Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

获取 GDC 信任文件包

信任包（也称为信任列表）是一组信任锚（例如实体），这些信任锚本身受信任，其信任关系不会由其他实体（受信任的第三方）转移。这些信任锚以证书授权机构 (CA) 证书的形式提供。证书路径构建算法使用这些 CA 证书在获取验证的证书与信任锚之间建立链。

本文档适用于平台管理员群组中的受众群体（例如 IT 管理员或安全工程师），他们希望提取 GDC 信任包。如需了解详情，请参阅适用于 GDC 网闸隔离配置文档的受众群体。

准备工作

在提取 GDC 信任包之前，您必须为新组织建立初始信任。对于知名服务器和 kubectl 方法，此步骤都是必需的，但仅在您首次连接到新组织时才需要。

对于知名服务器方法，无需满足其他前提条件。对于 kubectl 方法，您还必须满足权限和工具前提条件。

为新新闻机构建立初始信任

如果您是首次连接到新的 GDC 组织，则必须建立初始信任。此一次性流程通过在客户端机器上信任组织的证书授权机构 (CA) 来确保安全连接。

请与基础架构运营商 (IO) 群组的成员联系，请求新组织的初始信任包。IO 具有提取此软件包所需的访问权限，该软件包通常来自组织基础架构集群中的 trust-store-root-ext 密钥。
根据贵组织的安全政策，通过 GDC 之外的安全信道从 IO 获取初始信任包文件。
按照系统信任根 CA 证书的标准程序，将信任包安装到客户端机器的受信任证书存储区中。

如果您需要访问 ServiceNow，请使用相同的流程获取并安装 gdchservices 组织信任包。

申请 IAM 角色

如需使用 kubectl 提取信任包，您需要拥有查看 Secret 的权限。请与您的 IAM 组织管理员联系，请求获取受信任证书存储区 Viewer (trust-store-viewer) 角色。

准备环境

如需使用 kubectl 方法，请准备本地环境：

下载并安装 gdcloud CLI（如果您尚未安装）。
安装 kubectl CLI。
为目标可用区中的 Management API 服务器生成 kubeconfig 文件。您需要 kubeconfig 文件的路径，才能替换 kubectl 命令中的 MANAGEMENT_API_SERVER_KUBECONFIG。

信任包类型

Distributed Cloud 为平台管理员提供两种类型的代管式信任包：

trust-store-root-ext：包含内部根 CA 和 web-tls CA。内容因其所在位置（例如根组织或租户组织）而异。使用此信任包可跨组织边界进行通信，或访问组织内的对象存储区等服务。
trust-store-global-root-ext：在全局 API 服务器和可用区级 API 服务器 platform 命名空间中可用。当全局 API 服务器准备就绪后，该软件包会填充所有其他可用区级 trust-store-root-ext 数据，包括本地数据。

提取信任包

您可以从众所周知的服务器端点提取信任包，也可以使用 kubectl 从集群中提取信任包。

从知名服务器提取

GDC 提供了一种通过知名服务器端点访问信任包的安全方式。当您需要提取 trust-store-global-root-ext 软件包，而无需使用 kubectl 直接与集群交互时，请使用此方法。

在执行本部分中的步骤之前，请确保您已与组织的特定 CA 建立了初始信任。

Linux

导出以下环境变量：
```
export STORAGE=STORAGE
export ORG_NAME=ORG_NAME
export DNS_SUFFIX=DNS_SUFFIX
```
替换以下内容：
- STORAGE：您要存储信任包文件的目录路径。
- ORG_NAME：GDC 中组织的名称。
- DNS_SUFFIX：您的 DNS 后缀。例如，如果您的某个网域是 org-1.zone1.google.gdch.test，则您的 DNS 后缀为 zone1.google.gdch.test。

设置 WELL_KNOWN_URL 环境变量：

export WELL_KNOWN_URL="https://console.${ORG_NAME:?}.${DNS_SUFFIX:?}/.well-known/certificate-authority"

设置 GLOBAL_TRUST_BUNDLE_FILE 环境变量。此文件会将 GDC 信任包存储在您指定的 $STORAGE 位置。
```
export GLOBAL_TRUST_BUNDLE_FILE="${STORAGE:?}/global/ca-bundles/global-trust-bundle"
```

