Aggiungere una norma di emissione dei certificati a un pool di CA

Questa pagina descrive come aggiungere un criterio di emissione dei certificati a un pool di autorità di certificazione (CA).

Un criterio di emissione dei certificati consente di specificare l'oggetto e i nomi alternativi dell'oggetto (SAN) che possono essere inclusi nei certificati emessi. Puoi specificare il criterio di emissione dei certificati durante la creazione di un pool di CA oppure puoi aggiornare un pool di CA esistente per aggiungere un criterio di emissione.

Per ulteriori informazioni, consulta la Panoramica dei modelli e dei criteri di emissione.

Prima di iniziare

• Assicurati di disporre del ruolo IAM Responsabile operativo servizio CA (roles/privateca.caManager) o Amministratore servizio CA (roles/privateca.admin). Per informazioni su come concedere un ruolo IAM a un principale, consulta Concedere un singolo ruolo.

• Crea un pool di CA.

Aggiungere un file di criteri di emissione di certificati

Per aggiungere un criterio di emissione dei certificati a un pool di CA esistente, segui questi passaggi:

Restrizioni supportate

Il servizio CA supporta le seguenti limitazioni delle norme di emissione. Puoi combinare le seguenti limitazioni in base alle tue esigenze per creare un criterio di emissione dei certificati personalizzato.

Limitare o forzare i valori X.509 consentiti

Un pool di CA può limitare i valori X.509 consentiti nelle richieste di certificato configurando il campo passthrough_extensions.

Un pool di CA può anche specificare esplicitamente i valori X.509 da aggiungere a tutti i certificati emessi, sovrascrivendo eventuali valori richiesti, utilizzando il campo baseline_values.

I valori baseline_values di un pool di CA consentono di specificare le seguenti proprietà:

• Utilizzo della chiave
• Opzioni CA
• Server OCSP AIA
• Estensioni X.509 aggiuntive

Puoi anche utilizzare queste opzioni insieme.

Se aggiorni una parte del campo baseline_values, l'aggiornamento sostituisce l'intero insieme di valori nel campo baseline_values.

• Esempio: limita una CA a emettere solo certificati dell'entità finale con valori X.509 per TLS reciproco (mTLS).

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
        keyEncipherment: true
      extendedKeyUsage:
         clientAuth: true
         serverAuth: true
  

• Esempio: limita una CA a emettere solo certificati di firma del codice delle entità finali con un URL OCSP AIA di riferimento.

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
      extendedKeyUsage:
        codeSigning: true
    aiaOcspServers:
      - "http://foo.bar/revocation"
    additionalExtensions:
    - objectId:
        objectIdPath:
          - 1
          - 2
          - 3
      critical: false
      value: "base64 encoded extension value"
  

Per ulteriori informazioni sul profilo del certificato per mTLS dell'entità finale, consulta mTLS dell'entità finale.

Limitare i campi di identità consentiti

Per limitare l'identità dei certificati emessi tramite un pool di CA, puoi aggiungere un'espressione Common Expression Language (CEL) al campo identity_constraints del criterio di emissione. Le espressioni CEL consentono limitazioni arbitrarie sul nome di dominio dell'oggetto (incluso il nome comune) e sui SAN di un certificato.

Per ulteriori informazioni sull'utilizzo di un'espressione CEL per limitare Subject e SAN, consulta Utilizzare CEL.

• Esempio Consenti alla CA di emettere solo certificati corrispondenti a un soggetto specificato.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: true
    allowSubjectAltNamesPassthrough: false
    celExpression:
      expression: 'subject.organization == "Example LLC" && subject.country_code in ["US", "UK"]'
  

  Il campo celExpression è facoltativo. Utilizza un'espressione Common Expression Language (CEL) per convalidare l'oggetto e il SAN X.509 risolti prima della firma di un certificato. Per ulteriori informazioni sull'utilizzo delle espressioni CEL, consulta Utilizzare CEL.

