更改默认证书颁发者

Google Distributed Cloud (GDC) 网闸隔离配置提供公钥基础架构 (PKI) API，用于获取 Web 证书。本文档介绍了如何将默认证书颁发者更改为其他颁发者。如需详细了解 PKI 证书模式，请参阅 Web TLS 证书配置。

本文档适用于平台管理员群组中想要管理证书颁发者的受众群体。如需了解详情，请参阅适用于 GDC 网闸隔离配置文档的受众群体。

准备工作

在更改默认证书颁发者之前，您必须拥有必要的权限并准备好环境。

申请 IAM 角色

如需创建、更新和删除证书颁发者，请与您的 IAM 组织管理员联系，请求系统命名空间中的 PKI Infra Admin (infra-pki-admin) 角色。

准备环境

更改默认证书颁发机构

  1. 默认发卡机构标签如以下示例所示。对于每个命名空间，一个 CertificateIssuer 必须包含以下标签：

    pki.security.gdc.goog/is-default-issuer: 'true'

  2. 查看 pki-system 命名空间中的当前默认颁发者：

    kubectl get certificateissuers -n pki-system -l pki.security.gdc.goog/is-default-issuer=true

    输出类似于以下内容：

    NAME                    READY   REASON       ISDEFAULT
default-tls-ca-issuer   True    CAaaSReady   true

  3. 修改现有默认签发者，并更新签发者的默认签发者标签：

    kubectl label --overwrite certificateissuers CURRENT_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer='false'

    将 CURRENT_DEFAULT_ISSUER 替换为当前默认证书颁发者的名称。

  4. 如需将新的 CertificateIssuer 设置为默认签发者，请更新标签：

    kubectl label --overwrite certificateissuers NEW_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer=true

    将 NEW_DEFAULT_ISSUER 替换为新默认证书颁发者的名称。

手动触发证书重新签发

切换默认证书颁发机构后，Distributed Cloud 不会自动重新颁发由之前的默认证书颁发机构签名的证书，除非证书即将到期。如需立即使用新的默认颁发者重新颁发证书，请参阅手动重新颁发 PKI Web 证书。