请求证书

本页面介绍了如何在 Certificate Authority Service 中创建证书请求。

您可以使用以下方法申请证书：

1. 生成您自己的私钥或公钥，并提交证书签名请求 (CSR)。
2. 使用由 CA 服务自动生成的私钥或公钥。
3. 使用现有的 Cloud Key Management Service (Cloud KMS) 密钥。

准备工作

1. 为 CA 服务准备环境。

2. 如需获得颁发证书所需的权限，请让管理员为您授予 CA Service Certificate Requester (roles/privateca.certificateRequester) 或 CA Service Certificate Manager (roles/privateca.certificateManager) IAM 角色。

   如需详细了解 CA 服务的预定义 IAM 角色，请参阅使用 IAM 进行访问权限控制。

   如需了解如何向主账号授予 IAM 角色，请参阅授予单个角色。

使用 CSR 请求证书

如需获取证书，您需要生成一个 CSR，然后使用该 CSR 请求证书。

生成 CSR

如需详细了解如何使用 OpenSSL 生成 CSR，请参阅如何使用 OpenSSL 生成 CSR。 您还可以在生成 CSR 时参考以下示例配置文件。

如需使用示例配置文件，请按以下步骤操作：

1. 使用以下配置创建名为 csr.cnf 的配置文件。

   cat << EOF > csr.cnf
   [req]
   distinguished_name = req_distinguished_name
   req_extensions = v3_req
   prompt = no
   
   [req_distinguished_name]
   CN = example.com
   
   [v3_req]
   keyUsage = critical, digitalSignature, keyEncipherment
   extendedKeyUsage = serverAuth
   subjectAltName = @alt_names
   
   [alt_names]
   DNS.1 = example.com
   DNS.2 = www.example.com
   EOF
   

   此示例会生成一个 2048 位 RSA 密钥（口令加密）和一个包含以下内容的相应 CSR：

   • 主题 DN 中的 commonName 属性
   • subjectAlternativeName 扩展程序
   • keyUsage 扩展程序（标记为关键）
   • extendedKeyUsage 扩展程序

   根据需要修改参数。如需使用 x509v3_config 配置文件格式为 X.509 证书和 CSR 定义扩展，请参阅 OpenSSL 文档。

2. 运行以下 openssl 命令，以生成 CSR 和相应的私钥：

   openssl req -newkey rsa:2048 -out csr.pem -keyout key.pem -config csr.cnf
   

   此命令会生成以下文件：

   • csr.pem：您的 CSR，可随时提交给 CA
   • key.pem：您的私钥，您应妥善保管

   在证书请求中使用 csr.pem 文件。

使用 CSR 提交证书请求

如需使用 CSR 请求证书，请按以下步骤操作：

gcloud privateca certificates create CERT_ID \
    --issuer-pool POOL_ID \
    --issuer-location ISSUER_LOCATION \
    --csr CSR_FILENAME \
    --cert-output-file CERT_OUTPUT_FILE \
    --validity "P30D"