Menambahkan kebijakan penerbitan sertifikat

Menambahkan kebijakan penerbitan sertifikat di Layanan CA melibatkan penentuan aturan dan batasan yang mengatur jenis sertifikat yang diterbitkan oleh certificate authority (CA). Untuk mempelajari lebih lanjut kebijakan penerbitan sertifikat, lihat Tentang kebijakan penerbitan sertifikat.

Kebijakan penerbitan sertifikat memungkinkan Anda menentukan subjek dan nama alternatif subjek (SAN) yang dapat disertakan dalam sertifikat yang diterbitkan. Anda dapat menentukan kebijakan penerbitan sertifikat saat membuat kumpulan CA atau Anda dapat memperbarui kumpulan CA yang ada untuk menambahkan kebijakan penerbitan.

Untuk mengetahui informasi selengkapnya, lihat Ringkasan template dan kebijakan penerbitan.

Sebelum memulai

• Pastikan Anda memiliki peran IAM CA Service Operation Manager (roles/privateca.caManager) atau CA Service Admin (roles/privateca.admin). Untuk mengetahui informasi tentang memberikan IAM kepada akun utama, lihat Memberikan satu peran.

• Buat kumpulan CA.

Anda dapat menambahkan kebijakan penerbitan sertifikat ke kumpulan CA saat membuat kumpulan CA atau saat mengupdate kumpulan CA yang ada.

Gunakan salah satu metode berikut:

Batasan yang didukung

Layanan CA mendukung batasan kebijakan penerbitan berikut. Anda dapat menggabungkan batasan berikut sesuai kebutuhan untuk membuat kebijakan penerbitan sertifikat kustom.

Membatasi atau menerapkan nilai X.509 yang diizinkan

Kumpulan CA dapat membatasi nilai X.509 yang diizinkan dalam permintaan sertifikat dengan mengonfigurasi kolom passthrough_extensions.

Kumpulan CA juga dapat secara eksplisit menentukan nilai X.509 yang akan ditambahkan ke semua sertifikat yang diterbitkannya, dengan mengganti nilai yang diminta, menggunakan kolom baseline_values.

Nilai baseline_values kumpulan CA memungkinkan penentuan properti berikut:

• Penggunaan Kunci
• Opsi CA
• Server OCSP AIA
• Ekstensi X.509 Tambahan

Anda juga dapat menggunakan opsi ini bersama-sama.

Jika Anda memperbarui bagian mana pun dari kolom baseline_values, pembaruan akan menggantikan seluruh kumpulan nilai di kolom baseline_values.

• Contoh: Membatasi CA untuk menerbitkan hanya sertifikat entitas akhir dengan nilai X.509 untuk TLS bersama (mTLS).

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
        keyEncipherment: true
      extendedKeyUsage:
         clientAuth: true
         serverAuth: true
  

• Contoh: Membatasi CA untuk menerbitkan hanya sertifikat penandatanganan kode entitas akhir dengan URL OCSP AIA dasar.

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
      extendedKeyUsage:
        codeSigning: true
    aiaOcspServers:
      -   "http://foo.bar/revocation"
    additionalExtensions:
    -   objectId:
          objectIdPath:
            -   1
            -   2
            -   3
        critical: false
        value: "base64 encoded extension value"
  

Untuk mengetahui informasi selengkapnya tentang profil sertifikat untuk mTLS entitas akhir, lihat mTLS entitas akhir.

Membatasi kolom identitas yang diizinkan

Untuk membatasi identitas sertifikat yang diterbitkan melalui kumpulan CA, Anda dapat menambahkan ekspresi [Common Expression Language (CEL)][4]{: .external} ke kolom identity_constraints kebijakan penerbitan. Ekspresi CEL memungkinkan pembatasan arbitrer atas Nama Domain Subjek (termasuk nama umum) dan SAN sertifikat.

Untuk mengetahui informasi selengkapnya tentang penggunaan ekspresi CEL untuk membatasi Subjek dan SAN, lihat Menggunakan CEL.

• Contoh Mengizinkan CA menerbitkan hanya sertifikat yang cocok dengan Subjek yang ditentukan.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: true
    allowSubjectAltNamesPassthrough: false
    celExpression:
      expression: 'subject.organization == "Example LLC" && subject.country_code in ["US", "UK"]'
  

  Kolom celExpression bersifat opsional. Gunakan ekspresi Common Expression Language (CEL) untuk memvalidasi subjek dan SAN X.509 yang telah diselesaikan sebelum sertifikat ditandatangani. Untuk mengetahui informasi selengkapnya tentang penggunaan ekspresi CEL, lihat Menggunakan CEL.

