Mengubah penerbit sertifikat default

Google Distributed Cloud (GDC) dengan air gap menyediakan API infrastruktur kunci publik (PKI) untuk mendapatkan sertifikat web. Halaman ini memberikan petunjuk untuk mengubah penerbit sertifikat default ke penerbit lain. Untuk mengetahui informasi selengkapnya tentang mode sertifikat PKI, lihat Konfigurasi sertifikat TLS web.

Sebelum memulai

Untuk mendapatkan izin yang diperlukan guna mengonfigurasi penerbit sertifikat default PKI, minta Admin IAM Organisasi Anda untuk memberi Anda peran Admin PKI Infra (infra-pki-admin) di namespace sistem.

Mengubah penerbit sertifikat default

  1. Label penerbit default terlihat seperti contoh berikut. Untuk setiap namespace, satu CertificateIssuer harus berisi label:

    pki.security.gdc.goog/is-default-issuer: 'true'

  2. Melihat penerbit default saat ini di namespace pki-system:

    kubectl get certificateissuers -n pki-system -l pki.security.gdc.goog/is-default-issuer=true

    Outputnya terlihat mirip dengan yang berikut ini:

    NAME                    READY   REASON       ISDEFAULT
default-tls-ca-issuer   True    CAaaSReady   true

  3. Edit penerbit default yang ada, dan perbarui label penerbit default dari penerbit:

    kubectl label --overwrite certificateissuers CURRENT_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer='false'

    Ganti CURRENT_DEFAULT_ISSUER dengan nama penerbit sertifikat default saat ini.

  4. Untuk menetapkan CertificateIssuer baru sebagai penerbit default, perbarui label:

    kubectl label --overwrite certificateissuers NEW_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer=true

    Ganti NEW_DEFAULT_ISSUER dengan nama penerbit sertifikat default baru.

Memicu penerbitan ulang sertifikat secara manual

Setelah Anda mengganti penerbit sertifikat default, Distributed Cloud tidak akan otomatis menerbitkan ulang sertifikat yang ditandatangani oleh penerbit sertifikat default sebelumnya, kecuali jika masa berlaku sertifikat akan segera berakhir. Untuk segera menerbitkan ulang sertifikat dengan penerbit default baru, lihat Menerbitkan ulang sertifikat web PKI secara manual.