Esta página se ha traducido con Cloud Translation API.

Obtener paquetes de confianza de GDC

Un paquete de confianza, también conocido como lista de confianza, es un grupo de anclas de confianza, como entidades, que son inherentemente de confianza y cuya confianza no se transfiere por otra entidad (terceros de confianza). Estas anclas de confianza se proporcionan como certificados de autoridad de certificación (CA). El algoritmo de creación de rutas de certificación usa estos certificados de AC para establecer una cadena entre un certificado que obtiene la validación y las anclas de confianza.

Google Distributed Cloud (GDC) con air gap tiene paquetes de confianza específicos. En esta guía se describen los pasos que deben seguir los administradores de organizaciones para obtener el paquete de confianza.

Tipos de paquetes de confianza

Distributed Cloud ofrece dos tipos de paquetes de confianza gestionados para administradores de plataformas:

trust-store-root-ext: contiene la AC raíz interna y la AC web-tls. El contenido varía en función de dónde se encuentre, como la raíz o la organización del arrendatario. Usa este paquete de confianza para comunicarte entre organizaciones o para acceder a servicios como el almacenamiento de objetos dentro de la organización.
trust-store-global-root-ext: disponible en el servidor de API global y en el espacio de nombres del servidor de API zonal platform. Cuando el servidor de la API global esté listo, el paquete rellenará todos los demás datos zonales trust-store-root-ext, incluidos los datos locales.

Obtener el paquete de confianza

Puedes obtener paquetes de confianza del endpoint de servidor conocido o del clúster mediante kubectl.

Obtener del servidor conocido

GDC proporciona una forma segura de acceder a paquetes de confianza a través de un endpoint de servidor conocido. Usa este método cuando necesites obtener el paquete trust-store-global-root-ext sin interactuar directamente con el clúster mediante kubectl.

Exporta las siguientes variables de entorno:
```
export STORAGE=STORAGE
export ORG_NAME=ORG_NAME
```
Haz los cambios siguientes:
- STORAGE: la ruta del directorio en el que quieres almacenar el archivo del paquete de confianza.
- ORG_NAME: el nombre de tu organización en GDC.

Define la variable de entorno WELL_KNOWN_URL:

export WELL_KNOWN_URL=https://console.${ORG_NAME:?}.google.gdch.test/.well-known/certificate-authority

Define la variable de entorno GLOBAL_TRUST_BUNDLE_FILE. Este archivo almacena el paquete de confianza de GDC de forma local en la $STORAGE ubicación que hayas especificado.
```
export GLOBAL_TRUST_BUNDLE_FILE="$STORAGE/global/ca-bundles/global-trust-bundle"
```

Obtén el trust-store-global-root-ext paquete de confianza del servidor conocido y almacénalo en el archivo creado en el paso anterior:

Linux

echo -n | curl ${WELL_KNOWN_URL:?} > ${GLOBAL_TRUST_BUNDLE_FILE:?}

Windows

Invoke-WebRequest -Uri "https://console.${ORG_NAME}.google.gdch.test/.well-known/certificate-authority" -OutFile ".\global-trust-bundle.crt"

El archivo del paquete de confianza obtenido contiene uno o varios certificados de CA. El resultado es similar al siguiente:

Obtener datos del clúster con kubectl

Puedes obtener paquetes de confianza directamente del clúster de GDC mediante la herramienta de línea de comandos kubectl. Usa este método si tienes acceso directo al clúster y a su configuración, y necesitas obtener los paquetes de confianza trust-store-root-ext o trust-store-global-root-ext.

Debes obtener lo siguiente para poder completar los pasos de esta sección:

Permisos necesarios: pide al administrador de gestión de identidades y accesos de tu organización que te conceda el rol Lector de almacén de confianza (trust-store-viewer).
Archivo kubeconfig: inicia sesión y genera el archivo kubeconfig del servidor de la API Management si aún no tienes uno. Necesitas la ruta al archivo kubeconfig para sustituir MANAGEMENT_API_SERVER_KUBECONFIG en los pasos siguientes.

Obtén el paquete de confianza del clúster con kubectl:

Exporta las siguientes variables de entorno:
```
export KUBECONFIG=MANAGEMENT_API_SERVER_KUBECONFIG
export STORAGE=STORAGE
export ZONE=ZONE
```
Haz los cambios siguientes:
- MANAGEMENT_API_SERVER_KUBECONFIG: la ruta al archivo kubeconfig del servidor de la API Management.
- STORAGE: la ruta del directorio en el que quieres almacenar el archivo del paquete de confianza.
- ZONE: el nombre de tu zona de GDC.
Define la variable de entorno TRUST_BUNDLE_FILE. Este archivo almacena el paquete de confianza de GDC de forma local en la $STORAGE ubicación especificada para tu GDC $ZONE:
```
export TRUST_BUNDLE_FILE="$STORAGE/$ZONE/ca-bundles/trust-bundle"
export GLOBAL_TRUST_BUNDLE_FILE="$STORAGE/global/ca-bundles/global-trust-bundle"
```
Define la variable de entorno del espacio de nombres NS para el espacio de nombres:
```
export NS=platform
```

Obtén las autoridades de certificación (AC) y guárdalas en el archivo creado en el paso 2:

Para trust-store-root-ext:

kubectl --kubeconfig ${KUBECONFIG} get secret trust-store-root-ext -n ${NS} -o go-template='{{ index .data "ca.crt" }}' | base64 -d | sed '$a\' > ${TRUST_BUNDLE_FILE}

Para trust-store-global-root-ext:

kubectl --kubeconfig ${KUBECONFIG} get secret trust-store-global-root-ext -n ${NS} -o go-template='{{ index .data "ca.crt" }}' | base64 -d | sed '$a\' > ${GLOBAL_TRUST_BUNDLE_FILE}