• Esempio: consenti solo i certificati SAN con nomi DNS come us.google.org o che terminano con .google.com.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == DNS && (san.value == "us.google.org" || san.value.endsWith(".google.com")) )'
  

• Esempio: consenti solo i SAN con URI https://google.com/webhp o che iniziano con spiffe://example-trust-domain-1/ns/namespace1/sa/.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == URI && (san.value == "https://google.com/webhp" || san.value.startsWith("spiffe://example-trust-domain-1/ns/namespace1/sa/")) )'
  

• Esempio: consenti solo i SAN con indirizzi email example@google.com o che terminano con @google.org.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == EMAIL && (san.value == "example@google.com" || san.value.endsWith("@google.org")) )'
  

• Esempio: consenti solo SAN personalizzati con un OID e un valore personalizzato specifici.

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == CUSTOM && san.oid == [1, 2, 3, 4] && san.value == "custom-data" )'
  

Limita la durata massima dei certificati emessi

Per limitare la durata dei certificati emessi, utilizza il campo maximum_lifetime. Se la durata richiesta di un certificato è superiore alla durata massima, la durata del certificato viene troncata esplicitamente.

Esempio

Per consentire una durata massima di 30 giorni, utilizza il seguente file policy.yaml:

maximumLifetime: 2592000s

Limita le modalità di emissione dei certificati consentite

Puoi richiedere un certificato tramite una richiesta di firma del certificato (CSR) o una descrizione in linea dei valori richiesti. Alcune organizzazioni potrebbero preferire aggiungere limitazioni all'opzione che può essere utilizzata perché quest'ultimo metodo non richiede una prova di possesso della chiave privata associata. Puoi impostare queste limitazioni utilizzando il campo allowedIssuanceModes.

Per ulteriori informazioni su come specificare i modi in cui i certificati possono essere richiesti da un pool di CA, consulta IssuanceModes.

Per ulteriori informazioni sulla richiesta di certificati, consulta Creare una richiesta di certificato.

• Esempio: consenti solo l'emissione di CSR.

allowedIssuanceModes:
  allowCsrBasedIssuance: True
  allowConfigBasedIssuance: False

Limitare gli algoritmi delle chiavi pubbliche della richiesta di certificato

Per limitare la lunghezza minima della chiave e gli algoritmi di chiave pubblica che possono essere utilizzati dai certificati, puoi utilizzare il campo allowedKeyTypes nel file YAML dei criteri di emissione dei certificati. Se questo campo è specificato, la chiave pubblica della richiesta di certificato deve corrispondere a uno dei tipi di chiavi elencati nel file YAML. Se questo campo non è specificato, puoi utilizzare qualsiasi chiave, con l'eccezione delle chiavi RSA di cui le dimensioni del modulo sono inferiori a 2048 bit. Se vuoi utilizzare una chiave RSA con un modulo di dimensioni inferiori a 2048 bit, devi autorizzarla esplicitamente utilizzando i criteri di emissione dei certificati.

Esempio: consenti chiavi RSA con una dimensione del modulo compresa tra 3072 e 4096 bit (inclusi) o chiavi ECDSA (Elliptic Curve Digital Signature Algorithm) sulla curva NIST P-256.

allowedKeyTypes:
- rsa:
    minModulusSize: 3072
    maxModulusSize: 4096
- ellipticCurve:
    signatureAlgorithm: ECDSA_P256

Puoi scegliere uno dei seguenti algoritmi di firma con curve ellittiche:

• EC_SIGNATURE_ALGORITHM_UNSPECIFIED: è possibile utilizzare qualsiasi algoritmo di firma.
• ECDSA_P256 - Firma digitale con curva ellittica sulla curva NIST P-256.
• ECDSA_P384 - Firma digitale con curva ellittica sulla curva NIST P-384.
• EDDSA_25519 - Algoritmo di firma digitale con curva di Edwards sulla curva 25519, come descritto in RFC 8410.

Passaggi successivi

• Scopri di più sui profili certificati.
• Scopri di più sulla richiesta di certificati.
• Scopri come configurare i criteri IAM.
• Scopri come utilizzare Common Expression Language (CEL).
• Scopri come gestire vari controlli delle norme.