Untuk mempertahankan koneksi yang aman dan andal ke instance AlloyDB untuk PostgreSQL di lingkungan produksi dan pengembangan, ikuti praktik terbaik berikut saat Anda men-deploy dan mengelola Proxy Auth AlloyDB.
Menjaga agar klien Proxy Auth selalu dalam keadaan terbaru
Google merilis versi baru Proxy Auth setiap bulan. Anda dapat menemukan versi saat ini dengan memeriksa halaman rilis GitHub Proxy Auth AlloyDB.
Gunakan otomatisasi untuk mengupdate versi Proxy Auth dan menguji versi baru di lingkungan non-produksi sebelum mempromosikan perubahan ke produksi.
Menjalankan klien Proxy Auth sebagai layanan persisten atau file bantuan
Dalam produksi, Anda harus menjalankan klien Proxy Auth sebagai layanan persisten atau sidecar.
Jika proses klien Proxy Auth dihentikan, semua koneksi yang ada melaluinya akan terputus, dan aplikasi Anda tidak dapat membuat koneksi lagi ke instance AlloyDB dengan Proxy Auth AlloyDB. Untuk mencegah skenario ini, jalankan klien Proxy Auth sebagai layanan persisten, sehingga jika klien Proxy Auth berhenti karena alasan apa pun, klien tersebut akan otomatis dimulai ulang.
Berdasarkan tempat Anda menjalankan klien, gunakan opsi berikut:
- Untuk klien Proxy Auth yang berjalan di VM Linux, gunakan layanan seperti
systemd,upstart, atausupervisor. - Untuk workload Windows, jalankan klien Proxy Auth sebagai Layanan Windows. Lihat Menjalankan Proxy Auth sebagai Layanan Windows untuk mengetahui informasi selengkapnya.
- Untuk penyiapan Kubernetes, jalankan klien Proxy Auth sebagai file bantuan.
Menjalankan klien Proxy Auth di mesin yang sama dengan workload Anda
Klien Proxy Auth mengasumsikan bahwa klien tersebut berjalan di mesin yang sama dengan workload. Semua traffic klien ke Proxy Auth tidak akan dienkripsi. Traffic dari Proxy Auth ke AlloyDB dienkripsi menggunakan mTLS.
Pastikan semua klien Proxy Auth berada di mesin yang sama sehingga tidak ada traffic yang tidak dienkripsi yang keluar dari mesin. Proxy Auth AlloyDB harus ditempatkan bersama klien yang ingin mengakses instance AlloyDB Anda.
Menggunakan akun layanan yang berbeda untuk setiap workload
Proxy Auth AlloyDB menggunakan akun utama Identity and Access Management (IAM) lingkungan untuk membuat tunnel yang aman ke instance AlloyDB. Untuk mengikuti prinsip hak istimewa terendah, setiap workload, seperti aplikasi web atau aplikasi pemrosesan data backend, harus menggunakan akun layanan yang berbeda. Penggunaan akun layanan yang berbeda memastikan bahwa izin setiap workload dapat dikelola (atau dicabut) secara terpisah.
Jangan men-deploy Proxy Auth AlloyDB sebagai bottleneck
Anda mungkin tergoda untuk men-deploy Proxy Auth AlloyDB di VM bersama dan menggunakannya untuk merutekan semua traffic dari sejumlah workload ke instance AlloyDB Anda. Namun, pendekatan ini tidak aman dan menciptakan titik tunggal kegagalan.
Jika beberapa klien akhirnya menggunakan akun utama IAM yang sama dengan yang digunakan oleh Proxy Auth, mengidentifikasi workload yang sebenarnya mengakses instance AlloyDB Anda akan menjadi sulit, sehingga pendekatan ini tidak aman.
Pendekatan ini menciptakan titik tunggal kegagalan karena jika Proxy Auth AlloyDB kelebihan beban akibat lonjakan traffic, semua koneksi klien akan terpengaruh secara negatif.
Sebagai gantinya, deploy klien Proxy Auth di setiap mesin yang memerlukan koneksi aman, baik sebagai sidecar maupun layanan persisten.
Mengurangi output log Proxy Auth AlloyDB untuk deployment produksi
Jika Anda perlu membatasi ukuran log Proxy Auth AlloyDB, tetapkan opsi --verbose=false saat Anda memulai Proxy Auth AlloyDB. Perhatikan bahwa penggunaan opsi ini akan mengurangi efektivitas output Proxy Auth AlloyDB dalam mendiagnosis masalah koneksi.
Membaca pesan bantuan Proxy Auth AlloyDB
Proxy Auth AlloyDB menyertakan banyak fitur tambahan dan menyertakan pesan bantuan yang ekstensif dengan detailnya. Jalankan perintah alloydb-auth-proxy --help untuk
menemukan opsi konfigurasi tambahan.
Berinteraksi dengan tim pengembangan di GitHub
Jika Anda yakin telah menemukan bug atau memiliki permintaan fitur, Anda dapat berinteraksi dengan tim pengembangan di repositori GitHub Proxy Auth AlloyDB.