添加证书颁发政策

在 CA Service 中添加证书签发政策涉及定义规则和限制，以控制证书授权机构 (CA) 签发的证书类型。如需详细了解证书颁发政策，请参阅证书颁发政策简介。

借助证书颁发政策，您可以指定颁发的证书中可以包含的正文和正文备用名称 (SAN)。您可以在创建 CA 池时指定证书颁发政策，也可以更新现有 CA 池以添加颁发政策。

如需了解详情，请参阅模板和签发政策概览。

准备工作

• 确保您拥有 CA Service Operation Manager (roles/privateca.caManager) 或 CA Service Admin (roles/privateca.admin) IAM 角色。如需了解如何向主账号授予 IAM，请参阅授予单个角色。

• 创建 CA 池。

您可以在创建 CA 池时或更新现有 CA 池时向 CA 池添加证书颁发政策。

请采用以下方法之一：

支持的限制

CA Service 支持以下签发政策限制。您可以根据需要组合以下限制，以构建自定义证书颁发政策。

限制或强制允许的 X.509 值

CA 池可以通过配置 passthrough_extensions 字段来限制证书请求中允许使用的 X.509 值。

CA 池还可以使用 baseline_values 字段明确指定要添加到其所有已颁发证书的 X.509 值，从而覆盖任何请求的值。

CA 池的 baseline_values 值允许指定以下属性：

• 密钥用途
• CA 选项
• AIA OCSP 服务器
• 其他 X.509 扩展服务

您也可以同时使用这些选项。

如果您更新 baseline_values 字段的任何部分，相应更新会替换 baseline_values 字段中的整个值集。

• 示例：限制 CA 仅颁发具有 X.509 值的最终实体证书，以用于双向 TLS (mTLS)。

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
        keyEncipherment: true
      extendedKeyUsage:
         clientAuth: true
         serverAuth: true
  

• 示例：限制 CA 只能颁发具有基准 AIA OCSP 网址的最终实体代码签名证书。

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
      extendedKeyUsage:
        codeSigning: true
    aiaOcspServers:
      -   "http://foo.bar/revocation"
    additionalExtensions:
    -   objectId:
          objectIdPath:
            -   1
            -   2
            -   3
        critical: false
        value: "base64 encoded extension value"
  

如需详细了解最终实体 mTLS 的证书配置文件，请参阅最终实体 mTLS。

限制允许的身份字段

如需限制通过 CA 池颁发的证书的身份，您可以向颁发政策的 identity_constraints 字段添加 [通用表达式语言 (CEL)][4]{: .external} 表达式。CEL 表达式允许对证书的主题域名（包括通用名称）和 SAN 进行任意限制。

如需详细了解如何使用 CEL 表达式来限制 Subject 和 SAN，请参阅使用 CEL。

• 示例 允许 CA 仅颁发与指定主题匹配的证书。

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: true
    allowSubjectAltNamesPassthrough: false
    celExpression:
      expression: 'subject.organization == "Example LLC" && subject.country_code in ["US", "UK"]'
  

  celExpression 字段为可选字段。使用通用表达式语言 (CEL) 表达式在签名证书之前验证已解析的 X.509 主题和 SAN。如需详细了解如何使用 CEL 表达式，请参阅使用 CEL。

• 示例：仅允许将 DNS 名称作为 us.google.org 或以 .google.com 结尾的 SAN。

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == DNS && (san.value == "us.google.org" || san.value.endsWith(".google.com")) )'
  

• 示例：仅允许具有 URI https://google.com/webhp 或以 spiffe://example-trust-domain-1/ns/namespace1/sa/ 开头的 SAN。

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == URI && (san.value == "https://google.com/webhp" || san.value.startsWith("spiffe://example-trust-domain-1/ns/namespace1/sa/")) )'
  

• 示例：仅允许具有电子邮件地址 example@google.com 或以 @google.org 结尾的 SAN。

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == EMAIL && (san.value == "example@google.com" || san.value.endsWith("@google.org")) )'
  

• 示例：仅允许具有特定 OID 和自定义值的自定义 SAN。

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == CUSTOM && san.oid == [1, 2, 3, 4] && san.value == "custom-data" )'
  

限制所签发证书的回溯日期时长

如需为签发的证书设置过去的 not_before_time，请使用 backdate_duration 字段。配置后，此 CA 池中的证书的 not_before_time 等于签发时间减去指定的时长。系统会调整 not_after_time，以保持所请求的证书生命周期。backdate_duration 必须小于或等于 48 小时。

示例

如需将证书的日期提前 1 小时，请使用以下 policy.yaml 文件：

backdateDuration: 3600s

限制已颁发证书的最长有效期

如需限制所颁发证书的有效期，请使用 maximum_lifetime 字段。如果证书的请求有效期大于最长有效期，则证书的有效期会被明确截断。

示例

如需允许最长 30 天的有效期限，请使用以下 policy.yaml 文件：

maximumLifetime: 2592000s

限制允许的证书颁发模式

您可以通过证书签名请求 (CSR) 或内嵌说明所请求的值来申请证书。有些组织可能更倾向于限制可使用的选项，因为后一种方法不需要提供关联私钥的所有权证明。您可以使用 allowedIssuanceModes 字段设置这些限制。

如需详细了解如何指定从 CA 池请求证书的方式，请参阅 IssuanceModes。

如需详细了解如何请求证书，请参阅创建证书请求。

• 示例：仅允许颁发 CSR。

allowedIssuanceModes:
  allowCsrBasedIssuance: True
  allowConfigBasedIssuance: False

限制证书请求的公钥算法

如需限制证书可使用的最短密钥长度和公钥算法，您可以使用证书签发政策 YAML 文件中的 allowedKeyTypes 字段。如果指定了此字段，则证书请求的公钥必须与 YAML 文件中列出的其中一种密钥类型匹配。如果未指定此字段，则可以使用任何密钥，但模数大小小于 2048 位的 RSA 密钥除外。如果您想使用模数大小小于 2048 位的 RSA 密钥，必须使用证书签发政策明确允许这样做。

示例：允许使用模数大小介于 3072 位和 4096 位（含）之间的 RSA 密钥，或使用基于 NIST P-256 曲线的椭圆曲线数字签名算法 (ECDSA) 密钥。

allowedKeyTypes:
-   rsa:
  minModulusSize: 3072
  maxModulusSize: 4096
-   ellipticCurve:
      signatureAlgorithm: ECDSA_P256

您可以选择以下任一椭圆曲线签名算法：

• EC_SIGNATURE_ALGORITHM_UNSPECIFIED - 可以使用任何签名算法。
• ECDSA_P256 - 基于 NIST P-256 曲线的椭圆曲线数字签名。
• ECDSA_P384 - 基于 NIST P-384 曲线的椭圆曲线数字签名。
• EDDSA_25519 - 基于曲线 25519 的爱德华曲线数字签名算法，如 RFC 8410 中所述。

后续步骤

• 详细了解证书配置文件。
• 详细了解如何申请证书。
• 了解如何配置 IAM 政策。
• 了解如何使用通用表达式语言 (CEL)。
• 了解如何管理各种政策控制措施。