为信任包文件创建目录：

mkdir -p "$(dirname "${GLOBAL_TRUST_BUNDLE_FILE:?}")"

从知名服务器获取 trust-store-global-root-ext 信任包，并将其存储在 GLOBAL_TRUST_BUNDLE_FILE 环境变量指定的文件中：
```
curl "${WELL_KNOWN_URL:?}" | sed '$a\' > "${GLOBAL_TRUST_BUNDLE_FILE:?}"
```

Windows

设置以下 PowerShell 变量：
```
$STORAGE = "STORAGE"
$ORG_NAME = "ORG_NAME"
$DNS_SUFFIX = "DNS_SUFFIX"
```
替换以下内容：
- STORAGE：您要存储信任包文件的目录路径，例如 C:\Users\username\bundles。
- ORG_NAME：GDC 中组织的名称。
- DNS_SUFFIX：您的 DNS 后缀。例如，如果您的某个网域是 org-1.zone1.google.gdch.test，则您的 DNS 后缀为 zone1.google.gdch.test。

为信任包文件创建目录：

New-Item -ItemType Directory -Force -Path (Split-Path -Path "STORAGE\global\ca-bundles\global-trust-bundle")

从知名服务器获取 trust-store-global-root-ext 信任软件包，并将其存储在信任软件包文件中：

Invoke-WebRequest -Uri "https://console.ORG_NAME.DNS_SUFFIX/.well-known/certificate-authority" -OutFile "STORAGE\global\ca-bundles\global-trust-bundle"

提取的信任包文件包含一个或多个 CA 证书。输出类似于以下内容：

使用 kubectl 从集群中提取

您可以使用 kubectl 命令行工具直接从 GDC 集群提取信任软件包。如果您可以直接访问集群及其配置，并且需要提取 trust-store-root-ext 或 trust-store-global-root-ext 信任包，请使用此方法。

在执行本部分中的步骤之前，请确保您已与组织的特定 CA 建立了初始信任。

使用 kubectl 从集群中提取信任包：

导出以下环境变量：
```
export KUBECONFIG=MANAGEMENT_API_SERVER_KUBECONFIG
export STORAGE=STORAGE
export ZONE=ZONE
```
替换以下内容：
- MANAGEMENT_API_SERVER_KUBECONFIG：Management API 服务器 kubeconfig 的路径。
- STORAGE：您要存储信任包文件的目录路径。
- ZONE：您的 GDC 区域名称。

设置 TRUST_BUNDLE_FILE 环境变量。此文件会将 GDC 信任软件包存储在您为 GDC $ZONE 指定的 $STORAGE 位置：

export TRUST_BUNDLE_FILE="${STORAGE:?}/${ZONE:?}/ca-bundles/trust-bundle"
export GLOBAL_TRUST_BUNDLE_FILE="${STORAGE:?}/global/ca-bundles/global-trust-bundle"

为命名空间设置 NS 命名空间环境变量：
```
export NS=platform
```

为信任包文件创建目录：

mkdir -p "$(dirname "${TRUST_BUNDLE_FILE:?}")"
mkdir -p "$(dirname "${GLOBAL_TRUST_BUNDLE_FILE:?}")"

获取证书授权机构 (CA) 并将其存储在 TRUST_BUNDLE_FILE 和 GLOBAL_TRUST_BUNDLE_FILE 环境变量指定的文件中：

对于 trust-store-root-ext：

kubectl --kubeconfig ${KUBECONFIG:?} get secret trust-store-root-ext -n ${NS:?} -o go-template='{{ index .data "ca.crt" }}' | base64 -d | sed '$a\' > ${TRUST_BUNDLE_FILE:?}

对于 trust-store-global-root-ext：

kubectl --kubeconfig ${KUBECONFIG:?} get secret trust-store-global-root-ext -n ${NS:?} -o go-template='{{ index .data "ca.crt" }}' | base64 -d | sed '$a\' > ${GLOBAL_TRUST_BUNDLE_FILE:?}

提取的信任包文件包含一个或多个 CA 证书。输出类似于以下内容：

获取 GDC 信任文件包 使用集合让一切井井有条 根据您的偏好保存内容并对其进行分类。

准备工作

为新新闻机构建立初始信任

申请 IAM 角色

准备环境

信任包类型

提取信任包

从知名服务器提取

Linux

Windows

使用 kubectl 从集群中提取

获取 GDC 信任文件包