Richtlinien für die Zertifikatsausstellung hinzufügen

Wenn Sie Richtlinien für die Ausstellung von Zertifikaten im CA-Dienst hinzufügen, müssen Sie Regeln und Einschränkungen definieren, die die von einer Zertifizierungsstelle (CA) ausgestellten Zertifikatstypen regeln. Weitere Informationen zu Richtlinien für die Zertifikatsausstellung finden Sie unter Richtlinien für die Zertifikatsausstellung.

Mit einer Richtlinie für die Zertifikatausstellung können Sie den Antragsteller und die alternativen Antragstellernamen (Subject Alternative Names, SANs) angeben, die in den ausgestellten Zertifikaten enthalten sein können. Sie können die Richtlinie für die Zertifikatausstellung beim Erstellen eines CA-Pools angeben oder einen vorhandenen CA-Pool aktualisieren, um eine Ausstellungsrichtlinie hinzuzufügen.

Weitere Informationen finden Sie unter Vorlagen und Richtlinien für die Ausstellung von Karten und Tickets – Übersicht.

Hinweise

• Sie benötigen die IAM-Rolle „Operation Manager für CA Service“ (roles/privateca.caManager) oder „CA Service Admin“ (roles/privateca.admin). Informationen zum Zuweisen einer IAM-Rolle an ein Hauptkonto finden Sie unter Einzelne Rolle zuweisen.

• Erstellen Sie einen CA-Pool.

Sie können einem CA-Pool eine Richtlinie für die Zertifikatsausstellung hinzufügen, wenn Sie einen CA-Pool erstellen oder einen vorhandenen CA-Pool aktualisieren.

Gehen Sie nach einer der folgenden Methoden vor:

Unterstützte Einschränkungen

Der CA-Dienst unterstützt die folgenden Einschränkungen der Richtlinien für die Ausstellung. Sie können die folgenden Einschränkungen nach Bedarf kombinieren, um eine benutzerdefinierte Richtlinie für die Ausstellung von Zertifikaten zu erstellen.

Zulässige X.509-Werte einschränken oder erzwingen

Ein CA-Pool kann die zulässigen X.509-Werte in Zertifikatsanfragen einschränken, indem das Feld passthrough_extensions konfiguriert wird.

Ein CA-Pool kann auch X.509-Werte angeben, die allen ausgestellten Zertifikaten hinzugefügt werden sollen. Dabei werden alle angeforderten Werte überschrieben. Verwenden Sie dazu das Feld baseline_values.

Mit den Werten baseline_values eines CA-Pools können Sie die folgenden Eigenschaften angeben:

• Schlüsselverwendung
• CA-Optionen
• AIA-OCSP-Server
• Zusätzliche X.509-Erweiterungen

Sie können diese Optionen auch kombinieren.

Wenn Sie einen Teil des Felds baseline_values aktualisieren, werden alle Werte im Feld baseline_values durch die Aktualisierung ersetzt.

• Beispiel: Eine Zertifizierungsstelle so einschränken, dass sie nur Endentitätszertifikate mit X.509-Werten für die gegenseitige TLS-Authentifizierung (mTLS) ausstellt.

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
        keyEncipherment: true
      extendedKeyUsage:
         clientAuth: true
         serverAuth: true
  

• Beispiel: Eine Zertifizierungsstelle darauf beschränken, nur Code Signing-Zertifikate für Endentitäten mit einer Baseline-AIA-OCSP-URL auszustellen.

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
      extendedKeyUsage:
        codeSigning: true
    aiaOcspServers:
      -   "http://foo.bar/revocation"
    additionalExtensions:
    -   objectId:
          objectIdPath:
            -   1
            -   2
            -   3
        critical: false
        value: "base64 encoded extension value"
  

Weitere Informationen zum Zertifikatsprofil für die mTLS-Endentität finden Sie unter mTLS für Endentitäten.

Zulässige Identitätsfelder einschränken

Wenn Sie die Identität von über einen CA-Pool ausgestellten Zertifikaten einschränken möchten, können Sie dem Feld identity_constraints der Ausstellrichtlinie einen [Common Expression Language (CEL)][4]{: .external}-Ausdruck hinzufügen. Mit CEL-Ausdrücken können beliebige Einschränkungen für den Domainnamen des Antragstellers (einschließlich des gemeinsamen Namens) und die SANs eines Zertifikats festgelegt werden.

Weitere Informationen zur Verwendung eines CEL-Ausdrucks zum Einschränken von Subject und SANs finden Sie unter CEL verwenden.

• Beispiel: Die Zertifizierungsstelle darf nur Zertifikate ausstellen, die mit einem bestimmten Subjekt übereinstimmen.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: true
    allowSubjectAltNamesPassthrough: false
    celExpression:
      expression: 'subject.organization == "Example LLC" && subject.country_code in ["US", "UK"]'
  

  Das Feld celExpression ist optional. Verwenden Sie einen CEL-Ausdruck (Common Expression Language), um den aufgelösten X.509-Inhaber und den SAN zu validieren, bevor ein Zertifikat signiert wird. Weitere Informationen zur Verwendung von CEL-Ausdrücken finden Sie unter CEL verwenden.

