Configura la gestione del ciclo di vita per i workload gestiti

Anteprima

Questo prodotto o funzionalità sono soggetti ai "Termini dell'offerta pre-GA" nella sezione dei Termini di servizio generali dei Termini specifici dei servizi. I prodotti e le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

Questo documento mostra come configurare la gestione del ciclo di vita dei certificati per i workload gestiti come Compute Engine e Google Kubernetes Engine (GKE), utilizzando Certificate Manager (2ª generazione.). Puoi automatizzare l'emissione e il rinnovo dei certificati collegando un pool di identità del workload gestito a un pool di Certificate Authority Service utilizzando una configurazione di emissione dei certificati. In questo modo si evitano interruzioni del servizio causate da certificati scaduti.

Come funziona Workload Identity gestita

Workload Identity gestita fornisce ai tuoi workload Compute Engine e GKE un'identità attestata, insieme a un certificato e ai trust anchor utilizzati dai workload per autenticarsi a vicenda tramite mutual TLS (mTLS). Le identità dei workload gestite sono raggruppate in un pool di identità del workload, che funge da confine di attendibilità per le identità al suo interno.

Quando colleghi un pool di identità del workload a un pool di Certificate Authority Service,Google Cloud emette e rinnova automaticamente i certificati per i tuoi workload. Questa automazione elimina la gestione manuale delle credenziali e previene le interruzioni del servizio.

Prima di iniziare

1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.
   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

2. If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

3. Verify that billing is enabled for your Google Cloud project.

4. Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs, if any are not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the APIs

5. Assicurati di avere un pool di identità del workload esistente con identità dei workload gestite. Per saperne di più, consulta Configura l'autenticazione di Workload Identity gestita per Compute Engine o Configura l'autenticazione di Workload Identity gestita per GKE.
6. Assicurati di avere un pool di Certificate Authority Service esistente che possa emettere certificati per i tuoi workload. Per saperne di più, consulta Crea un pool di CA.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per configurare la gestione del ciclo di vita, chiedi all'amministratore di concederti i seguenti ruoli IAM sul progetto:

• Certificate Manager Editor (roles/certificatemanager.editor)
• CA Service Certificate Manager (roles/privateca.certificateManager)
• Workload Identity Pool Admin (roles/iam.workloadIdentityPoolAdmin)

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Configura il ciclo di vita per i workload gestiti

Configura un pool di identità dei workload gestite per specificare in che modo i workload associati ricevono e rinnovano i certificati dal pool CA Service esistente.

1. Nella console Google Cloud , vai alla pagina Certificate Manager (2ª generazione.).

   Vai a Certificate Manager (2ª generazione.)

2. Nel riquadro di navigazione, fai clic su Gestisci ciclo di vita.
3. Seleziona la scheda Workload Identity gestito.
4. Individua il pool di identità del workload che vuoi configurare, quindi fai clic su Configura la gestione del ciclo di vita.
5. Seleziona la Regione e il Pool di CA per la regione.
6. Nel campo Durata del certificato, specifica la validità del certificato emesso. Il valore deve essere compreso tra 21 e 30 giorni.
7. Imposta Finestra di rotazione su un valore compreso tra 50 e 80. Questa è la percentuale della durata del certificato che attiva un rinnovo.
8. Nel campo Algoritmo chiave, seleziona l'algoritmo crittografico da utilizzare per generare la chiave privata.
9. Fai clic su Aggiorna.

Passaggi successivi

• Visualizza l'inventario dei certificati
• Crea configurazione di emissione
• Monitora i certificati
• Configura la gestione del ciclo di vita per i bilanciatori del carico
• Crea configurazione di attendibilità