Cómo cambiar la entidad emisora de certificados predeterminada

Google Distributed Cloud (GDC) aislado proporciona una API de infraestructura de clave pública (PKI) para obtener certificados web. En esta página, se proporcionan instrucciones para cambiar la entidad emisora de certificados predeterminada por otra. Para obtener más información sobre los modos de certificados de PKI, consulta Configuración de certificados TLS web.

Antes de comenzar

Para obtener los permisos que necesitas para configurar la entidad emisora de certificados predeterminada de la PKI, pídele a tu administrador de IAM de la organización que te otorgue el rol de administrador de PKI de Infraestructura (infra-pki-admin) en el espacio de nombres del sistema.

Cómo cambiar la entidad emisora de certificados predeterminada

  1. La etiqueta predeterminada del emisor se ve como en el siguiente ejemplo. Para cada espacio de nombres, un CertificateIssuer debe contener la etiqueta:

    pki.security.gdc.goog/is-default-issuer: 'true'

  2. Consulta el emisor predeterminado actual en el espacio de nombres pki-system:

    kubectl get certificateissuers -n pki-system -l pki.security.gdc.goog/is-default-issuer=true

    El resultado es similar al siguiente:

    NAME                    READY   REASON       ISDEFAULT
default-tls-ca-issuer   True    CAaaSReady   true

  3. Edita la entidad emisora predeterminada existente y actualiza su etiqueta de la siguiente manera:

    kubectl label --overwrite certificateissuers CURRENT_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer='false'

    Reemplaza CURRENT_DEFAULT_ISSUER por el nombre de la entidad emisora de certificados predeterminada actual.

  4. Para establecer el nuevo CertificateIssuer como emisor predeterminado, actualiza la etiqueta:

    kubectl label --overwrite certificateissuers NEW_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer=true

    Reemplaza NEW_DEFAULT_ISSUER por el nombre de la nueva entidad emisora de certificados predeterminada.

Cómo activar manualmente la nueva emisión de certificados

Después de cambiar la entidad emisora de certificados predeterminada, Distributed Cloud no volverá a emitir automáticamente los certificados firmados por la entidad emisora de certificados predeterminada anterior, a menos que el certificado esté a punto de vencer. Para volver a emitir certificados de inmediato con la nueva entidad emisora predeterminada, consulta Cómo volver a emitir certificados web de la PKI de forma manual.