更改默认证书颁发者

Google Distributed Cloud (GDC) 经过网闸隔离的设备提供了一个 公钥基础架构 (PKI) API 来获取 Web 证书。本文档介绍了如何将默认证书颁发机构更改为其他颁发机构。如需详细了解 PKI 证书模式，请参阅 Web TLS 证书配置。

准备工作

在更改默认证书颁发机构之前，您必须拥有必要的权限并准备好环境。

请求 IAM 角色

如需创建、更新和删除证书颁发机构，请与您的组织 IAM 管理员联系，以请求系统命名空间中的 Infra PKI Admin (infra-pki-admin) 角色。

准备环境

• 下载并 安装 gdcloud CLI（ 如果您尚未这样做）。

• 按照 安装组件中的说明安装 kubectl CLI。

• 生成 kubeconfig 文件 以配置 kubectl 访问权限。

更改默认证书颁发机构

1. 默认颁发机构标签类似于以下示例。对于每个命名空间，一个 CertificateIssuer 必须包含以下标签：

   pki.security.gdc.goog/is-default-issuer: 'true'
   

2. 查看 pki-system 命名空间中的当前默认颁发机构：

   kubectl get certificateissuers -n pki-system -l pki.security.gdc.goog/is-default-issuer=true
   

   输出类似于以下内容：

   NAME                    READY   REASON       ISDEFAULT
   default-tls-ca-issuer   True    CAaaSReady   true
   

3. 修改现有默认颁发机构，并将默认颁发机构标签从颁发机构更新为：

   kubectl label --overwrite certificateissuers CURRENT_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer='false'
   

   将 CURRENT_DEFAULT_ISSUER 替换为 当前默认证书颁发机构的名称。

4. 如需将新的 CertificateIssuer 设置为默认颁发机构，请更新标签：

   kubectl label --overwrite certificateissuers NEW_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer=true
   

   将 NEW_DEFAULT_ISSUER 替换为新的 默认证书颁发机构的名称。

手动触发证书重新颁发

切换默认证书颁发机构后，GDC 经过网闸隔离的设备不会自动重新颁发由之前的默认证书颁发机构签名的证书，除非证书即将到期。如需立即 使用新的默认颁发机构重新颁发证书，请参阅 手动重新颁发 PKI Web 证书。