only issue leaf certs
           max_issuer_path_length = 0
         }
         key_usage {
           base_key_usage {
             cert_sign = true
             crl_sign = true
           }
           extended_key_usage {
           }
         }
       }
     }
     lifetime = "86400s"
     key_spec {
       algorithm = "RSA_PKCS1_4096_SHA256"
     }
     type = "SUBORDINATE"
   }
   

2. Para recuperar la CSR, agrega la siguiente configuración.

   data "google_privateca_certificate_authority" "sub-ca-csr" {
     location = "us-central1"
     pool = google_privateca_ca_pool.default.name
     certificate_authority_id = google_privateca_certificate_authority.sub-ca.certificate_authority_id
   }
   
   output "csr" {
     value = data.google_privateca_certificate_authority.sub-ca-csr.pem_csr
   }
   

3. Ejecuta terraform apply.

Shell

Configura la configuración de la nueva AC raíz.

cat > root.conf <<- EOM
[ req ]
distinguished_name = req_distinguished_name
x509_extensions    = v3_ca
prompt             = no
[ req_distinguished_name ]
commonName = Sample Root
[ v3_ca ]
subjectKeyIdentifier=hash
basicConstraints=critical, CA:true
EOM

Crea la nueva AC raíz.

openssl req -x509 -new -nodes -config root.conf -keyout rootCA.key \
  -days 3000 -out rootCA.crt -batch

Configura las extensiones que se deben agregar al nuevo certificado de AC subordinada.

cat > extensions.conf <<- EOM
basicConstraints=critical,CA:TRUE,pathlen:0
keyUsage=critical,keyCertSign,cRLSign
extendedKeyUsage=critical,serverAuth
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid
EOM

Firma la CSR de la AC subordinada con esta raíz.

openssl x509 -req -in FILE_NAME -CA rootCA.crt -CAkey rootCA.key \
  -CAcreateserial -out subordinate.crt -days 1095 -sha256 -extfile extensions.conf

Concatena toda la cadena de certificados en un solo archivo.

cat subordinate.crt > chain.crt
cat rootCA.crt >> chain.crt

Console

1. Ve a la página Certificate Authority Service en la consola de Google Cloud.

   Ir a Certificate Authority Service

2. Haz clic en la pestaña Administrador de AC.

3. En Autoridades certificadoras, elige la AC subordinada que creaste.

4. Haz clic en power_settings_newActivar.

5. En el diálogo que se abre, haz clic en Download CSR para descargar el archivo de CSR con codificación PEM que la AC emisora puede firmar.

6. Haz clic en Siguiente.

7. En el campo Subir cadena de certificados, haz clic en Explorar.

8. Sube el archivo de certificado firmado con la extensión .crt.

9. Haz clic en Activar.

gcloud

gcloud privateca subordinates activate SUBORDINATE_CA_ID \
  --pool=SUBORDINATE_POOL_ID \
  --pem-chain ./chain.crt

Reemplaza lo siguiente:

• SUBORDINATE_CA_ID: Es el identificador único de la AC subordinada que deseas activar.
• SUBORDINATE_POOL_ID: Es el nombre del grupo de AC que contiene la AC subordinada.

La marca --pem-chain es obligatoria. Esta marca toma el archivo que contiene la lista de certificados con codificación PEM. La lista de certificados comienza con el certificado de la AC actual y termina con el certificado de la AC raíz.

Para obtener más información sobre el comando gcloud privateca subordinates activate, consulta gcloud privateca subordinates activate.

Cuando se sube el certificado firmado, se muestra la siguiente sentencia:

Activated certificate authority [SUBORDINATE_CA_ID].

Terraform

1. Guarda el certificado de AC firmado de forma local como subordinate.crt.
2. Guarda los certificados de la AC del firmante de forma local como rootCA.crt.
3. Quita la configuración para recuperar la CSR que se menciona en el primer paso, ya que intenta recuperar la CSR, lo que no se permite después de la activación de la AC.

4. Actualiza la configuración de la AC subordinada con los siguientes campos y ejecuta terraform apply.

     pem_ca_certificate     = file("subordinate.crt")
     subordinate_config {
       pem_issuer_chain {
           pem_certificates = [file("rootCA.crt")] 
       }
     }
   

   Si la cadena de emisores incluye más de una AC, especifica el valor como [file("intermediateCA.cert"), file("rootCA.crt")].