• Contoh: Hanya izinkan SAN yang memiliki Nama DNS sebagai us.google.org atau yang diakhiri dengan .google.com.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == DNS && (san.value == "us.google.org" || san.value.endsWith(".google.com")) )'
  

• Contoh: Hanya izinkan SAN yang memiliki URI https://google.com/webhp atau diawali dengan spiffe://example-trust-domain-1/ns/namespace1/sa/.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == URI && (san.value == "https://google.com/webhp" || san.value.startsWith("spiffe://example-trust-domain-1/ns/namespace1/sa/")) )'
  

• Contoh: Hanya izinkan SAN yang memiliki alamat email example@google.com atau berakhir dengan @google.org.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == EMAIL && (san.value == "example@google.com" || san.value.endsWith("@google.org")) )'
  

• Contoh: Hanya izinkan SAN kustom yang memiliki OID tertentu dan nilai kustom.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == CUSTOM && san.oid == [1, 2, 3, 4] && san.value == "custom-data" )'
  

Membatasi durasi tanggal mundur sertifikat yang diterbitkan

Untuk menetapkan not_before_time yang lalu untuk sertifikat yang diterbitkan, gunakan kolom backdate_duration. Jika dikonfigurasi, sertifikat dari kumpulan CA ini memiliki not_before_time yang sama dengan waktu penerbitan dikurangi durasi yang ditentukan. not_after_time disesuaikan untuk mempertahankan masa aktif sertifikat yang diminta. backdate_duration harus kurang dari atau sama dengan 48 jam.

Contoh

Untuk memundurkan tanggal sertifikat 1 jam, gunakan file policy.yaml berikut:

backdateDuration: 3600s

Membatasi masa berlaku maksimum sertifikat yang diterbitkan

Untuk membatasi masa berlaku sertifikat yang diterbitkan, gunakan kolom maximum_lifetime. Jika masa berlaku yang diminta untuk sertifikat lebih besar daripada masa berlaku maksimum, masa berlaku sertifikat akan dipersingkat secara eksplisit.

Contoh

Untuk mengizinkan masa aktif maksimum 30 hari, gunakan file policy.yaml berikut:

maximumLifetime: 2592000s

Membatasi mode penerbitan sertifikat yang diizinkan

Anda dapat meminta sertifikat melalui Permintaan Penandatanganan Sertifikat (CSR) atau deskripsi inline nilai yang diminta. Beberapa organisasi mungkin lebih memilih untuk menambahkan batasan pada opsi yang dapat digunakan karena metode kedua tidak memerlukan bukti kepemilikan kunci pribadi terkait. Anda dapat menyetel batasan ini menggunakan kolom allowedIssuanceModes.

Untuk mengetahui informasi selengkapnya tentang cara menentukan permintaan sertifikat dari kumpulan CA, lihat IssuanceModes.

Untuk mengetahui informasi selengkapnya tentang cara meminta sertifikat, lihat Membuat permintaan sertifikat.

• Contoh: Hanya izinkan penerbitan CSR.

allowedIssuanceModes:
  allowCsrBasedIssuance: True
  allowConfigBasedIssuance: False

Membatasi algoritma kunci publik dari permintaan sertifikat

Untuk membatasi panjang kunci minimum dan algoritma kunci publik yang dapat digunakan sertifikat, Anda dapat menggunakan kolom allowedKeyTypes dalam file YAML kebijakan penerbitan sertifikat. Jika kolom ini ditentukan, kunci publik permintaan sertifikat harus cocok dengan salah satu jenis kunci yang tercantum dalam file YAML. Jika kolom ini tidak ditentukan, Anda dapat menggunakan kunci apa pun, kecuali kunci RSA yang ukuran modulusnya kurang dari 2048 bit. Jika Anda ingin menggunakan kunci RSA dengan ukuran modulus kurang dari 2048 bit, Anda harus mengizinkannya secara eksplisit menggunakan kebijakan penerbitan sertifikat.

Contoh: Izinkan kunci RSA dengan ukuran modulus antara 3072 bit dan 4096 bit (inklusif), atau kunci Elliptic Curve Digital Signature Algorithm (ECDSA) di atas kurva NIST P-256.

allowedKeyTypes:
-   rsa:
  minModulusSize: 3072
  maxModulusSize: 4096
-   ellipticCurve:
      signatureAlgorithm: ECDSA_P256

Anda dapat memilih salah satu algoritma tanda tangan kurva elips berikut:

• EC_SIGNATURE_ALGORITHM_UNSPECIFIED - Algoritma tanda tangan apa pun dapat digunakan.
• ECDSA_P256 - Elliptic Curve Digital Signature melalui kurva NIST P-256.
• ECDSA_P384 - Elliptic Curve Digital Signature melalui kurva NIST P-384.
• EDDSA_25519 - Edwards-curve Digital Signature Algorithm melalui curve 25519, seperti yang dijelaskan dalam RFC 8410.

Langkah berikutnya

• Pelajari lebih lanjut profil sertifikat.
• Pelajari lebih lanjut cara meminta sertifikat.
• Pelajari cara mengonfigurasi kebijakan IAM.
• Pelajari cara menggunakan Common Expression Language (CEL).
• Pelajari cara mengelola berbagai kontrol kebijakan.