• Beispiel: Nur SANs mit DNS-Namen wie us.google.org oder auf .google.com endend zulassen.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == DNS && (san.value == "us.google.org" || san.value.endsWith(".google.com")) )'
  

• Beispiel: Nur SANs mit den URIs https://google.com/webhp oder mit spiffe://example-trust-domain-1/ns/namespace1/sa/ beginnend zulassen.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == URI && (san.value == "https://google.com/webhp" || san.value.startsWith("spiffe://example-trust-domain-1/ns/namespace1/sa/")) )'
  

• Beispiel: Nur SANs mit E-Mail-Adressen example@google.com oder die auf @google.org enden zulassen.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == EMAIL && (san.value == "example@google.com" || san.value.endsWith("@google.org")) )'
  

• Beispiel: Nur benutzerdefinierte SANs mit einer bestimmten OID und einem benutzerdefinierten Wert zulassen.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == CUSTOM && san.oid == [1, 2, 3, 4] && san.value == "custom-data" )'
  

Maximale Lebensdauer der ausgestellten Zertifikate einschränken

Verwenden Sie das Feld maximum_lifetime, um die Lebensdauer der ausgestellten Zertifikate einzuschränken. Wenn die angeforderte Lebensdauer eines Zertifikats länger als die maximale Lebensdauer ist, wird die Lebensdauer des Zertifikats explizit abgeschnitten.

Beispiel

Wenn Sie eine maximale Lebensdauer von 30 Tagen zulassen möchten, verwenden Sie die folgende policy.yaml-Datei:

maximumLifetime: 2592000s

Zulässige Zertifikatsausstellungsmodi einschränken

Sie können ein Zertifikat entweder über eine Anfrage zur Zertifikatssignierung (Certificate Signing Request, CSR) oder über eine Inline-Beschreibung der angeforderten Werte anfordern. Einige Organisationen bevorzugen es möglicherweise, Einschränkungen für die Option festzulegen, die verwendet werden kann, da für die letztere Methode kein Nachweis des Besitzes des zugehörigen privaten Schlüssels erforderlich ist. Sie können diese Einschränkungen mit dem Feld allowedIssuanceModes festlegen.

Weitere Informationen zum Angeben der Möglichkeiten, wie Zertifikate bei einem CA-Pool angefordert werden können, finden Sie unter Ausstellungsmodi.

Weitere Informationen zum Anfordern von Zertifikaten finden Sie unter Zertifikatsanfrage erstellen.

• Beispiel: Nur Ausstellung von CSR-Zertifikaten zulassen.

allowedIssuanceModes:
  allowCsrBasedIssuance: True
  allowConfigBasedIssuance: False

Public-Key-Algorithmen der Zertifikatsanfrage einschränken

Wenn Sie die Mindestschlüssellänge und die öffentlichen Schlüsselalgorithmen einschränken möchten, die für Zertifikate verwendet werden können, können Sie das Feld allowedKeyTypes in der YAML-Datei der Richtlinie zur Zertifikatausstellung verwenden. Wenn dieses Feld angegeben ist, muss der öffentliche Schlüssel der Zertifikatsanfrage mit einem der in der YAML-Datei aufgeführten Schlüsseltypen übereinstimmen. Wenn dieses Feld nicht angegeben ist, können Sie jeden beliebigen Schlüssel verwenden, mit Ausnahme von RSA-Schlüsseln, deren Modulus kleiner als 2.048 Bit ist. Wenn Sie einen RSA-Schlüssel mit einer Modulusgröße von weniger als 2.048 Bit verwenden möchten, müssen Sie dies in der Richtlinie zur Zertifikatausstellung ausdrücklich zulassen.

Beispiel: RSA-Schlüssel mit einer Modulusgröße zwischen 3.072 Bit und 4.096 Bit (einschließlich) oder ECDSA-Schlüssel (Elliptic Curve Digital Signature Algorithm) über die NIST-P-256-Kurve zulassen.

allowedKeyTypes:
-   rsa:
  minModulusSize: 3072
  maxModulusSize: 4096
-   ellipticCurve:
      signatureAlgorithm: ECDSA_P256

Sie können einen der folgenden Algorithmen für elliptische-Kurven-Signaturen auswählen:

• EC_SIGNATURE_ALGORITHM_UNSPECIFIED – Es kann jeder Signaturalgorithmus verwendet werden.
• ECDSA_P256 – Elliptische-Kurven-Digitalsignatur über die NIST-P-256-Kurve.
• ECDSA_P384 – Elliptische-Kurven-Digitalsignatur über die NIST-P-384-Kurve.
• EDDSA_25519 – Edwards-Kurven-Digital Signature Algorithm über die Kurve 25519, wie in RFC 8410 beschrieben.

Nächste Schritte

• Weitere Informationen zu Zertifikatprofilen
• Weitere Informationen zum Anfordern von Zertifikaten
• Informationen zum Konfigurieren von IAM-Richtlinien
• Weitere Informationen zur Verwendung der Common Expression Language (CEL)
• Informationen zum Verwalten verschiedener Richtliniensteuerungen