新增憑證核發政策

在 CA 服務中新增憑證核發政策時，需要定義規則和限制，以控管憑證授權單位 (CA) 核發的憑證類型。如要進一步瞭解憑證核發政策，請參閱「關於憑證核發政策」。

憑證核發政策可讓您指定核發憑證時可加入的主體和主體別名 (SAN)。您可以在建立 CA 集區時指定憑證核發政策，也可以更新現有的 CA 集區來新增核發政策。

詳情請參閱「範本和發行政策總覽」。

事前準備

• 確認您具備 CA 服務作業管理員 (roles/privateca.caManager) 或 CA 服務管理員 (roles/privateca.admin) IAM 角色。如要瞭解如何將 IAM 授予主體，請參閱「授予單一角色」。

• 建立 CA 集區。

您可以在建立 CA 集區時，或更新現有 CA 集區時，將憑證核發政策新增至 CA 集區。

請使用下列其中一種方法：

支援的限制

CA 服務支援下列簽發政策限制。您可以視需要組合下列限制，建立自訂憑證核發政策。

限制或強制允許的 X.509 值

CA 集區可以設定 passthrough_extensions 欄位，限制憑證要求中允許的 X.509 值。

CA 集區也可以使用 baseline_values 欄位，明確指定要加入所有核發憑證的 X.509 值，並覆寫所有要求的值。

CA 集區的baseline_values可指定下列屬性：

• 金鑰用途
• CA 選項
• AIA OCSP 伺服器
• 其他 X.509 擴充功能

你也可以同時使用這些選項。

如果更新 baseline_values 欄位的任何部分，更新會取代 baseline_values 欄位中的整組值。

• 範例：限制 CA 只能核發具有相互傳輸層安全標準 (mTLS) X.509 值的終端實體憑證。

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
        keyEncipherment: true
      extendedKeyUsage:
         clientAuth: true
         serverAuth: true
  

• 範例：限制 CA 只能核發具有基準 AIA OCSP 網址的實體程式碼簽署憑證。

  policy.yaml

  baselineValues:
    caOptions:
      isCa: false
    keyUsage:
      baseKeyUsage:
        digitalSignature: true
      extendedKeyUsage:
        codeSigning: true
    aiaOcspServers:
      -   "http://foo.bar/revocation"
    additionalExtensions:
    -   objectId:
          objectIdPath:
            -   1
            -   2
            -   3
        critical: false
        value: "base64 encoded extension value"
  

如要進一步瞭解終端實體 mTLS 的憑證設定檔，請參閱終端實體 mTLS。

限制允許的身分識別欄位

如要限制透過 CA 集區核發的憑證身分，您可以將 [通用運算式語言 (CEL)][4]{: .external} 運算式新增至核發政策的identity_constraints 欄位。CEL 運算式可對憑證的主體網域名稱 (包括通用名稱) 和 SAN 施加任意限制。

如要進一步瞭解如何使用 CEL 運算式限制主體和 SAN，請參閱「使用 CEL」一文。

• 範例：允許 CA 僅核發符合指定主體的憑證。

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: true
    allowSubjectAltNamesPassthrough: false
    celExpression:
      expression: 'subject.organization == "Example LLC" && subject.country_code in ["US", "UK"]'
  

  celExpression 欄位為選填。使用一般運算語言 (CEL) 運算式，在簽署憑證前驗證已解析的 X.509 主體和 SAN。如要進一步瞭解如何使用 CEL 運算式，請參閱「使用 CEL」。

• 範例：只允許 DNS 名稱為 us.google.org 或結尾為 .google.com 的 SAN。

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == DNS && (san.value == "us.google.org" || san.value.endsWith(".google.com")) )'
  

• 範例：只允許具有 URI https://google.com/webhp 或以 spiffe://example-trust-domain-1/ns/namespace1/sa/ 開頭的 SAN。

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == URI && (san.value == "https://google.com/webhp" || san.value.startsWith("spiffe://example-trust-domain-1/ns/namespace1/sa/")) )'
  

• 範例：只允許具有電子郵件地址 example@google.com 或結尾為 @google.org 的 SAN。

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == EMAIL && (san.value == "example@google.com" || san.value.endsWith("@google.org")) )'
  

• 範例：只允許具有特定 OID 和自訂值的自訂 SAN。

  policy.yaml

  identityConstraints:
    allowSubjectPassthrough: false
    allowSubjectAltNamesPassthrough: true
    celExpression:
      expression: 'subject_alt_names.all(san, san.type == CUSTOM && san.oid == [1, 2, 3, 4] && san.value == "custom-data" )'
  

限制核發憑證的追溯日期

如要為核發的憑證設定過去的 not_before_time，請使用 backdate_duration 欄位。設定完成後，這個 CA 集區的憑證 not_before_time 會等於核發時間減去指定時間長度。系統會調整 not_after_time，以維持要求的憑證生命週期。backdate_duration 不得超過 48 小時。

範例

如要將憑證的日期調回 1 小時，請使用下列 policy.yaml 檔案：

backdateDuration: 3600s

限制核發憑證的生命週期長度上限

如要限制核發憑證的生命週期，請使用 maximum_lifetime 欄位。如果要求的憑證生命週期長度超過上限，系統會明確截斷憑證的生命週期。

範例

如要允許最長 30 天的生命週期，請使用下列 policy.yaml 檔案：

maximumLifetime: 2592000s

限制允許的憑證核發模式

您可以透過憑證簽署要求 (CSR) 或要求值的內嵌說明來要求憑證。部分機構可能會偏好限制可用的選項，因為後者不需要相關聯私密金鑰的擁有權證明。您可以使用 allowedIssuanceModes 欄位設定這些限制。

如要進一步瞭解如何指定可向 CA 集區要求憑證的方式，請參閱 IssuanceModes。

如要進一步瞭解如何申請憑證，請參閱「建立憑證要求」。

• 範例：僅允許核發 CSR。

allowedIssuanceModes:
  allowCsrBasedIssuance: True
  allowConfigBasedIssuance: False

限制憑證要求的公開金鑰演算法

如要限制憑證可使用的最短金鑰長度和公開金鑰演算法，您可以使用憑證核發政策 YAML 檔案中的 allowedKeyTypes 欄位。如果指定這個欄位，憑證要求的公開金鑰必須與 YAML 檔案中列出的其中一種金鑰類型相符。如果未指定這個欄位，則可以使用任何金鑰，但模數大小少於 2048 位元的 RSA 金鑰除外。如要使用模數大小小於 2048 位元的 RSA 金鑰，您必須使用憑證核發政策明確允許。

範例：允許模數大小介於 3072 位元和 4096 位元 (含) 之間的 RSA 金鑰，或 NIST P-256 曲線上的橢圓曲線數位簽章演算法 (ECDSA) 金鑰。

allowedKeyTypes:
-   rsa:
  minModulusSize: 3072
  maxModulusSize: 4096
-   ellipticCurve:
      signatureAlgorithm: ECDSA_P256

您可以選擇下列其中一種橢圓曲線簽章演算法：

• EC_SIGNATURE_ALGORITHM_UNSPECIFIED - 可以使用任何簽名演算法。
• ECDSA_P256 - 透過 NIST P-256 曲線的橢圓曲線數位簽章。
• ECDSA_P384 - 透過 NIST P-384 曲線的橢圓曲線數位簽章。
• EDDSA_25519 - 透過 25519 曲線的愛德華曲線數位簽章演算法，如 RFC 8410 所述。

後續步驟

• 進一步瞭解憑證設定檔。
• 進一步瞭解如何申請認證。
• 瞭解如何設定 IAM 政策。
• 瞭解如何使用一般運算語言 (CEL)。
• 瞭解如何管理各種政策控制項。